Xác minh SMS là gì? Cách mã OTP đi từ app đến điện thoại
Xác minh SMS là bước kiểm tra trong đó ứng dụng gửi mã một lần (OTP) qua tin nhắn đến một số điện thoại và yêu cầu bạn nhập lại, chứng minh bạn nhận được tin nhắn ở số đó. Mã đi từ máy chủ của ứng dụng đến SMS gateway, rồi qua các nhà mạng di động đến điện thoại hoặc hộp thư của số đó. Phương thức này được dùng rộng rãi khi đăng ký và đăng nhập, nhưng các cơ quan bảo mật như NIST đánh giá nó yếu hơn ứng dụng xác thực và khóa bảo mật.
Xác minh SMS dùng để làm gì
Ứng dụng dùng xác minh SMS để trả lời một câu hỏi: người này có nhận được tin nhắn ở số điện thoại này ngay bây giờ không? Nếu bạn đọc được mã và nhập lại, ứng dụng coi số đó là đã xác nhận.
Bước kiểm tra đơn giản đó phục vụ nhiều mục tiêu. Khi đăng ký, nó liên kết tài khoản với một số liên lạc được và khiến việc tạo hàng loạt tài khoản giả tốn kém hơn, vì mỗi tài khoản cần một số hoạt động. Khi đăng nhập, nó đóng vai trò yếu tố thứ hai bên cạnh mật khẩu. Khi khôi phục tài khoản, nó cho ứng dụng một cách liên lạc với bạn nếu bạn quên mật khẩu.
Mã thường được gọi là OTP, viết tắt của one-time password (mật khẩu một lần), hoặc đơn giản là mã xác minh. Bảng thuật ngữ tại /glossary giải thích các thuật ngữ này và những khái niệm liên quan như 2FA, A2P SMS, sender ID và SMS gateway.
Mã đi như thế nào, từng bước một
1. Bạn nhập số điện thoại. Ứng dụng kiểm tra định dạng, thường chuyển sang định dạng quốc tế E.164 kèm mã quốc gia, và có thể tự kiểm tra quốc gia và loại số.
2. Máy chủ của ứng dụng tạo một mã ngẫu nhiên, lưu kèm thời gian hết hạn và yêu cầu nhà cung cấp SMS gửi đi. Nhiều ứng dụng dùng dịch vụ nhắn tin bên thứ ba cho bước này.
3. Nhà cung cấp SMS, thường gọi là SMS gateway, đưa tin nhắn vào mạng di động. Tin nhắn từ ứng dụng đến người dùng được gọi là A2P SMS (application-to-person), và có thể hiển thị từ đầu số ngắn, số dài hoặc tên thương hiệu (sender ID) bằng chữ.
4. Tin nhắn đi qua các nhà mạng cho đến khi tới mạng phục vụ số nhận. Mạng đó chuyển tin đến SIM, hoặc đến hộp thư online nếu số được lưu trữ bởi một dịch vụ như SMS Hallo.
5. Bạn đọc mã và nhập vào ứng dụng, hoặc sao chép chỉ với một chạm. Ứng dụng so sánh với mã đã lưu. Nếu khớp và chưa hết hạn, bước kiểm tra thành công và mã không thể dùng lại.
Cả hành trình thường chỉ mất vài giây, nhưng mỗi bước do một công ty khác nhau vận hành, vì vậy sự cố có thể xảy ra ở bất kỳ điểm nào trong chuỗi.
Cuộc gọi thoại, flash call và các biến thể khác
Nhiều ứng dụng có phương án dự phòng khi SMS thất bại: một cuộc gọi tự động đọc mã. Số khác dùng flash call, trong đó ứng dụng thực hiện cuộc gọi và đọc mã từ số người gọi mà bạn không cần nghe máy. Một số ứng dụng nhắn tin cũng có thể gửi mã qua chính ứng dụng của họ hoặc qua dịch vụ nhắn tin khác nếu có.
Các biến thể này vẫn phụ thuộc vào việc mạng điện thoại tiếp cận được số. Nếu số của bạn nhận được cả cuộc gọi lẫn tin nhắn, bạn có nhiều cách hơn để hoàn tất xác minh. Số SMS Hallo nhận được cả hai: mã hiển thị trong hộp thư SMS, và cuộc gọi có thể nghe bằng trình quay số trên trình duyệt.
Những lý do phổ biến khiến mã không đến
Nhập sai số. Thiếu mã quốc gia, thừa số 0 ở đầu hoặc đảo chỗ một chữ số sẽ khiến mã bị gửi nhầm chỗ. Luôn kiểm tra số mà ứng dụng hiển thị lại cho bạn.
