ویژگی لاگینی که بیشتر میل‌سرورهای ساخته‌شده برای اروپا یا آمریکا هیچوقت لازمش نداشتند
لاگین با رمز یکبارمصرف پیامکی یک تیک‌زدنِ ساده نیست، این چیزی است که وقتی یک پلتفرم ایمیل واقعاً برای بازاری ساخته شود که پیامک فاکتور دومِ قابل‌اعتمادتری نسبت به یک اپ authenticator است که نیمی از کاربرها هیچوقت نصبش نکرده‌اند، اتفاق می‌افتد. فنمیل از SMS OTP و 2FA هنگام لاگین، به‌علاوه اعلان‌های اختیاری ایمیل-به-پیامک، بهعنوان ویژگی‌های درجهیک پشتیبانی میکند، نه یک افزونه که به یک سرویس تجاری چسبانده شده باشد که فرض میکند همه از قبل TOTP را تنظیم کرده‌اند.
چرا این یک خلأ واقعی است، نه یک «قشنگه ولی لازم نیست»
یک سرویس وبمیل تجاری را برای ۱۰٬۰۰۰ کارمند و دانشجوی دانشگاه راه بینداز، و بخش قابلتوجهی هیچوقت ثبتنام 2FA را تمام نمیکنند اگر تنها گزینه یک اپ authenticator باشد، تیکت‌های پشتیبانی روی هم انباشته میشود، و IT بیسروصدا اجباری بودنش را غیرفعال میکند تا خونریزی متوقف شود. پیامک بهعنوان فاکتور دومِ درجهیک کاملاً این پرتگاهِ پذیرش را حذف میکند، چون همه از قبل بلدند چطور پیامک دریافت کنند.
ایمیل-به-پیامک: نیمه‌ی دیگر همان ایده
اعلان‌های اختیاری ایمیل-به-پیامک یعنی یک پیام حیاتی در صندوقی که کسی خارج از ساعات اداری چکش نمیکند، نخوانده نمی‌ماند، ویژگی کوچکی که برای نهادهایی که ایمیل هنوز کانال اصلی همه نیست، اهمیتی نامتناسب دارد.
الگوی زیر هر دو ویژگی
هیچکدام از این‌ها به این خاطر وجود ندارند که یک جدول مقایسه ویژگی‌ها آنها را طلب کرده. هر دو از این می‌آیند که فنمیل برای بازاری که واقعاً درش اجرا میشود ساخته شده، نه ترجمه‌شده از بازاری با پیش‌فرض‌های متفاوت، همان دلیلی که از ابتدا self-hosting به‌اندازه‌ای مهم بود که فاکتور ۷۰٬۰۰۰ دلاری سالانه IceWarp را جایگزین کند.
افزودن ورود پیامکی (OTP) به سایت یا سامانهٔ خودتان
اگر دنبال افزونهٔ «ثبتنام و ورود با پیامک» برای سایت یا سامانهٔ خودتان هستید، پیش از انتخاب افزونه بهتر است بدانید یک جریان OTP درست از چه مرحله‌هایی ساخته میشود. هر افزونه یا کتابخانه‌ای که انتخاب کنید باید همین مرحله‌ها را پوشش بدهد.
- درخواست کد: کاربر شمارهٔ موبایل را وارد میکند و سرور شماره را به قالب استاندارد (مثلاً +98 یا ۰۹) یکدست میکند.
- ساخت کد: یک کد تصادفی ۵ یا ۶ رقمی با مولد امن ساخته میشود و فقط هشِ آن، همراه با زمان انقضای کوتاه (معمولاً ۲ تا ۵ دقیقه)، ذخیره میشود.
- ارسال: کد از راه پنل پیامک با الگوی (پترن) تأییدشده فرستاده میشود. پیامک‌های الگو‌دار خدماتی‌اند و معمولاً به محدودیت لیست سیاه مخابرات برای پیامک تبلیغاتی نمی‌خورند.
- بررسی: کد واردشده با هش مقایسه میشود، پس از یک بار استفادهٔ موفق باطل میشود و پس از چند تلاش اشتباه قفل میشود.
انتخاب سرویس‌دهندهٔ پیامک: سه چیز را بسنجید: پشتیبانی از ارسال الگو‌دار (پترن)، API و گزارش وضعیت تحویل، و سرعت تحویل در ساعت‌های شلوغ. هزینهٔ هر پیامک مهم است، ولی کدی که دو دقیقه دیر برسد کاربر را از فرم ثبتنام بیرون میکند.
قاعده‌های ضدسوءاستفاده: برای هر شماره بیش از یک درخواست در دقیقه و سقف روزانه نگذارید، برای هر IP هم محدودیت جدا تعیین کنید، و پس از چند درخواست پشت‌سرهم کپچا نشان بدهید. بدون این قاعده‌ها، رباتی میتواند فرم ورود را برای هزاران شماره صدا بزند و اعتبار پنل پیامک شما را در چند ساعت تمام کند. برای کارهای حساس مانند تغییر رمز یا پرداخت، پیامک را فاکتور دوم کنار رمز عبور نگه دارید، نه تنها راه ورود.
اگر سایتتان وردپرس است، شش آزمون امنیتی قبل از نصب افزونهٔ ورود پیامکی وردپرس را هم بخوانید.
پرسش‌های متداول
آیا فنمیل از ورود با رمز یکبارمصرف پیامکی پشتیبانی میکند؟
بله. فنمیل از SMS OTP و احراز هویت دومرحلهای هنگام ورود بهعنوان ویژگی درجهیک پشتیبانی میکند، نه افزونهای که به یک سرویس تجاری چسبانده شده باشد. اعلان اختیاری ایمیل-به-پیامک هم دارد تا پیام حیاتی حتی وقتی کسی خارج از ساعات اداری صندوق را چک نمیکند، به دست مخاطب برسد.
چرا پیامک بهعنوان فاکتور دوم، و نه فقط اپ authenticator؟
وقتی تنها گزینه اپ authenticator باشد، بخش قابلتوجهی از کاربران یک سازمان بزرگ، مثلاً ۱۰٬۰۰۰ کارمند و دانشجوی دانشگاه، هیچوقت ثبتنام 2FA را تمام نمیکنند. تیکتها انباشته میشود و IT اجباری بودنش را بیسروصدا غیرفعال میکند. همه بلدند پیامک دریافت کنند، پس این مانع پذیرش حذف میشود.
آیا کد پیامکی در برابر فیشینگ مقاوم است؟
نه. کد پیامکی و کد اپلیکیشن authenticator هیچکدام در برابر فیشینگ مقاوم نیستند؛ یک صفحهٔ پراکسی مهاجم میتواند همان لحظه آنها را جابهجا کند. این نکتهٔ اصلی خوانش ما از گزارش دفاع دیجیتال ۲۰۲۶ مایکروسافت دربارهٔ فیشینگ AiTM است. پیامک پذیرش 2FA را بالا میبرد، ولی جلوی حملهٔ رله را نمیگیرد.
یک محدودیت را صادقانه بگوییم: کد پیامکی و کد اپلیکیشن در برابر فیشینگ مقاوم نیستند و صفحه پراکسی میتواند همان لحظه آنها را جابهجا کند؛ این نکته اصلی خوانش ما از گزارش دفاع دیجیتال ۲۰۲۶ مایکروسافت درباره فیشینگ AiTM است.
شرکت‌های پیامک انبوه حالا از سوی مرکز ملی فضای مجازی از نظر امنیت سایبری رتبه‌بندی می‌شوند؛ اثر این رتبه‌بندی بر انتخاب سرویس پیامک OTP را ببینید.
