Stoppen Sie Brute-Force-Raten und automatisierten OTP-Missbrauch.
Schützen Sie Verifizierungsabläufe bei Registrierung, Login und Step-up gegen Brute-Force-Raten von Codes, automatisierte Sendeschleifen und SMS-Pumping, ohne legitime Nutzer auszubremsen. Bird Verify speichert Bestätigungscodes gehasht, setzt Versuchslimits und Ablaufzeiten pro Sitzung durch, begrenzt wiederholte Sendungen pro Empfänger und lässt Sie Länder, die Sie nicht bedienen, sperren, bevor eine Nachricht gesendet wird.
verify.ts
200 · pendingimport { BirdClient } from "@messagebird/sdk"; const bird = new BirdClient({ apiKey: process.env.BIRD_API_KEY!, }); // Send the code, then check it by recipient. await bird.verify.verifications.create({ to: { phone_number: "+15551234567" }, }).safe(); const { data, error } = await bird.verify.verifications.check({ to: { phone_number: "+15551234567" }, code: userInput, }).safe(); if (error) throw error;
Ihr Konto
Bestätigen Sie, dass Sie es sind.
Geben Sie den Code ein, der gesendet wurde an
+1 ••• ••• 4567
verify.ts
200 · pendingimport { BirdClient } from "@messagebird/sdk"; const bird = new BirdClient({ apiKey: process.env.BIRD_API_KEY!, }); // Send the code, then check it by recipient. await bird.verify.verifications.create({ to: { phone_number: "+15551234567" }, }).safe(); const { data, error } = await bird.verify.verifications.check({ to: { phone_number: "+15551234567" }, code: userInput, }).safe(); if (error) throw error;
Ihr Konto
Bestätigen Sie, dass Sie es sind.
Geben Sie den Code ein, der gesendet wurde an
+1 ••• ••• 4567
verify.ts
200 · pendingimport { BirdClient } from "@messagebird/sdk"; const bird = new BirdClient({ apiKey: process.env.BIRD_API_KEY!, }); // Send the code, then check it by recipient. await bird.verify.verifications.create({ to: { phone_number: "+15551234567" }, }).safe(); const { data, error } = await bird.verify.verifications.check({ to: { phone_number: "+15551234567" }, code: userInput, }).safe(); if (error) throw error;
Ihr Konto
Bestätigen Sie, dass Sie es sind.
Geben Sie den Code ein, der gesendet wurde an
+1 ••• ••• 4567
Sichern Sie OTP-Abläufe ohne eigene Rate-Limiter.
Wer die Verifizierung selbst absichert, muss Redis-Zähler für Wartezeiten beim erneuten Senden pflegen, Fehlversuche pro Sitzung erfassen, Codes vor dem Schreiben in die Datenbank hashen und Traffic in Länder herausfiltern, in denen Sie nicht tätig sind. Mit der Bird Verify API greifen diese Schutzmechanismen automatisch bei jeder Verifizierungssitzung. Bestätigungscodes im Klartext erscheinen weder in API-Antworten noch in Anwendungslogs, Prüf-Endpunkte setzen begrenzte Versuchskontingente und Limits pro Minute durch, und in den Workspace-Einstellungen passen Sie Ablaufzeiten und erlaubte Ziele für Zwei-Faktor-Login und passwortlose Anmeldung an.
So schützt Bird Verifizierungssitzungen vor Missbrauch.
Standard-Schutzmechanismen und Workspace-Einstellungen gegen Code-Raten, Sendefluten und unerwünschten internationalen Traffic.
- 01
Erzeugen Sie unvorhersehbare Bestätigungscodes.
Erzeugen Sie standardmäßig 6-stellige numerische Bestätigungscodes (oder 4 bis 8 Stellen pro Anfrage) aus einer kryptografischen Zufallsquelle über den gesamten Coderaum, damit Angreifer Codes nicht aus Zeitstempeln oder fortlaufenden Zählern ableiten können.
- 02
Halten Sie Klartext-Codes aus Logs und Antworten heraus.
Speichern Sie Bestätigungscodes als HMAC-SHA256-Hashes und lassen Sie den Klartext in API-Antworten, Webhook-Payloads und Dashboard-Logs weg, damit geleakte Anwendungslogs oder Support-Ansichten keine aktiven Codes preisgeben.
- 03
Prüfen Sie eingereichte Codes in konstanter Zeit.
Vom Nutzer eingegebene Ziffern werden für alle aktiven Versuche der Sitzung in konstanter Zeit geprüft, sodass die Antwortzeit Angreifern nichts darüber verrät, wie viele Ziffern übereinstimmten.