Ứng dụng không gửi đến loại số đó. Nhiều ứng dụng kiểm tra loại số và quốc gia trước khi gửi. Một số từ chối số cố định hoặc số gọi qua internet, một số giới hạn quốc gia hoặc dải số nhất định. Ứng dụng có thể báo lỗi, hoặc đơn giản là không bao giờ gửi mã.
Giới hạn tần suất. Yêu cầu mã liên tục có thể khiến ứng dụng hoặc nhà cung cấp SMS tạm ngừng gửi một thời gian. Hãy chờ hết thời gian đếm ngược rồi yêu cầu một lần.
Nhà mạng lọc tin và trễ định tuyến. Các mạng lọc lưu lượng bị nghi là spam, và tuyến quốc tế có thể gây trễ. Một mã mất vài phút mới đến có thể đã hết hạn.
Điện thoại hoặc hộp thư. Với SIM, sóng yếu, hộp thư đầy, chặn người gửi hoặc bộ lọc spam có thể che mất mã. Với số online, hãy kiểm tra số vẫn còn hoạt động và bạn đang xem đúng số trong bảng điều khiển.
Mã đã hết hạn. Phần lớn mã chỉ có hiệu lực vài phút. Hãy dùng mã mới nhất, và yêu cầu mã mới nếu không chắc chắn.
So sánh SMS với các yếu tố xác thực thứ hai khác
SMS tiện lợi vì hầu như ai cũng có số điện thoại, nhưng các hướng dẫn uy tín xếp nó dưới các phương thức khác. Hướng dẫn danh tính số của NIST, SP 800-63B-4, xếp xác thực qua mạng điện thoại công cộng vào loại bị hạn chế, cho rằng bên xác minh nên xem xét các tín hiệu như đổi SIM hoặc chuyển mạng giữ số, yêu cầu phải có sẵn các loại xác thực khác, và nêu rõ mã gửi ngoài kênh không chống được phishing.
FTC giải thích rủi ro thực tế: kẻ tấn công có thể chiếm số qua SIM swap và nhận mã. FTC mô tả ứng dụng xác thực an toàn hơn và khóa bảo mật là lựa chọn mạnh nhất. Hướng dẫn của CISA cho những người là mục tiêu cao còn đi xa hơn, khuyến cáo hoàn toàn không dùng SMS làm yếu tố thứ hai, và lưu ý rằng tin nhắn SMS không được mã hóa.
Ứng dụng xác thực tạo mã theo thời gian ngay trên thiết bị từ một khóa bí mật dùng chung, theo tiêu chuẩn TOTP trong IETF RFC 6238, nên không có gì đi qua mạng điện thoại. Khóa bảo mật và passkey dùng mật mã khóa công khai gắn với đúng trang web thật, giúp chặn phần lớn phishing.
Kết luận: xác minh SMS ổn để xác nhận số khi đăng ký và tốt hơn nhiều so với không có yếu tố thứ hai, nhưng với các tài khoản quan trọng nhất, hãy thêm ứng dụng xác thực hoặc khóa bảo mật khi dịch vụ hỗ trợ.
Mẹo để nhận mã ổn định
Chỉ yêu cầu mã khi bạn đã sẵn sàng nhập, vì phần lớn mã hết hạn trong vài phút. Giữ ứng dụng mở trong lúc chờ thay vì chuyển sang ứng dụng khác rồi làm lại từ đầu.
Nếu ứng dụng cho lựa chọn, hãy thử cuộc gọi thoại sau khi một lần gửi SMS thất bại. Cuộc gọi có thể đi theo tuyến khác trong mạng.
Dùng số bạn sẽ giữ lâu dài. Xác minh không chỉ xảy ra một lần: cùng số đó có thể được dùng sau này để đăng nhập trên thiết bị mới và đặt lại mật khẩu, nên một số vẫn liên lạc được sau nhiều tháng sẽ giúp bạn tránh rắc rối.
Không chia sẻ mã xác minh với bất kỳ ai, kể cả người tự xưng là nhân viên hỗ trợ của ứng dụng. Mã gửi cho bạn là bằng chứng bạn kiểm soát số, và đưa mã cho người khác là trao quyền kiểm soát đó cho họ.
Luôn cập nhật thông tin tài khoản. Nếu đổi số, hãy thêm số mới trong phần cài đặt của từng ứng dụng khi số cũ vẫn hoạt động, để không bao giờ bị khóa ngoài trong lúc chờ mã gửi đến số bạn không còn giữ.
Vì sao ứng dụng quan tâm bạn dùng loại số nào
Vì xác minh SMS cũng là rào chắn chống tài khoản giả, nhiều ứng dụng xem xét chính con số đó. Số từ các trang nhận SMS online công khai miễn phí được dùng chung bởi tất cả người truy cập, nên ứng dụng thường chặn chúng, và bất kỳ mã nào gửi đến đó đều có thể bị người lạ đọc.
