Implementar la verificación en dos pasos con SMS

La técnica es sencilla; los detalles determinan si resulta seguro y utilizable.

El código

Con seis cifras basta. Genérelo con una fuente aleatoria de verdad, no con una marca de tiempo. Guárdelo cifrado o como hash, no en forma legible.

El periodo de validez

Unos minutos. Más tiempo aumenta el riesgo sin ayudar al usuario: quien no lo teclea en cinco minutos pide sencillamente uno nuevo.

Limite los intentos

Tanto el número de veces que puede introducirse un código como el número de códigos que pueden solicitarse. Sin ese segundo límite alguien puede hacer que se envíen mensajes a su costa.

Añada contexto

Indique para qué sirve el código. Quien no lo haya pedido sabrá al momento que algo va mal.

Piense en quien no tiene acceso

Un dispositivo perdido o un número cambiado no puede significar una exclusión definitiva. Prevea una vía de recuperación, y no la haga más débil que la propia protección.