Passwortlose Anmeldung

In der Vorschau

Der Code ist die Anmeldung.

Einrichtung in:
Cursor

Passwortlose Anmeldung verzichtet komplett auf das Passwort: Der Nutzer weist nach, dass er eine Telefonnummer oder E-Mail-Adresse besitzt, indem er einen Einmalcode eingibt – und das ist die Anmeldung. Mit Bird Verify ist es derselbe Senden-und-Prüfen-Ablauf – kein Passwort zu speichern, zurückzusetzen oder das kompromittiert werden kann. Silent Network Authentication steht auf der Roadmap, um sogar die Eingabe überflüssig zu machen.

verify.ts
200 · pending
import { BirdClient } from "@messagebird/sdk";

const bird = new BirdClient({ apiKey: process.env.BIRD_API_KEY! });

// Send the code, then check it by recipient.
await bird.verify.verifications.create({
  to: { email_address: "ada@example.com" },
}).safe();

const { data } = await bird.verify.verifications.check({
  to:   { email_address: "ada@example.com" },
  code: userInput,
}).safe();

Der Code ist hier kein zweiter Faktor. Er ist der einzige.

Passwortlos bedeutet, die Bird Verify API als Anmeldung selbst zu nutzen: Erstellen Sie eine Verifizierung für die Adresse, mit der sich der Nutzer anmeldet, und prüfen Sie dann den eingegebenen Code – verifiziert bedeutet eingeloggt. Es gibt keine Passwortzeile zu schützen und keine Verifizierungs-ID zu speichern, und welchen Kanal jeder Nutzer erhält, ist pro Land konfigurierbar. Setzen Sie stattdessen ein Passwort davor, und dieselben Aufrufe ermöglichen Zwei-Faktor-Authentifizierung.

Was Ihnen passwortlose Anmeldung bringt.

Weniger speichern, weniger zu stehlen.

  1. 01

    Kein Passwort zum Kompromittieren.

    Kein Passwort-Hash, der geleakt werden kann, kein Zurücksetzungsablauf zum Phishen und keine Wiederverwendung von Anmeldedaten über Websites hinweg. Der Faktor ist der Besitz eines Kanals.

  2. 02

    Ein Ablauf für Registrierung und Anmeldung.

    Derselbe Erstellen-dann-Prüfen-Ablauf verifiziert eine neue Adresse bei der Registrierung und re-verifiziert sie bei der Anmeldung. Ein Pfad, nicht zwei.

  3. 03

    SMS, E-Mail oder WhatsApp als Anmeldedaten.

    Melden Sie Nutzer über den Kanal an, den Sie bereits für sie haben (SMS, E-Mail oder WhatsApp) – Sprache wird als weitere Option ausgerollt.

  4. 04

    Silent Auth auf der Roadmap.

    Carrier-Network-Verifizierung (Silent), die die Nummer ohne Code-Eingabe bestätigt, ist als zukünftiger Kanal eingeplant – so kann die Reibung weiter sinken, ohne dass ein Umbau nötig ist.

So funktioniert passwortlose Anmeldung

  1. 01

    Der Nutzer gibt die E-Mail-Adresse oder Telefonnummer ein, mit der er sich anmelden möchte.

  2. 02

    Ein einzelner Create-Aufruf sendet einen Einmalcode an diese Adresse.

  3. 03

    Der Nutzer gibt den Code auf Ihrem Bildschirm ein.

  4. 04

    Ein einzelner Check-Aufruf pro Empfänger. Ein verifiziertes Ergebnis gewährt die Sitzung – ohne Passwortabgleich und ohne gespeicherte Daten.

Anmelden mit einem Code, nicht mit einem Passwort.

Senden Sie den Code an die Adresse, die der Nutzer eingibt, und prüfen Sie ihn. Ein verifiziertes Ergebnis ist die Anmeldung – es gibt kein Passwort zum Abgleichen.

passwordless.ts
200
await bird.verify.verifications.create({
  to: { email_address: input.email },
}).safe();

const { data } = await bird.verify.verifications.check({
  to:   { email_address: input.email },
  code: submitted,
}).safe();

// a true result is the login — no password to compare
if (data.result) grantSession(input.email);

FAQ zur passwortlosen Anmeldung

Wie unterscheidet sich passwortlos von 2FA?+
Bei der Zwei-Faktor-Authentifizierung ist der Code ein zweiter Nachweis zusätzlich zum Passwort. Passwortlos entfernt das Passwort und nutzt den Code als einzige Anmeldedaten. Beides ist derselbe Bird Verify Senden-dann-Prüfen-Ablauf – der Unterschied ist, ob ein Passwort davorsteht.
Ist passwortlos ohne Passwort weniger sicher?+
Es entfernt die am häufigsten angegriffene Anmeldeart: Passwörter werden wiederverwendet, gephisht und kompromittiert. Der Einmalcode wird kryptografisch generiert, nur als Hash gespeichert und durch Versuchssperren und Sendelimits geschützt – der Besitz des Kanals ist der Faktor.
Können sich Nutzer anmelden, ohne einen Code einzugeben?+
Genau darauf zielt Silent (Carrier-Network) Authentication ab: Bestätigung der Telefonnummer über das Mobilfunknetz, ohne einen Code eingeben zu müssen. Es ist im Verify-Modell als zukünftiger Kanal eingeplant, sodass die spätere Einführung keinen Umbau Ihrer Anmeldung erfordert.
Von wem sehen meine Nutzer den Code?+
Authifly, Birds Verifizierungsmarke. Sie ist die Identität bei jedem Code, den Ihre Nutzer erhalten: E-Mails kommen von otp@verify.authifly.com oder Ihrer eigenen verifizierten Domain, und SMS sowie WhatsApp tragen das Authifly-Branding. authifly.com ist eine öffentliche Seite, die Empfängern versichert, dass Authifly legitime Einmalcodes im Auftrag eines Unternehmens sendet. Bird ist die Plattform, auf der Sie aufbauen; Authifly ist das, was der Empfänger sieht.

Weg mit dem Passwort. Die API bleibt einfach.

Bird Verify ist der Login selbst, wenn Sie passwortlos arbeiten – SMS und E-Mail sofort verfügbar, mit stiller Netzwerk-Authentifizierung für später bereits integriert.

Starten Sie mit einem Kanal.
Fügen Sie die anderen hinzu, wenn Sie bereit sind.

Ein Test-API-Key steht Ihnen sofort zur Verfügung. Der Produktivzugang wird freigeschaltet, sobald Sie eine Zahlungsmethode hinzufügen und einen Absender verifizieren.

Sie nutzen Claude Code, Cursor oder Codex? Kopieren Sie einen Setup-Prompt und Ihr Agent installiert die Bird CLI und Skills für Sie. Wählen Sie Ihren:

Cursor