- 04
Sperren Sie Brute-Force-Raten und lassen Sie veraltete Sitzungen ablaufen.
Begrenzen Sie jede Sitzung standardmäßig auf 5 Prüfversuche und eine Ablaufzeit von 10 Minuten, oder passen Sie beide Limits in Ihren Workspace-Einstellungen an. Sobald das Versuchskontingent aufgebraucht oder die Zeit abgelaufen ist, wird die Sitzung geschlossen und weitere Prüfungen werden abgelehnt, abgesichert durch eine Drosselung der Prüfungen pro Minute.
- 05
Begrenzen Sie wiederholte Sendungen und sperren Sie ungenutzte Länder.
Setzen Sie eine Wartezeit von 60 Sekunden für erneutes Senden (konfigurierbar bis zu einer Stunde) und eine gleitende Obergrenze von 5 Sendungen pro Empfängeradresse und Stunde durch, damit Bots weder das Telefon eines Nutzers fluten noch Ihr Guthaben aufbrauchen. Deaktivieren Sie im Dashboard Länder, die Sie nicht bedienen, um SMS-Pumping an diese Ziele zu blockieren, bevor eine Nachricht gesendet wird.
Helfen Sie echten Nutzern bei Tippfehlern und stoppen Sie Brute-Force-Schleifen.
Vertippt sich ein Nutzer, teilt die Prüfantwort Ihrer App mit, wie viele Versuche verbleiben, damit Sie ihn zu einem erneuten Versuch auffordern können. Ist das Versuchskontingent der Sitzung aufgebraucht, wird die Verifizierung automatisch geschlossen und blockiert weitere Eingaben, bis eine neue Sitzung gestartet wird.
const { data, error } = await bird.verify.verifications.check({
to: { phone_number: "+15551234567" },
code: guess,
}).safe();
if (error) throw error;
// wrong code, attempts left → { success: false, reason: "incorrect_code", attempts_remaining: 2 }
// budget spent, session done → { success: false, reason: "attempts_exhausted", attempts_remaining: null }Demnächst: automatische Risikosignale und Ausgabenobergrenzen.
Ergänzend zur Ländersteuerung und den Sendelimits pro Empfänger bauen wir eine Betrugsschutzebene direkt in den Lebenszyklus der Verifizierung ein. Da sie auf denselben Sende- und Prüf-Endpunkten läuft, kann Ihr Team Risikoregeln per Konfiguration aktivieren, ohne den Anwendungscode zu ändern.
Risikosignale bei Verifizierungsanfragen. Übergeben Sie beim Start einer Verifizierung Geräte-, IP- und Anfragekontext, damit riskante Versuche blockiert werden, bevor eine Nachricht versendet wird und Carrier-Gebühren anfallen.
Geschwindigkeitslimits pro Präfix und Ausgabenobergrenzen. Kombinieren Sie Sendelimits pro Land und Präfix mit Verifizierungslimits für den Workspace, um Angriffe mit künstlich aufgeblähtem Traffic (AIT) auf Premium-Nummernbereiche zu stoppen, bevor sie Ihr Budget aufbrauchen.
Entscheidungen auf Basis der Zustellhistorie. Bewerten Sie neue Verifizierungsanfragen anhand der Versuchs- und Konversionshistorie, die Bird Verify kanalübergreifend erfasst, und geben Sie blockierte Ergebnisse direkt über Ihren bestehenden Status-Handler aus.
Bauen Sie auf der Verify-Plattform auf
Mehrkanal-Zustellung, Fallback-Routing und Authentifizierungsabläufe auf derselben API.
Skalieren, ohne
die Kontrolle zu verlieren.
Organisieren Sie Teams in Workspaces, steuern Sie den API-Zugriff und verfolgen Sie Änderungen über Audit-Logs.
Organisation
Harbor
Zugriff bleibt in seinem Workspace.
Produktion/API-Schlüssel
Anmeldedienst
AktivAlex Lee
Admin
Heute · UTC
Audit-Protokoll
Organisation
Harbor
Zugriff bleibt in seinem Workspace.
Produktion/API-Schlüssel
Anmeldedienst
AktivAlex Lee
Admin
Heute · UTC
Audit-Protokoll
Organisation
Harbor
Zugriff bleibt in seinem Workspace.
Produktion/API-Schlüssel
Anmeldedienst
AktivAlex Lee
Admin
Heute · UTC
Audit-Protokoll