¿Cómo crear una lógica de repetición de 2FA verdaderamente eficiente?

Los métodos de autenticación de dos factores están presentes en cada momento de nuestras vidas; por ejemplo, al acceder o registrar cuentas, al autorizar una transacción bancaria o solicitar una nueva contraseña. Sin embargo, ante el vertiginoso ritmo en el que se mueve el mundo actual, las prisas y rutinas de las personas n dan espera para obtener OTPs (contraseñas de un solo uso) demasiado tardadas. ¿Qué podría producir más ansiedad que un PIN que se tarda en llegar a nuestros buzones?

Tener que enviarles un nuevo PIN o código a tus clientes no únicamente entorpecerá su experiencia de ellos con tu marca, sino que, además, se traducirá en costos adicionales para tu empresa. De hecho, no es poco común que el envío fallido de OTPs repercuta directamente en las tasas de conversión y las ganancias generales de una empresa.

Por ello, para evitarte problemas, es recomendable crear una eficaz lógica de repetición -también conocida como lógica de conmutación por error- para efectuar con éxito tu autenticación de dos factores (2FA). Esta lógica o conjunto de reglas le permitirá a tu empresa ofrecerles a tus clientes la seguridad que se merecen, sin necesitad de incurrir en gastos adicionales ni de alterar su experiencia.

¿Quiere saber más acerca de cómo funciona esta lógica de conmutación por error de 2FA y cuáles son las mejores prácticas para implementarla? ¡Sigue leyendo y descúbrelo!

La autenticación de dos factores es un proceso de seguridad que requiere que un usuario proporcione un segundo elemento de verificación de identidad antes de poder acceder a una cuenta o realizar una transacción.

Normalmente, esta 2FA se realiza combinando el uso de una contraseña y un código de un solo uso enviado a algún canal de comunicación, como SMS, WhatsApp o correo electrónico. Este método permite evitar la filtración de datos y la propagación de los ciberdelitos.

Para conocer más en torno al concepto, accede a nuestra guía integral donde conocerás todo acerca de la autenticación de dos factores.

Una lógica de repetición de 2FA es un conjunto de reglas diseñadas para enviar y reenviar OTPs para verificar la identidad de un usuario. Es a través de dicha lógica que es posible crear alternativas para garantizar que los códigos de verificación serán entregados al usuario de una forma u otra.

Algunas de estas reglas pueden incluir rangos predeterminados que determinen, por ejemplo:

Cada día se envían millones de códigos de un solo uso para garantizar la seguridad de los usuarios en todo el mundo. Sin embargo, no todas las empresas piensan en la lógica de repetición para dar vida de forma integral y satisfactoria a sus estrategias de 2FA.

¡Error! Después de todo, diseñar una estrategia de conmutación por error en pro de la autenticación de los usuarios te permitirá:

Es fundamental que tu usuario pueda seleccionar en qué canal quiere recibir su PIN antes de realizar cualquier envío. Esto se debe a que factores como la falta de acceso a la red o a internet pueden comprometer la recepción de códigos.

En este sentido, te recomendamos ofrece al menos dos opciones de algunas de las más comunes: SMS, WhatsApp, Voz, Email, notificaciones push y biometría.

Otra forma de garantizar la entrega de mensajes es configurar alternativas de failover predeterminadas para cada canal.

Admitámoslo: ¡los seres humanos tendemos a ser bastante impacientes! Por lo tanto, es recomendable evitar que tu usuario tenga la opción de solicitar más de un código de verificación en un corto espacio de tiempo.

Normalmente, las empresas añaden buffers de 30 a 60 segundos en el primer intento y de 60 a 90 segundos en el segundo intento. Después de eso, puedes restringir la solicitud por un tiempo un poco más largo, por ejemplo 5 minutos.

Una buena práctica es la de cambiar el color del botón “Enviar código de verificación”, eliminar la posibilidad de dar clic durante ese período de tiempo y agregar un temporizador para que el usuario sepa en cuánto tiempo podrá solicitar un nuevo código.

