O que é uma Senha de Uso Único (OTP) na Autenticação de Pagamento?

Uma senha de uso único, ou OTP, é um código temporário curto usado em uma única etapa de autenticação, como durante a verificação de pagamento. Geralmente, receber uma OTP mostra que o usuário tem acesso ao método registrado para autenticação, como seu telefone ou e-mail.

Um OTP por si só não verifica a titularidade da conta, mas conecta o processo a um dispositivo ou serviço atual. Esses códigos permanecem disponíveis por um curto período ou até serem usados para autenticação, após o que o sistema os reconhece como inválidos. O curto período de validade diminui a chance de que um código possa ser inserido mais de uma vez. Enquanto os códigos são válidos, eles podem ser usados dentro deste período se alguém os interceptar. Como resultado, a segurança do OTP depende de como ele é incorporado ao processo geral de autenticação.

Uma senha estática permanece válida para múltiplos acessos até que você decida atualizá-la ou redefini-la. Em comparação, uma OTP destina-se a um único uso, geralmente tornando-se inativa assim que inserida ou quando o seu curto período de validade expira. Quando as OTPs de sessões anteriores já foram inseridas ou expiraram, elas são simplesmente reconhecidas como inativas pelo sistema.

A utilização de OTPs como método principal aborda cenários específicos, mas é importante notar que eles não foram projetados para lidar com todas as situações, como quando um código é inserido através de diferentes sites ou plataformas enquanto ainda está dentro do seu período de validade. Um atacante que obtém um código válido enquanto ele ainda está ativo pode tentar usá-lo imediatamente.

A geração de OTP e a entrega de OTP são conceitos separados. HOTP e TOTP definem como os códigos são gerados, enquanto SMS, e-mail e voz descrevem os canais pelos quais um código pode ser entregue.

Aplicativos autenticadores podem gerar códigos TOTP no próprio dispositivo, tornando o código disponível localmente em vez de depender de uma mensagem separada ou comunicação de rede para cada uso. Há também a autenticação push, que permite aos usuários aprovar o acesso através de um prompt em vez de inserir um código.

Em um EMV 3-D Secure (3DS) fluxo, o sistema pode, por vezes, solicitar uma confirmação adicional da pessoa que efetua a compra. O Servidor de Controle de Acesso (ACS) do emissor pode analisar a transação e decidir se são necessárias mais etapas para verificar a identidade do usuário.

Uma opção é uma OTP, que é geralmente enviada ao titular do cartão através de um canal registado, como SMS ou e-mail. O indivíduo digita então este código temporário numa caixa de verificação que aparece durante o pagamento. Outras abordagens, como receber um pedido numa aplicação bancária, também podem ser usadas para esta parte do processo.

Após a autenticação necessária ser marcada como bem-sucedida, a transação prossegue para a próxima etapa do processamento de pagamento.

À primeira vista, OTP, MFA e SCA indicam diferentes características do processo de autenticação. Aqui está um rápido resumo:

• OTP: um código de uso único que ajuda a verificar a identidade durante uma interação específica. Onde se enquadra na classificação pode depender da tecnologia envolvida, juntamente com a forma como o código chega ao utilizador.
• MFA: autenticação multifator, significando que o processo utiliza mais de um tipo de verificação, como algo que você sabe, algo que você possui, ou algo que você é.
• SCA: Autenticação Forte do Cliente. Este é um requisito sob as regras de pagamento europeias, que geralmente exige dois (ou mais) elementos de verificação separados, normalmente escolhidos entre fatores de conhecimento, posse e inerência.

Quando aplicado isoladamente, um OTP geralmente fornece uma camada de autenticação e seria tipicamente combinado com outros fatores para se alinhar aos requisitos de MFA ou SCA. No entanto, um OTP pode atuar como um elemento em uma configuração multifator, e, em alguns casos, a forma como você acessa seu OTP pode precisar de uma segunda etapa de verificação.
Para pagamentos eletrônicos remotos sujeitos a SCA, existem frequentemente requisitos adicionais, como vincular o código de autenticação a detalhes como o valor do pagamento e quem recebe o pagamento.

Ao analisar as opções de OTP para autenticação de pagamentos, as empresas geralmente avaliam uma série de áreas práticas. A segurança costuma ser o foco, juntamente com a facilidade de entrega dos códigos aos usuários, a compatibilidade da solução com os sistemas existentes e a experiência de uso para as pessoas.
Cada método de entrega precisa de algo diferente: SMS e voz dependem das telecomunicações, enquanto os códigos baseados em aplicativo funcionam em dispositivos cadastrados sem a operadora de telefonia, mas exigem uma configuração única.
Algumas coisas que as empresas podem fazer são:

• Acompanhar as taxas de sucesso das etapas de autenticação, separando os dados por localização e canal.
• Manter registros de com que frequência os códigos expiram, quantas tentativas de reenvio os usuários fazem e como as várias tentativas de autenticação progridem.
• Planeje e documente quais alternativas estão disponíveis caso a opção principal não funcione para alguém.
• Avalie fatores como phishing potencial e como cada abordagem funciona durante situações de recuperação de conta.
• Verifique como cada método de autenticação se alinha com os requisitos para 3DS, MFA ou SCA quando aplicáveis.

Para ter uma perspectiva útil, as equipes frequentemente analisam a experiência de autenticação completa – não apenas a entrega do código OTP como uma parte isolada, mas como um elo no processo de pagamento geral do usuário.