Dies ist eine API zur Mobiltelefon-Verifizierung, die wir entwickelt haben, indem wir die Richtung umgedreht haben, weil die Kosten für den SMS-Versand bei jeder Einbindung einer Identitätsprüfung für die Registrierung in einem Service belastend waren.
Bei der bisherigen SMS-Verifizierung sendet der Service die Bestätigungsnachricht an den Nutzer (MT, Mobile Terminated). Pro Nachricht fallen 9 bis 50 Won an, dazu kommt eine monatliche Grundgebühr, sodass die Kosten mit steigender Nutzerzahl wachsen; wegen Verträgen und Prüfprozessen kann die Integration zudem 1 bis 2 Wochen dauern.
OCTOMO hat die Richtung umgedreht (MO, Mobile Originated). Der Nutzer sendet mit seinem eigenen Mobiltelefon einen Verifizierungscode per SMS an eine festgelegte Nummer, und der Service prüft die eingegangene Nachricht nur noch per API. Da der Nutzer der Absender der SMS ist, entstehen auf Seiten des Service keine Versandkosten, und weil der Nutzer die Nachricht tatsächlich von diesem Gerät gesendet hat, dient dies als Besitznachweis.
Empfohlen wird folgender Ablauf: Wenn man auf die Verifizierungs-Schaltfläche drückt, öffnet sich die SMS-App bereits mit vorausgefüllter Empfängernummer und Verifizierungscode, und der Nutzer muss nur noch auf „Senden“ tippen. (Da dies per
sms:-Deep Link verarbeitet wird, muss ein Teil davon im Frontend implementiert werden, aber auf Mobilgeräten ist das der Standard.) Weil weder die Nummer falsch eingegeben noch der Code vertippt werden kann, sinkt auch die Fehlerrate.Die API besteht faktisch nur aus einem Endpunkt.
POST /octomo/v1/public/message/exists
- Eingabe: Mobiltelefonnummer + vom Nutzer gesendeter Code
- Ausgabe: Ob innerhalb der letzten 5 Minuten eine SMS mit diesem Code eingegangen ist (
verified: true/false)Der Integrationsablauf ist einfach: „Button tippen → SMS-App automatisch starten (Nummer·Code automatisch eingetragen) → Nutzer sendet → diese API aufrufen und bei true durchlassen“. Es ist weder eine separate App-Installation noch ein SDK nötig; ein REST-Aufruf reicht aus, und wir haben Beispiele für Node/Java/Python in die Dokumentation aufgenommen.
Auch die ehrlichen Grenzen sind dokumentiert.
- Per Deep Link entfällt zwar der Eingabeaufwand, aber der zusätzliche Handlungsschritt bleibt: Der Nutzer muss noch einmal auf „Senden“ tippen (Trade-off gegenüber 0 Won Versandkosten und stärkerem Besitznachweis).
- Da es auf koreanischen Mobiltelefonnummern basiert, ist es nicht für Nutzer im Ausland gedacht.
- Für den Nutzer gelten die SMS-Gebühren seines eigenen Tarifs (bei Flatrates praktisch kostenlos).
Mich würde besonders Feedback zu UX-Bedenken wie „Führt dieser Ablauf nicht zu hoher Nutzerabwanderung?“ oder Hinweise aus Sicherheitsperspektive interessieren. Feedback willkommen.
16 Kommentare
Oh, das ist also eine Art MO-Verifizierung. Es wäre noch besser, wenn erwähnt würde, ob solche Dienste zur Identitätsprüfung oder zum Nachweis des Mobiltelefonbesitzes die rechtlichen Anforderungen wichtiger zuständiger Stellen wie der Finanzaufsicht erfüllen und dadurch Rechtswirksamkeit haben. Viel Erfolg!
Vielen Dank für Ihre Unterstützung!
Vielen Dank, dass Sie so einen guten Service entwickelt haben!
Der Zeitraum für den Empfangsstatus ist derzeit fest auf die letzten 5 Minuten eingestellt.
