Mohu bezpečně používat dočasnou poštu pro OTP ověřovací kódy? Co funguje a co selže

Klíčové poznatky

Ano. Dočasná schránka může přijmout OTP nebo ověřovací kód, když služba pošle kód e-mailem, přijme jednorázové adresy a doručí jej dříve, než zpráva nebo schránka ztratí dostupnost. Dočasná pošta nemůže přijímat SMS kódy ani kódy z autentizačních aplikací. Pokud stránka odmítá jednorázový e-mail, použijte dlouhodobou adresu, kterou máte pod kontrolou, místo abyste se snažili obejít omezení.

• Pouze e-mail. Dočasná pošta přijímá kódy zaslané e-mailem. Nemá telefonní číslo, takže nemůže přijímat textové zprávy, hlasové hovory ani kódy generované v autentizační aplikaci.
• Tři podmínky. Služba musí kód poslat e-mailem, přijmout adresu a doručit ho, dokud můžete schránku otevřít.
• Odmítnutí je konečné. Když stránka odmítne jednorázový e-mail nebo je později potřeba obnovit účet, zaregistrujte se s dlouhodobým e-mailem, který máte pod kontrolou.
• Silnější přihlášení u účtů, na kterých záleží. E-mailové a textové kódy jsou slabou formou ochrany při přihlašování; autentizační aplikace je silnější a přístupový klíč odolává phishingu.

Může dočasná pošta přijímat OTP kódy?

Ano. Dočasný e-mail může přijmout ověřovací kódy, když služba pošle kód e-mailem. Jednorázová schránka přijímá poštu stejnou standardní SMTP cestou jako trvalá schránka: služba zprávu sestaví, její poštovní server ji předá a dočasný poštovní server ji přijme. Pokud jste v jednorázových schránkách noví, náš průvodce dočasnou poštou pokrývá základy.

To, zda kód dorazí k vám, závisí méně na dočasné poště samotné a více na odesílateli. Služba rozhoduje, zda přijme jednorázovou adresu, jak rychle odesílá a jak dlouho platí kód. Zbytek této stránky se věnuje tomu, kdy doručení funguje, proč kódy selhávají, jak se e-mailové kódy liší od jiných metod ověřování a co dělat, když jeden nedorazí.

E-mailové OTP vs SMS OTP, autentizační aplikace a přístupové klíče

E-mailový OTP je jednorázový kód zaslaný do doručené pošty. SMS OTP směřuje na telefonní číslo. Autentizační aplikace (TOTP) generuje kód na vašem vlastním zařízení a přístupový klíč nahrazuje zadaný kód kryptografickým přihlášením. Dočasná pošta pomůže jen s tím prvním. U účtů, na kterých vám záleží, vás ochrání přístupový klíč nebo autentizační aplikace lépe než jakýkoli kód, který vám musí být doručen.

Dvě různé činnosti sdílejí slovo „kód“. E-mailový kód často jen potvrzuje, že máte při registraci e-mailovou adresu pod kontrolou. Přihlašovací kód je naopak součástí přihlašování. Směrnice digitální identity NIST (SP 800-63B-4) říkají, že e-mail nesmí být používán pro autentizaci mimo pásmo, zatímco kódy potvrzující pouze e-mailovou adresu nebo kódy pro obnovu do tohoto pravidla nespadají. Mnoho služeb se řídí podobným rozdělením: pošlou kód e-mailem pro potvrzení nové adresy a pak nabídnou telefon, aplikaci nebo přístupový klíč pro přihlášení.

E-mailové, SMS a TOTP kódy lze všechny phishingovat, ale jejich rizika nejsou totožná. SMS přidává SIM swap, SS7 a expozici recyklovaných čísel; e-mailový kód je bezpečný jen do té míry, jak bezpečná je poštovní schránka; a TOTP závisí na ochraně sdíleného tajemství. Veřejné pokyny tyto rozdíly podporují. CISA ve svém informačním listu "Implementing Phishing-Resistant MFA" umisťuje kódy založené na aplikacích nad SMS nebo hlasové kódy, které označuje za poslední možnost, přičemž poznamenává, že obě možnosti zůstávají náchylné k útoku na phishing. CISA uvádí, že kódy založené na aplikacích nejsou vystaveny SIM swapům ani útokům SS7, a popisuje FIDO/WebAuthn jako jedinou široce dostupnou autentizaci odolnou vůči phishingu, vedle PKI založeného MFA. Průvodce MDN jednorázovými hesly dospěl k podobnému závěru: všechny formy OTP jsou zranitelné vůči phishingu, SMS je mnohem slabší než e-mail proti odposlechu a přístupové klíče jsou lepší volbou pro obecné přihlášení.

Přístupový klíč je přihlašovací údaj založený na standardech FIDO a FIDO Alliance popisuje přístupové klíče jako odolné vůči phishingu. Ochrana pokrývá samotné přihlášení přístupovým klíčem. Pokud účet stále umožňuje slabší záložní řešení, například reset SMS, může tento záložní plán zůstat slabým místem.

Proč stránky žádají telefonní číslo místo e-mailu?

Některé stránky používají telefonní ověření jako dodatečný protizneužívací signál nebo jako kanál pro obnovu. Neeliminuje podvody a obnova pomocí telefonu přináší svá vlastní rizika: výměny SIM karet, přenos čísel a recyklovaná čísla. NIST považuje kódy odesílané přes telefonní síť za "omezenou" metodu a říká službám, aby sledovaly příznaky, jako je změna SIM karty nebo přenos čísla, než se na ně spoléhají. Pokud je vaším cílem schránka, která vůbec nepotřebuje telefon, náš průvodce vytvořením e-mailu bez telefonního čísla vysvětluje, kteří poskytovatelé se ptají a kteří ne.