Số di động thật là loại số mà phần lớn dịch vụ mong đợi. SMS Hallo cho thuê số di động thật theo định dạng di động địa phương của 181 quốc gia, và trong thời gian bạn thuê, chỉ bạn thấy tin nhắn. Dù vậy, mỗi ứng dụng tự quyết định chấp nhận số nào, và không nhà cung cấp nào có thể hứa mọi ứng dụng đều chấp nhận một số cụ thể.
Hãy dùng xác minh cho những tài khoản bạn được phép sở hữu. Chính sách sử dụng được phép của SMS Hallo cấm tài khoản giả hoặc trùng lặp, lừa đảo và dùng số để bỏ qua bước xác minh danh tính.
Nhận mã xác minh với SMS Hallo
Đăng ký bằng email và mật khẩu, chọn quốc gia và số, rồi thanh toán. SMS đến hiển thị trong bảng điều khiển, mã được tự động nhận diện và sẵn sàng sao chép.
Mỗi số SMS Hallo bao gồm nhận SMS không giới hạn, nhận cuộc gọi không giới hạn, 500 SMS gửi đi mỗi tháng và 1.000 phút gọi đi mỗi tháng. Hạn mức được làm mới mỗi 30 ngày và phần chưa dùng không được cộng dồn.
Giá chỉ từ $1.80 mỗi tháng với gói 12 tháng ($21.60 thanh toán theo năm), như nhau ở mọi quốc gia, không có phí thiết lập. Giữ số bằng cách gia hạn hoặc bật tự động gia hạn, vì số hết hạn có thể được cấp cho người khác, và người đó có thể nhận mã của những tài khoản vẫn còn gắn với số.
Mỗi số SMS Hallo đi kèm ba cam kết. Thứ nhất, đổi số miễn phí trong 7 ngày: trong vòng 7 ngày, bạn có thể đổi sang một số khác đang có sẵn cùng quốc gia, miễn phí, tối đa 3 lần, và số mới giữ nguyên gói cũng như ngày hết hạn. Thứ hai, hoạt động hoặc hoàn tiền 100%: nếu số không hoạt động với ứng dụng bạn thuê số để dùng, ví dụ mã không bao giờ đến, hãy yêu cầu hoàn tiền trong vòng 7 ngày và nhận lại 100% số tiền đã trả. Thứ ba, hoàn tiền trong 7 ngày: hoàn tiền toàn bộ trong vòng 7 ngày, không cần lý do, nếu số chưa thực hiện hoặc nhận bất kỳ cuộc gọi hay SMS nào.
Nguồn
- NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management
- FTC Consumer Advice, Use Two-Factor Authentication to Protect Your Accounts
- CISA and partners, Mobile Communications Best Practice Guidance (December 2024)
- IETF RFC 6238, TOTP: Time-Based One-Time Password Algorithm
Câu hỏi thường gặp
Mã xác minh SMS là gì?
Một mã ngắn dùng một lần, thường gồm 4 đến 8 chữ số, được ứng dụng gửi qua tin nhắn để xác nhận bạn nhận được tin nhắn ở một số điện thoại. Mã chỉ có hiệu lực trong thời gian giới hạn và chỉ dùng được một lần.
Xác minh SMS có giống xác thực hai yếu tố không?
Không hẳn. Khi đăng ký, nó chỉ xác nhận số của bạn. Khi được dùng lúc đăng nhập cùng với mật khẩu, nó đóng vai trò yếu tố thứ hai.
Xác minh SMS có an toàn không?
Nó tăng thêm bảo vệ, nhưng NIST, FTC và CISA đều đánh giá nó dưới ứng dụng xác thực và khóa bảo mật do rủi ro SIM swap, bị chặn bắt tin nhắn và phishing. Hãy dùng phương thức mạnh hơn cho tài khoản quan trọng khi có.
Vì sao tôi lại nhận mã qua cuộc gọi thoại?
Nhiều ứng dụng dùng cuộc gọi làm phương án dự phòng khi SMS chậm hoặc bị chặn. Một giọng nói tự động đọc mã, và bạn nhập mã vào.
Vì sao mã của tôi không đến?
Nguyên nhân phổ biến là nhập sai số, ứng dụng không gửi đến loại số đó, bị giới hạn sau nhiều lần yêu cầu, nhà mạng lọc tin hoặc trễ, và mã đã hết hạn.
Tôi có thể nhận mã xác minh mà không cần SIM không?
Có. Số di động online nhận SMS trong bảng điều khiển trên web. Các ứng dụng vẫn tự quyết định chấp nhận số nào, và cam kết của SMS Hallo được áp dụng nếu mã không bao giờ đến.
SMS gateway là gì?
