Когда код приходит звонком, а не SMS

Три вида звонков

Все звонки с кодом из этой таблицы приходят одинаково: телефон звонит. Различается то, что должно произойти дальше, и именно это почти никто не публикует.

Код из последних цифр: шаг за шагом

Этот сценарий сбивает с толку чаще всего. Ничего не произносится, и читать нечего. Экран просит ввести последние четыре цифры номера, с которого вам только что позвонили.

На линии, где звонки расшифровываются, номер звонящего показан рядом с сообщением. Больше этому сценарию ничего не нужно. Как тип номера определяет, что примет сервис — о том, почему настоящая мобильная линия проходит больше проверок, чем интернет-номер.

Кто на самом деле предлагает звонок

Список короткий. Вот компании, на чьих собственных страницах сказано, что код можно получить звонком:

• Google — “Codes can be sent in a text message or a voice call, which depends on the setting you chose.” («коды приходят в SMS или голосовым звонком, в зависимости от выбранной настройки»).
• Apple — “You can choose to receive the codes by text message or automated phone call.” («вы можете получать коды в SMS или автоматическим телефонным звонком»).
• Microsoft — предлагает звонок, и это сценарий с нажатием клавиши, описанный выше.
• PayPal — наряду с SMS предлагает звонок на стационарный телефон. Ближе к публичной позиции по типу номера не подошла ни одна крупная платёжная компания.
• Amazon — предлагает голосовой звонок для KDP и отмечает лишь, что “OTP through calls are not supported on Landlines” («одноразовые коды звонком на стационарные телефоны не поддерживаются»).

Полезнее другая половина — молчание. Discord, Steam и Coinbase вообще не описывают голосовой вариант. Chase не объясняет, как устроен звонок. Bank of America указывает только SMS или электронную почту. Кроме документации Telegram для разработчиков, почти никто не публикует, что на самом деле происходит в их звонке. Что каждый сервис публикует о VoIP-номерах и кодах — полная подборка с датами.

Что это значит для линии Cleat

Линия Cleat работает только на приём. На ней нельзя ответить на звонок, прослушать его, записать, позвонить или перезвонить. С неё нельзя дозвониться до 911. Входящий звонок расшифровывается и попадает в те же входящие, что и SMS: код извлекается, номер звонящего показывается. Если сценарий требует нажать клавишу, линия нажмёт её за вас.

Это покрывает все три сценария выше. Но это не значит, что любой сервис примет любой номер. Такого не может обещать ни один провайдер. Если от звонка конкретного сервиса зависит ваша покупка, проверьте его в первый месяц.

Голосовые коды уходят в прошлое, и лучше вам услышать это от нас

В документации Microsoft, на той же странице, где описан сценарий с нажатием клавиши, сказано: “Microsoft recommends users move away from using text messages or voice calls for multifactor authentication.” («Microsoft рекомендует пользователям отказаться от SMS и голосовых звонков для многофакторной аутентификации»). Там же есть ссылка на заметку самой Microsoft под названием *It's Time to Hang Up on Phone Transports for Authentication* («Пора отказаться от телефонных каналов для аутентификации»). Google говорит о слабом месте прямее: “verification codes sent by texts or calls can be vulnerable to phone number-based hacks” («коды подтверждения, отправленные в SMS или звонком, могут быть уязвимы для атак через номер телефона»).

Правы оба, и признавать это нам невыгодно. Номер телефона — это способ доставки, а не усиление защиты. Если сервис предлагает приложение-аутентификатор или ключ доступа (passkey), используйте их. Номер нужен для аккаунтов, которые не оставляют другого выбора, а таких всё ещё много. Когда наша линия — не решение — о том же, но подробнее.

Кому эта страница не подойдёт

Тем, кто ищет бесплатную или общую линию для звонков с кодами. Сайты, которые предлагают принимать звонки онлайн, — это публичные пулы номеров. Любой, кто следит за таким номером, тоже услышит ваш код. Как мы обращаемся с вашими кодами и кто может их прочитать — наша сторона вопроса. Линия Cleat — это один номер, только ваш, пока вы за него платите, за 24,99 $ в месяц.

Вы не входите в аккаунты, а разрабатываете? Расшифровка звонка вызывает вебхук точно так же, как SMS. Формат данных описан в заметках для разработчиков.