Cómo funciona la autenticación OTP por SMS y cómo implementarla en su aplicación

El código OTP por SMS es el segundo factor de autenticación más usado del mundo. Explicamos cómo funciona, qué decisiones de diseño importan y cómo implementarlo con una API SMS.

Qué es una OTP y por qué el SMS sigue siendo el canal más usado

OTP significa One-Time Password: una contraseña de un solo uso, normalmente de 4 a 8 dígitos, que sirve para una única operación y vence en pocos minutos. Se utiliza como segundo factor de autenticación (2FA) porque demuestra que la persona tiene acceso a un dispositivo concreto, el teléfono, además de conocer su contraseña.

Existen otros mecanismos, como aplicaciones de autenticación o notificaciones push, pero el SMS sigue siendo el más extendido por una razón simple: funciona en cualquier teléfono, sin instalar nada y sin conexión a internet. Para un banco, una fintech o una tienda en línea que atiende a millones de personas con dispositivos muy distintos, esa universalidad pesa más que cualquier otra ventaja.

Cómo funciona el flujo paso a paso

El proceso completo toma unos segundos y pasa por seis etapas. Primero, el usuario realiza una acción que requiere verificación: crear una cuenta, iniciar sesión desde un dispositivo nuevo, autorizar una transferencia. Segundo, el backend de la empresa genera un código aleatorio, lo asocia al usuario y a la operación, y lo guarda con una fecha de vencimiento (normalmente entre 2 y 10 minutos).

Tercero, el backend llama a la API del proveedor de SMS con el número del usuario y el texto del mensaje. Cuarto, la plataforma valida la petición, la enruta al operador móvil correspondiente y este entrega el SMS al teléfono. Quinto, el usuario lee el código y lo escribe en la aplicación. Sexto, el backend compara el código ingresado con el almacenado, verifica que no haya vencido y que no se hayan superado los intentos permitidos, y aprueba o rechaza la operación.

Un punto importante: el código lo genera y lo valida siempre su sistema, no el proveedor de SMS. La plataforma de mensajería se encarga de que el mensaje llegue rápido y de informarle si se entregó.

Decisiones de diseño que marcan la diferencia

• Longitud y formato: seis dígitos numéricos es el estándar. Más largo dificulta la escritura; más corto reduce la seguridad.
• Vencimiento: entre 2 y 5 minutos para operaciones sensibles; hasta 10 para registros. Un código que vive demasiado es una puerta abierta.
• Intentos: limite a 3 o 5 intentos por código y bloquee temporalmente después de varios fallos consecutivos.
• Reenvío: permita reenviar solo después de 30 a 60 segundos y con un tope diario, para evitar abuso y costos innecesarios.
• Texto del mensaje: incluya el nombre de la empresa, el código y una advertencia clara de no compartirlo. Evite enlaces.
• Un código por operación: nunca reutilice el mismo OTP para acciones distintas.

Una recomendación adicional es registrar en su sistema el identificador (sid) que devuelve la API por cada envío, para poder cruzarlo con el reporte de entrega si un usuario reporta que no recibió el código.

Seguridad: amenazas y cómo mitigarlas

El riesgo más conocido es el SIM swapping, en el que un atacante convence al operador de transferir el número de la víctima a otra tarjeta SIM. Se mitiga combinando el OTP con otras señales (dispositivo conocido, ubicación habitual, límites por monto) y ofreciendo un segundo factor alternativo para operaciones de alto riesgo.

El segundo riesgo es la ingeniería social: alguien se hace pasar por la empresa y le pide al cliente que le dicte el código. Por eso el texto del SMS debe decir explícitamente que nadie de la empresa lo solicitará. Y el tercero es el abuso del endpoint de envío (SMS pumping), que se controla con límites de frecuencia por número y por IP, y con validación del formato del número antes de enviar.

Del lado de la plataforma, Grupo Tecnophone añade capas propias: autenticación por token, lista de IPs autorizadas por conexión y cifrado opcional del número y el contenido del mensaje con RSA-OAEP, de modo que los datos sensibles viajen protegidos incluso dentro del canal HTTPS.

Cómo implementarlo con la API SMS de Grupo Tecnophone

La integración se reduce a una llamada HTTPS por cada código. Desde el panel de la plataforma se crea una conexión API, se copia el token y se registran las IPs desde las que su backend hará las peticiones. Con eso, el envío es una petición POST al endpoint de envío con dos campos: el número de destino y el texto.

curl -X POST https://api.grupotecnophone.com/prod/v1/sms/send \
  -H "Authorization: Bearer SU_TOKEN" \
  -H "User-Agent: MiApp/1.0" \
  -H "Content-Type: application/json" \
  -d '{"to": "+5215512345678", "body": "Su código MiApp es 482913. Vence en 5 minutos. No lo comparta."}'

La respuesta incluye un identificador único del envío (sid), el estado inicial, la codificación utilizada y el número de segmentos. Existe un ambiente sandbox que valida toda la lógica sin enviar mensajes reales, ideal para probar la integración antes de pasar a producción. La documentación completa, con ejemplos en PHP, Python, Node y Java, está en la sección de Desarrolladores.

Qué medir después de implementarlo

Tres indicadores dicen si su OTP funciona: la tasa de entrega (mensajes entregados sobre enviados), la latencia (segundos entre la petición y la entrega) y la tasa de conversión del flujo (usuarios que completan la verificación). Si la entrega es alta pero la conversión baja, el problema suele estar en el texto del mensaje o en la experiencia de la pantalla de ingreso del código.

Los reportes de entrega por mensaje y por operador de la plataforma le permiten detectar rápidamente si un problema es general o está concentrado en un operador o una región.

Preguntas frecuentes