15 plantillas de mensajes de código de verificación (OTP) por SMS

Un buen mensaje de código de verificación dice quién lo envía, para qué sirve el código, cuánto dura y que no debe compartirse. Aquí tiene 15 plantillas listas para adaptar, y las reglas que las hacen seguras.

Las 5 reglas de un buen mensaje OTP

1. Marca al inicio: el cliente debe saber quién le escribe antes de leer el código.
2. Para qué es: “para iniciar sesión”, “para autorizar su pago”. Si el cliente no pidió esa acción, sabrá que algo está mal.
3. Vigencia corta: la guía de identidad digital del NIST (SP 800-63B) indica que la autenticación por código enviado a otro canal debe completarse en un máximo de 10 minutos.
4. Advertencia antifraude: “No lo comparta con nadie. Nunca le llamaremos para pedirlo.”
5. Sin enlaces: un código no necesita un enlace, y un enlace en un OTP se parece a un intento de fraude.

Las plantillas están escritas sin acentos a propósito: así el mensaje se queda en el alfabeto GSM7, que permite 160 caracteres por segmento en lugar de 70. La ñ y los signos ¿ y ¡ sí están permitidos. Cambie MARCA por el nombre de su empresa.

Registro y verificación de número

1. MARCA: Su codigo de verificacion es 482913. Vence en 10 minutos. No lo comparta con nadie.
2. MARCA: Use 482913 para confirmar su numero de celular. Si usted no se registro, ignore este mensaje.
3. Bienvenido a MARCA. Su codigo para activar su cuenta es 482913. Valido por 10 minutos.

Inicio de sesión

1. MARCA: 482913 es su codigo para iniciar sesion. Nunca le llamaremos para pedirlo.
2. MARCA: Detectamos un inicio de sesion desde un equipo nuevo. Si fue usted, use el codigo 482913. Si no, cambie su contraseña.
3. MARCA: Su codigo de acceso es 482913. Vence en 5 minutos.

Pagos y operaciones

1. MARCA: Para autorizar su pago de $1,250.00 use el codigo 482913. Si usted no hizo esta compra, no lo comparta.
2. MARCA: Codigo 482913 para autorizar la transferencia a la cuenta terminacion 4410. No lo comparta con nadie.
3. MARCA: Para confirmar el retiro en cajero use 482913. Valido por 3 minutos.

Incluir el monto o el destino ayuda a que el cliente detecte un fraude: si alguien intenta que le dicte el código para “otra cosa”, el mensaje lo delata.

Cambios de datos y recuperación

1. MARCA: Su codigo para cambiar su contraseña es 482913. Si usted no lo pidio, ignore este mensaje.
2. MARCA: Codigo 482913 para actualizar su correo electronico. Nunca lo comparta.
3. MARCA: Para registrar un nuevo dispositivo use 482913. Si no fue usted, llame al numero al reverso de su tarjeta.

Plantillas para autocompletar el código

Android y los navegadores pueden leer el código y rellenar el campo por el cliente, si el mensaje sigue ciertos formatos.

1. MARCA: Su codigo es 482913. No lo comparta.

FA+9qCX9VSu — Para la API SMS Retriever de Android: el mensaje no debe superar 140 bytes y debe incluir el hash de 11 caracteres de su aplicación (el de este ejemplo es ficticio).
2. 482913 es su codigo de MARCA.

@marca.com.mx #482913 — Formato de códigos vinculados a un dominio: la última línea lleva @ con su dominio y # con el código. Así el navegador solo lo ofrece en su sitio.
3. MARCA: 482913 es su codigo. Vence en 10 min. — Versión corta, útil como SMS Flash para que el código aparezca en pantalla sin quedar guardado.

Errores que debe evitar

• Poner el código al final de un texto largo: el cliente lo busca y se equivoca.
• Reutilizar el mismo código o usar menos de 6 dígitos.
• Escribir con acentos y emojis: el mensaje se parte en más segmentos y cuesta más.
• Enviar desde remitentes distintos cada vez: el cliente desconfía.
• Mezclar el código con publicidad.

Fuentes

• NIST, SP 800-63B-4 “Digital Identity Guidelines: Authentication and Authenticator Management”, sección 3.1.3. pages.nist.gov
• Google for Developers, “Verify phone numbers on the server” (SMS Retriever API). developers.google.com
• W3C WICG, “Origin-bound one-time codes delivered via SMS”. wicg.github.io

Preguntas frecuentes