Как сделать авторизацию в интернет-магазине через разовые SMS-пароли

При запуске любого интернет-магазина возникает вопрос: как клиент будет входить в свой аккаунт и оформлять заказ? Очевидно, можно ограничиться email. Но с помощью SMS-авторизации магазин сможет лучше понимать потребности своих клиентов, быстрее доставлять коды авторизации и в дальнейшем наладить маркетинговые сообщения.

Как сделать авторизацию в интернет-магазине через разовые SMS-пароли. Фото: из архива компании

Настроить механику не так сложно. Сервисов для авторизации через SMS-пароли множество, у каждого есть свои плюсы-минусы:

SMS-шлюзы предоставляют API для отправки сообщений хоть с сайта, хоть из приложения. За каждое сообщение необходимо платить.
Специализированные платформы для аутентификации вроде Authy.com, предоставляют API для многофакторной аутентификации через SMS
Сервисы идентификации мобильных номеров, такие как Firebase Authentication от Google. Подходят для аутентификации через мобильные номера, включая SMS-коды.
API-платформы, вроде МТС Exolve. Здесь вы тоже получите API, но оплата идет в соответствии с тарифным планом, за каждое сообщение. Кроме отправки и получения сообщений, вы можете получать аналитику, настраивать дальнейшие коммуникации и даже подключить каскадные рассылки.
Собственный SMS-шлюз — неплохой вариант, если у вас достаточно времени на настройку и хорошие навыки в области программирования и сетевых технологий. Сделать и забыть не получится, свой шлюз придётся постоянно поддерживать и развивать.

Какой вариант вы ни выберете, следующий порядок действий примерно одинаков:

Настраиваете интеграцию с SMS-шлюзом. Делать придется внутренней команде, поэтому при выборе рекомендуем искать шлюз с адекватной техподдержкой, понятной документацией и, в идеале, с дружелюбным комьюнити. По этим параметрам как раз подойдёт МТС Exolve.
Организуете хранение данных. Утечка паролей принесёт столько проблем, что лучше к шифрованию и хранению информации заранее подойти серьезно и сделать стабильную базу данных.
Внедряете генератор паролей. Не стоит каждый раз самостоятельно придумывать и искать их. Хорошо подойдет криптографически безопасный генератор случайных чисел.
Создаете интерфейс пользователя, в котором как минимум есть место для ввода номера телефона и для ввода разового пароля, полученного по SMS. При необходимости можете получить больше информации, тот же email.
Пишете код для проверки пароля, который будет сравнивать введенный пароль с тем, что сгенерирован. Сразу стоит подумать и о сроке действия пароля.

Кроме этого, стоит вести логи действий пользователей и отслеживать их активность, чтобы быстро среагировать на потенциальные атаки или другую непонятную активность. Некоторые сервисы проконтролируют этот момент за вас.