Passwortlose Anmeldung

In der Vorschau

Der Code ist die Anmeldung.

Einrichtung in:
Cursor

Passwortloses Anmelden verzichtet komplett auf das Passwort: Der Nutzer beweist den Besitz einer Telefonnummer oder E-Mail-Adresse durch Eingabe eines Einmalcodes – und das ist die Anmeldeinformation. Mit Bird Verify funktioniert es über denselben Senden-und-Prüfen-Ablauf: Kein Passwort, das gespeichert, zurückgesetzt oder kompromittiert werden kann, und stille Netzwerk-Authentifizierung ist auf der Roadmap, um sogar die Eingabe überflüssig zu machen.

verify.ts
200 · pending
import { BirdClient } from "@messagebird/sdk";

const bird = new BirdClient({ apiKey: process.env.BIRD_API_KEY! });

// Send the code, then check it by recipient.
await bird.verify.verifications.create({
  to: { email_address: "ada@example.com" },
}).safe();

const { data } = await bird.verify.verifications.check({
  to:   { email_address: "ada@example.com" },
  code: userInput,
}).safe();

Der Code ist hier kein zweiter Faktor. Er ist der einzige.

Passwortlos bedeutet, die Bird Verify API selbst als Login zu nutzen: Erstellen Sie eine Verifizierung für die Adresse, mit der sich der Nutzer anmeldet, und prüfen Sie den eingegebenen Code – verifiziert heißt eingeloggt. Es gibt keine Passwortzeile zu schützen und keine Verifizierungs-ID zu speichern, und welchen Kanal jeder Nutzer erhält, ist pro Land konfigurierbar. Setzen Sie stattdessen ein Passwort davor, und dieselben Aufrufe ermöglichen Zwei-Faktor-Authentifizierung.

Was Ihnen passwortlose Anmeldung bringt.

Weniger speichern, weniger zu stehlen.

  1. 01

    Kein Passwort zum Kompromittieren.

    Kein Passwort-Hash, der geleakt werden kann, kein Zurücksetzungsablauf zum Phishen und keine Wiederverwendung von Anmeldedaten über Websites hinweg. Der Faktor ist der Besitz eines Kanals.

  2. 02

    Ein Ablauf für Registrierung und Anmeldung.

    Derselbe Erstellen-dann-Prüfen-Ablauf verifiziert eine neue Adresse bei der Registrierung und re-verifiziert sie bei der Anmeldung. Ein Pfad, nicht zwei.

  3. 03

    SMS, E-Mail oder WhatsApp als Anmeldedaten.

    Melden Sie Nutzer über den Kanal an, den Sie bereits für sie haben (SMS, E-Mail oder WhatsApp) – Sprache wird als weitere Option ausgerollt.

  4. 04

    Silent Auth auf der Roadmap.

    Carrier-Network-Verifizierung (Silent), die die Nummer ohne Code-Eingabe bestätigt, ist als zukünftiger Kanal eingeplant – so kann die Reibung weiter sinken, ohne dass ein Umbau nötig ist.

So funktioniert passwortlose Anmeldung

  1. 01

    Der Nutzer gibt die E-Mail-Adresse oder Telefonnummer ein, mit der er sich anmelden möchte.

  2. 02

    Ein einzelner Create-Aufruf sendet einen Einmalcode an diese Adresse.

  3. 03

    Der Nutzer gibt den Code auf Ihrem Bildschirm ein.

  4. 04

    Ein einzelner Check-Aufruf pro Empfänger. Ein verifiziertes Ergebnis gewährt die Sitzung – ohne Passwortabgleich und ohne gespeicherte Daten.

Anmelden mit einem Code, nicht mit einem Passwort.

Senden Sie den Code an die Adresse, die der Nutzer eingibt, und prüfen Sie ihn. Ein verifiziertes Ergebnis ist das Login: Es gibt kein Passwort zum Abgleich.

passwordless.ts
200
await bird.verify.verifications.create({
  to: { email_address: input.email },
}).safe();

const { data } = await bird.verify.verifications.check({
  to:   { email_address: input.email },
  code: submitted,
}).safe();

// a true result is the login — no password to compare
if (data.result) grantSession(input.email);

FAQ zur passwortlosen Anmeldung

Wie unterscheidet sich passwortlos von 2FA?
Bei der Zwei-Faktor-Authentifizierung ist der Code ein zweiter Nachweis zusätzlich zum Passwort. Passwortlos entfernt das Passwort und nutzt den Code als einzige Anmeldeinformation. Beides basiert auf demselben Senden-und-Prüfen-Ablauf von Bird Verify: Der Unterschied ist lediglich, ob ein Passwort davor steht oder nicht.
Ist passwortlos ohne Passwort weniger sicher?
Es entfernt die am häufigsten angegriffene Anmeldeart: Passwörter werden wiederverwendet, gephisht und kompromittiert. Der Einmalcode wird kryptografisch generiert, nur als Hash gespeichert und durch Versuchssperren und Sendelimits geschützt – der Besitz des Kanals ist der Faktor.
Können sich Nutzer anmelden, ohne einen Code einzugeben?
Genau darauf zielt Silent (Carrier-Network) Authentication ab: Bestätigung der Telefonnummer über das Mobilfunknetz, ohne einen Code eingeben zu müssen. Es ist im Verify-Modell als zukünftiger Kanal eingeplant, sodass die spätere Einführung keinen Umbau Ihrer Anmeldung erfordert.
Von wem sehen meine Nutzer den Code?
Authifly, Birds Verifizierungsmarke. Sie ist die Identität bei jedem Code, den Ihre Nutzer erhalten: E-Mails kommen von otp@verify.authifly.com oder Ihrer eigenen verifizierten Domain, und SMS sowie WhatsApp tragen das Authifly-Branding. authifly.com ist eine öffentliche Seite, die Empfängern versichert, dass Authifly legitime Einmalcodes im Auftrag eines Unternehmens sendet. Bird ist die Plattform, auf der Sie aufbauen; Authifly ist das, was der Empfänger sieht.

Weg mit dem Passwort. Die API bleibt einfach.

Bird Verify ist das Login selbst, wenn Sie passwortlos arbeiten: Heute per SMS und E-Mail, mit stiller Netzwerk-Authentifizierung, die für später bereits eingeplant ist.

Starten Sie mit einem Kanal.
Fügen Sie die anderen hinzu, wenn Sie bereit sind.

Ein Test-API-Key steht Ihnen sofort zur Verfügung. Der Produktivzugang wird freigeschaltet, sobald Sie eine Zahlungsmethode hinzufügen und einen Absender verifizieren.

Sie nutzen Claude Code, Cursor oder Codex? Kopieren Sie einen Setup-Prompt und Ihr Agent installiert die Bird CLI und Skills für Sie. Wählen Sie Ihren:

Cursor