SMS OTP entegrasyonu: gönderimden doğrulamaya
Sunucu tarafı entegrasyon, kod yaşam döngüsü, tekrar gönderim ve hata yönetimi için uygulama rehberi.
Akışı iki ayrı işlem olarak modelleyin
İlk işlem kod talebi, ikinci işlem kod doğrulamasıdır. Kod talebinde kullanıcı oturumunu, telefon numarasını ve işlem amacını kontrol edin. Kod doğrulamasında ise yalnızca kodu karşılaştırmakla yetinmeyin; isteğin aynı kullanıcıya ve aynı amaca ait olduğunu da doğrulayın.
Telefon değişikliği için üretilen kod, hesap kurtarma işleminde kullanılamamalıdır. Bu ayrımı sağlamak için doğrulama referansını kullanıcı ve işlem bilgileriyle sunucuda ilişkilendirin.
API anahtarını sunucuda saklayın
Mobil uygulama veya tarayıcı SMS sağlayıcısına gizli anahtarla doğrudan bağlanmamalıdır. İstemci kendi uygulama sunucunuza istek gönderir. Gönderim yetkisi ve limit kontrolleri tamamlandıktan sonra sunucunuz SMS API çağrısını yapar.
Servis adresini ve anahtarı ortam yapılandırmasında tutun. Test ve üretim ortamlarında ayrı kimlik bilgileri kullanın. Hata izleme sistemine tüm istek başlıklarını veya kod içeren mesaj gövdesini göndermeyin.
Zaman aşımı ve yeniden denemeyi birlikte tasarlayın
Ağ zaman aşımı, gönderimin gerçekleşmediğini kesin olarak göstermez. Sağlayıcı isteği işleyip yanıtı size ulaştıramamış olabilir. Aynı isteği hemen tekrarlamak, çift SMS ve ek ücret oluşturabilir. Sağlayıcının tekrar önleme veya durum sorgulama imkânını değerlendirin.
Kullanıcının yeniden gönderim butonuna basmasıyla sistemin teknik bir hatayı yeniden denemesi farklı olaylardır. İkisi için de açık sınırlar belirleyin. Kod ömrünün uzun bir iş kuyruğunda beklerken tükenmesini önleyin.
Canlıya geçişte hangi senaryolar test edilmeli?
- Geçerli kodla tek başarılı doğrulama ve aynı kodun ikinci kez reddi.
- Yanlış kod, süresi dolmuş kod ve başka işleme ait kod.
- Aynı anda gelen iki doğrulama isteği.
- Çift tıklama ve yoğun yeniden gönderim.
- API reddi, bağlantı kesintisi ve gecikmiş teslimat.
Bu kontrollerin tarayıcıda gösterilmesi kullanıcı deneyimini iyileştirir; gerçek güvenlik kontrolleri sunucuda uygulanmalıdır. Başarı oranını yalnızca API yanıtlarına göre değil, tamamlanan doğrulama sayısına göre de ölçün.