验证码不发短信，而是打电话来时

三种验证电话

下表中的每一种验证电话，到来的方式都一样：电话响了。区别在于接下来必须发生什么，而这恰恰是几乎没人公开说明的部分。

尾号验证流程，一步步看

这种方式最容易让人困惑。全程没有任何语音，也没有消息可读。屏幕会让你输入刚才来电号码的最后四位。

在来电转文字的线路上，来电号码会显示在消息旁边。这种流程只需要这些。号码类型如何决定服务是否接受解释了为什么真实手机线路比网络号码能通过更多验证。

哪些公司真的提供电话验证

名单很短。以下公司在自己的页面上说明可以通过电话接收验证码：

• Google：“Codes can be sent in a text message or a voice call, which depends on the setting you chose.”（验证码可以通过短信或语音电话发送，取决于你选择的设置。）
• Apple：“You can choose to receive the codes by text message or automated phone call.”（你可以选择通过短信或自动电话接收验证码。）
• Microsoft：提供电话验证，就是上文的按键流程。
• PayPal：除短信外，还可以打电话到固定电话。在大型支付公司里，这是最接近公开表明号码类型立场的做法。
• Amazon：KDP 提供语音电话验证，只注明“OTP through calls are not supported on Landlines”（固定电话不支持通过电话接收一次性验证码）。

更有参考价值的，是那些什么都没说的公司。Discord、Steam 和 Coinbase 完全没有说明语音选项。Chase 没有描述电话验证的具体方式。Bank of America 只公开了短信或电子邮件。除了 Telegram 的开发者文档，几乎没有人公开说明他们的验证电话到底怎么运作。各服务对 VoIP 号码和验证码的公开说明是完整的、注明日期的记录。

这对 Cleat 线路意味着什么

Cleat 线路只能接收。你不能用它接听、收听、录制、拨打或回拨电话。它无法拨打 911。来电会被转成文字，和短信放在同一个收件箱里，系统会提取验证码，并显示来电号码。遇到需要按键的流程，线路会替你按。

上面三种流程都能覆盖。但这不代表任何服务都会接受任何号码，没有哪家服务商能做出这种承诺。如果某个服务的电话验证决定了你买不买，请在第一个月内测试。

语音验证码正在被淘汰，这话应该由我们来告诉你

Microsoft 在描述按键流程的同一页文档中写道：“Microsoft recommends users move away from using text messages or voice calls for multifactor authentication.”（Microsoft 建议用户不要再使用短信或语音电话进行多重身份验证。）该页还链接了 Microsoft 自己的一篇文章，标题是 *It's Time to Hang Up on Phone Transports for Authentication*（是时候放弃用电话渠道做身份验证了）。Google 对其弱点说得更直白：“verification codes sent by texts or calls can be vulnerable to phone number-based hacks”（通过短信或电话发送的验证码可能遭受基于电话号码的攻击）。

两家说得都对，而承认这一点会让我们少做一单生意。电话号码只是一种接收途径，并不能提升安全性。如果服务提供身份验证器应用或通行密钥，请用它们。号码适合那些别无选择的账户，而这样的账户仍然很多。我们的线路不适用的场景对此有更详细的论述。

这个页面不适合谁

想找免费或共享线路来接收验证电话的人。那些提供在线接收电话的网站都是公共号码池，其他盯着这个号码的人也会听到你的验证码。我们如何处理你的验证码，以及谁能看到是我们这边的做法。一条 Cleat 线路就是一个号码，只要你付费就专属于你，价格为每月 US$24.99。

你是在开发，而不是登录？转写文字会像短信一样触发 Webhook。开发者说明介绍了推送的数据格式。