Là dịch vụ mà ứng dụng dùng để gửi tin nhắn vào mạng di động. Nó định tuyến từng tin nhắn đến nhà mạng phục vụ số nhận.
Hướng dẫn
- Số điện thoại thứ hai cho WhatsApp không cần SIM mới
- Nhận SMS online: hướng dẫn đầy đủ về mã xác minh
- Số điện thoại Mỹ khi ở nước ngoài: cách có số +1 thật
- Số điện thoại Anh khi ở nước ngoài: cách có số +44 thật
- Số điện thoại thứ hai để bảo vệ quyền riêng tư và cách có
- Cách dùng Telegram không cần số điện thoại cá nhân
- Cách thanh toán bằng USDT hoặc USDC: hướng dẫn từng bước
- Cách giữ số điện thoại trực tuyến lâu dài
- Không nhận được mã WhatsApp? Nguyên nhân và cách khắc phục
- Lỗi “Số điện thoại này không được hỗ trợ”: giải thích
- Số non-VoIP là gì và vì sao ứng dụng yêu cầu?
- Có thể dùng một số điện thoại cho nhiều ứng dụng không?
- Cách xác minh tài khoản Google bằng số do bạn kiểm soát
- Cách lấy số Mỹ cho WhatsApp khi ở Ấn Độ
- Trang nhận SMS online miễn phí có an toàn không?
- Cách chọn quốc gia cho số nhận OTP xác minh
- Cách nhận SMS từ nước ngoài
- Số điện thoại thứ hai để bán hàng online và trên sàn
- Có số điện thoại thứ hai có hợp pháp không?
- Giữ kín số điện thoại cá nhân trên ứng dụng hẹn hò
- Số điện thoại cho du mục số: giữ số nhà, thêm số địa phương
- Bảo mật số điện thoại cho dân crypto: giảm rủi ro SIM swap
- Số điện thoại riêng tư có ẩn danh không? Sự thật cần biết
- Cách có số điện thoại doanh nghiệp địa phương ở nước khác
- Xác minh số điện thoại cho công cụ AI: dịch vụ nào yêu cầu
- Luật đăng ký SIM theo quốc gia: yêu cầu gì và vì sao
- Vì sao ứng dụng từ chối số ảo: Nguyên nhân thật sự
- Số WhatsApp bị cấm: Cần làm gì tiếp theo
- Số Telegram dùng lâu dài: Giữ tài khoản an toàn
- Xác minh Tinder không cần số điện thoại cá nhân
- Nhận SMS từ ngân hàng và ứng dụng thanh toán: giới hạn thật
- Số ảo, SIM thứ hai hay eSIM: lựa chọn nào hợp với bạn?
- Không nhận được OTP? Cách khắc phục chung cho mọi ứng dụng
- Google Voice không có ở nước tôi: giờ phải làm sao?
- Ứng dụng số điện thoại thứ hai tốt nhất: so sánh 4 loại
- Số điện thoại
Bài viết liên quan
Nhận SMS từ ngân hàng và ứng dụng thanh toán: giới hạn thật
Nhận SMS từ ngân hàng, ứng dụng thanh toán bằng số thứ hai? Vì sao ngân hàng hay từ chối, quy định của chúng tôi và lựa chọn an toàn hơn như app xác thực.
Không nhận được OTP? Cách khắc phục chung cho mọi ứng dụng
Không nhận được mã OTP? Kiểm tra định dạng số, chờ hết giờ gửi lại, thử cuộc gọi, xem người gửi bị chặn và bộ lọc nhà mạng, rồi biết khi nào nên đổi số.
Số điện thoại cho du mục số: giữ số nhà, thêm số địa phương
Cách dân du mục số vẫn nhận mã từ quê nhà, thêm số địa phương ở mỗi nước và tránh phí roaming, kèm lưu ý thật lòng về ngân hàng và 2FA.
Hướng dẫn khác
Ứng dụng số điện thoại thứ hai tốt nhất: so sánh 4 loại
So sánh ứng dụng số điện thoại thứ hai theo loại: ứng dụng VoIP, dịch vụ kích hoạt một lần, thuê số di động thật và gói eSIM, kèm ưu nhược điểm thực tế.
Google Voice không có ở nước tôi: giờ phải làm sao?
Google Voice không khả dụng ở nước bạn? Xem Google nói Voice hoạt động ở đâu, vì sao tài khoản cá nhân chỉ có ở Mỹ, và các lựa chọn minh bạch như thuê số.
Số ảo, SIM thứ hai hay eSIM: lựa chọn nào hợp với bạn?
So sánh số ảo, SIM thứ hai và eSIM: chi phí, yêu cầu điện thoại, giấy tờ, du lịch, SMS và cuộc gọi, cách giữ số lâu dài để chọn số thứ hai phù hợp.
· SMS Hallo