API אימות הוא שירות שמאמת שמספר טלפון שייך למי שמזין אותו: קריאה אחת שולחת למשתמש קוד חד-פעמי ב-SMS, וקריאה שנייה בודקת אם הקוד שהוקלד נכון. השירות מייצר את הקוד, שומר עליו, סופר ניסיונות ומנהל את התוקף, והקוד שלך רק שואל "אושר או לא".
לא לבלבל עם אימות מול ה-API
הצירוף "אימות API" משמש גם לדבר אחר: הדרך שבה הקוד שלך מזדהה מול שירות, בדרך כלל עם מפתח API. שם מאמתים את המערכת שפונה. כאן מאמתים את המשתמש שלך ואת הטלפון שלו.
מה השירות לוקח ממך
מי שבונה אימות לבד על שליחת SMS רגילה צריך לייצר קוד אקראי, לשמור אותו בבטחה, לקבוע תוקף, לספור ניסיונות שגויים, להגביל שליחות חוזרות ולהתגונן מפני ניצול. API אימות עושה את כל אלה בצד שלו, ובצד שלך נשמר רק מזהה האימות.
איך זה נראה ב-Sendy
אימות (OTP) של Sendy עובד בשתי קריאות: POST /v1/verify שולח קוד של 6 ספרות כברירת מחדל, או 4, ו-POST /v1/verify/{id}/check עונה אם הקוד אושר. הקוד תקף 10 דקות, ננעל אחרי 5 ניסיונות שגויים, ואפשר לשלוח אותו שוב אחרי 60 שניות ועד 3 שליחות. Sendy שומרת רק חתימה של הקוד, לא את הקוד עצמו. קרדיט אחד לכל קוד שנשלח, והבדיקה לא עולה קרדיט. הקודים נשלחים למספרים סלולריים ישראליים, מהשולח המאושר של החשבון.