Es könnte jedoch Fälle geben, in denen man einen kürzeren oder längeren Zeitraum nutzen möchte.
Daher denke ich, dass es auch sinnvoll wäre, wenn sich die Zeitspanne zur Prüfung des Empfangsstatus als Parameter in der API festlegen ließe!
Vielen Dank für Ihr wertvolles Feedback! Wir werden den von Ihnen genannten Punkt prüfen und den Service weiter verbessern.
Da wir diese Funktion intern gebaut und genutzt haben, hatte ich einmal überlegt, ob man zusätzlich ein ähnliches SaaS betreiben könnte,
aber ich hatte den Eindruck, dass es dabei rechtliche Probleme geben könnte.
Denn am Ende würde es darauf hinauslaufen, Kunden das Nutzungsrecht an einer Telefonnummer zu verkaufen, die auf den Namen meines Unternehmens vertraglich abgeschlossen ist.
Da kam mir der Gedanke: Verstößt das nicht womöglich gegen das Telekommunikationsgesetz ...
Ich erinnere mich noch daran, dass man zu Zeiten der Feature-Phones die Absendernummer beliebig ändern konnte
Damals wäre das eine wirkungslose Technik gewesen, aber es ist interessant, dass sie mit dem Wandel der Zeit zu einer nutzbaren Technologie geworden ist
Vielen Dank für Ihr Interesse!
Oh, gute Idee
Vielen Dank!
Bei der Ausstellung der früheren offiziellen Zertifikate wurde ja ebenfalls eine Verifizierung durchgeführt, bei der man wie von Ihnen beschrieben eine bestimmte Zahl per SMS zurücksendet.
Es gibt bereits, wenn auch nur in geringem Umfang, Authentifizierungsmethoden, bei denen der Nutzer auf diese Weise selbst eine Nachricht versendet, daher halte ich spezielles Feedback zum Konzept für unnötig.
Persönlich bevorzuge ich diese Methode gegenüber dem Empfangen und Eingeben eines Bestätigungscodes.
Da für eine gesetzlich vorgeschriebene Identitätsprüfung ohnehin
PASSintegriert sein müsste, betrachte ich das als separaten Fall ...Soweit ich weiß, erfüllen Identitätsprüfung und Besitzprüfung unterschiedliche rechtliche Anforderungen, sodass es Fälle gibt, in denen man zwingend eine Identitätsprüfung verwenden muss. Es wäre gut, wenn klarer beschrieben würde, in welchen Fällen stattdessen auch nur diese Besitzprüfung ausreicht.
Vielen Dank für das Feedback!
Wie Sie gesagt haben, erfüllen Identitätsprüfung und Besitznachweis unterschiedliche Anforderungen,
daher werden wir in der Dokumentation klarer ergänzen, in welchen Fällen allein ein Besitznachweis ausreicht.
Vielen Dank, dass Sie das so präzise angesprochen haben!
Oh, so etwas habe ich mir schon einmal gewünscht, und die API scheint wirklich sehr einfach zu nutzen zu sein ...!
„Der Nutzer sendet den Verifizierungscode mit seinem eigenen Handy per SMS an die angegebene Nummer“
Dieser Teil ist etwas verwirrend – heißt das, man weist den Nutzer an, eine SMS an die von OCTOMO bereitgestellte Nummer zu senden?
Ja, genau! Sie müssen die Nutzer lediglich anweisen, den Verifizierungscode per SMS an die von OCTOMO bereitgestellte Nummer zu senden.
In der App-Umgebung empfehlen wir, einen
sms:-Deep Link zu verwenden, damit sich die Nachrichten-App automatisch öffnet, wenn der Nutzer auf den Verifizierungsbutton tippt!In der Web-Umgebung bieten wir derzeit das Versenden des Verifizierungscodes per SMS an und entwickeln zusätzlich eine QR-Code-Methode.
Wenn der Nutzer den QR-Code scannt, wird er automatisch zur Nachrichten-App weitergeleitet!
Vielen Dank!
Wow, das ist echt super .. Werde ich gut für mein Side-Projekt nutzen haha