Se recomienda restringir la cantidad de PINs que tus usuarios pueden recibir/usar a lo largo de un día. Lo más común es que después de 5 envíos, el servicio se bloquee temporalmente durante 24 horas.

Esto reduce las posibilidades de que las solicitudes constantes realizadas por robots sobrecarguen tu API y generen altas tarifas de cobro por el envío de mensajes.

En los casos en los que el servicio se halle bloqueado temporalmente para un determinado usuario, es importante ofrecerle una alternativa -ej. un chatbot o una línea de atención telefónica- para que, de ser necesario, éste pueda resolver sus inconvenientes o preguntas frecuentes.

Si un cliente ingresa incorrectamente su número telefónico, es posible que nunca reciba sus PINs de verificación. Por lo tanto, después de intentar enviar un PIN en vano, solicítale a tu usuario que verifique su número o correo o incluso que vuelva a ingresarlo.

Otra opción es utilizar una solución como Number Lookup, la cual analiza si un número existe, si es de teléfono fijo y si está activo, incluso antes de enviar cualquier tipo de PIN. De esta manera, le evitas a tus clientes errores comunes como el de meter mal el dedo e insertar incorrectamente su data.

Si un usuario solicita un nuevo código de verificación, es fundamental que invalides el código enviado previamente, incluso si no fue utilizado por el usuario.

De esta forma, garantizas más seguridad, especialmente si tu cliente cambió de canal entre el primer y el segundo envío.

Es muy importante que restrinjas la duración de la validez de un código PIN como forma de 2FA. Para la mayoría de las empresas, este tiempo oscila entre 60 segundos y 1 hora.

Pasado este tiempo, aunque el usuario no haya solicitado un nuevo código ni haya utilizado el código enviado, tendrá que solicitar uno nuevo para completar su verificación de identidad.

Recuerda que podrás modificar este la duración dependiendo de qué tan crítica sea la verificación requerida. ¿Tu usuario está intentando realizar una transacción de alto valor? En ese caso, ¡el tiempo de caducidad debería ser más corto! Si por el contrario se trata de una validación simple, la duración podrá extenderse un poco más.

Para asegurarte de no desperdiciar recursos en tus estrategias de 2FA, es una buena idea estar atento a las métricas relacionadas con el envío de tus PINs de verificación.

Es especialmente importante observar la proporción entre cuántos PINs fueron enviados y cuántos fueron verdaderamente utilizados y separar este análisis por canal. Medir esta tasa de conversión te permitirá comprender cómo tus clientes utilizan tu servicio de 2FA y qué tan conveniente es para ellos.

Esta información adicional puede ayudarte a optimizar tu estrategia 2FA, haciéndola más fácil de usar y más asertiva.

Infobip ayuda a las empresas globales y a las PYMES a proteger a sus clientes y transacciones contra el fraude. Por ello, recientemente lanzamos una solución diseñada para simplificar aún más los procesos de autenticación sin por ello comprometer la seguridad de las personas. l

Infobip Authenticate es una solución como ninguna otra en el mercado ya que incorpora múltiples canales y analiza múltiples factores -incluidos el costo y la popularidad- para determinar el mejor canal para el envío de cada OTP. Los canales actualmente disponibles para la entrega optimizada de OTPs son SMS, RCS, WhatsApp, Voz, Viber, Zalo y KakaoTalk. Lo anterior garantiza que tus PINs sean entregados de manera más rápida y confiable.

La solución está diseñada para integrarse perfectamente en tus procesos y herramientas actuales, de modo que tus clientes se beneficien de una experiencia sencilla y consistente que reduce la fricción al registrar y actualizar su cuenta.

¿Quieres conocer algunas de las marcas que ya confían en Infobip para sus estrategias de autenticación y seguridad?

Habla con uno de nuestros expertos y obtén más información acerca de Infobip Authenticate y de todas nuestras soluciones de seguridad.