Dává vám Tmailor dočasné telefonní číslo?

Ne. Tmailor je e-mailová služba pouze pro příjem. Neposkytuje telefonní čísla a nemůže přijímat SMS ani hlasové kódy. Pokud legitimní služba vyžaduje SMS, použijte číslo, které máte pod kontrolou a které máte povoleno používat, nebo se rozhodněte nepokračovat. Tmailor tento krok za vás nemůže dokončit.

Vyhněte se veřejným webům pro příjem SMS pro jakýkoli kód nebo účet, který má význam. Tyto stránky zveřejňují příchozí texty na otevřené stránce záměrně, takže si kdokoli může přečíst kód určený právě vám. Výzkumníci, kteří po dobu jednoho roku monitorovali 29 veřejných SMS bran (Moreno a kolegové, "Your Code is 0000," 2023), shromáždili více než 70 milionů zpráv zaslaných na 17 141 čísel. Opakovaně použitá čísla nesou druhé riziko. Princetonská studie recyklace čísel u dvou amerických dopravců (Kevin Lee a Arvind Narayanan, eCrime 2021) zjistila, že 215 z 259 vzorkovaných dostupných čísel bylo recyklováno a zranitelných alespoň vůči jednomu útoku. Studie také zjistila, že 171 z 259 čísel bylo vystaveno převzetí účtu prostřednictvím obnovy hesla na šesti populárních webových stránkách a 19 z 200 recyklovaných čísel přesto obdrželo bezpečnostně citlivé zprávy, například přístupové kódy, během jednoho týdne.

Kam patří dočasná pošta

Dočasná pošta se dobře hodí pro e-mailové kódy při nízkorizikových registracích: fórum, newsletter, jednorázové stažení nebo zkušební verzi produktu, kterou si možná neponecháte. Pro účet, který plánujete podržet, použijte dlouhodobý e-mail a zapněte aplikaci autentizace nebo přístupový klíč, jakmile je účet založen. Ať už kód používá jakýkoli kanál, nedávejte ho člověku, který vás kontaktuje a žádá o něj. Zadejte kód pouze do služby nebo aplikace, kde jste začali ověřování.

Když OTP doručení obvykle funguje

Doručení na dočasnou poštu funguje, když se shodují tři věci: služba pošle kód e-mailem, přijme jednorázové adresy a přijímající server je zapnutý a zprávu rychle přijme. Pravidla se podle místa velmi liší, takže jediným spolehlivým signálem je, co stránka dělá s vaší adresou.

Co velký doménový fond dělá a nedělá

Tmailor nabízí adresy přes 500+ domén, což vám dává možnost zvolit dočasnou adresu. To však nezaručuje doručení ani nemění politiku jednorázových e-mailů na stránce. Pokud stránka adresu odmítne, respektujte toto rozhodnutí a používejte dlouhodobý e-mail, který máte pod kontrolou, místo abyste zkoušeli další jednorázové adresy.

Rychlostní faktor

OTP kódy jsou časově citlivé, takže záleží i na straně příjemce. Tmailor přijímá příchozí poštu přes servery Google MX, takže odesílatelé předávají na široce používanou poštovní cestu a běžné opakované pokusy fungují podle plánu. To popisuje mechanismus, ne záruku rychlosti; pozadí spočívá v tom, proč Tmailor používá servery Googlu pro příchozí e-maily. Žádná schránka nemůže přijmout zprávu, kterou odesílatel ještě neodeslal.

Proč kódy OTP selhávají

Když OTP nedorazí do dočasné schránky, příčina obvykle spadá do jedné ze tří skupin. Každá vyžaduje jinou reakci, takže je dobré vědět, se kterou se potýkáte, než to zkusíte znovu. Pokud vaše dočasná e-mailová schránka vůbec nepřijímá e-maily, nejprve zkontrolujte, zda chybí všechny zprávy, nebo jen kód z jednoho webu. Jediný chybějící kód obvykle ukazuje na odesílatele, jeho adresní politiku nebo doručovací kanál; pokud nepřichází nic od několika nesouvisejících odesílatelů, ukazuje to na schránku nebo přijímací službu.

Stránka odmítá dočasné adresy

Některé služby kontrolují registrace proti interním nebo třetím seznamům dočasných domén. Mohou adresu při registraci odmítnout s chybou, nebo formulář přijmout a kód nikdy neodeslat. Ať tak či onak, berte to jako rozhodnutí webu a pro daný účet použijte dlouhodobý e-mail, který máte pod kontrolou. Náš průvodce tím, proč weby odmítají jednorázové domény vysvětluje, jak toto filtrování funguje.

Kód je zpožděný nebo nikdy neodeslán

Odesílatelé dávají zprávy do fronty a omezují jejich počet a někteří před odesláním provádějí kontroly proti zneužití. Přijímající server může také odložit první pokus, což je technika kontroly spamu nazývaná greylisting, takže kód dorazí až poté, co poštovní server odesílatele zprávu znovu odešle. Opakované mačkání „odeslat znovu“ může spustit cooldown a nový kód často zruší ten předchozí. Krátké zpoždění je v otevřené schránce neškodné, ale může přesáhnout desetiminutový odpočet.

Kód šel někam jinam

Kód mohl být odeslán na jinou adresu, než kterou sledujete, na e-mail již uložený u existujícího účtu, nebo na úplně jiný kanál, například SMS nebo výzvu v aplikaci. Kód může dorazit i poté, co se časově omezená schránka již přepnula na novou adresu. Pro průchod případ od případu s poznámkami k platformám se podívejte na průvodce 12 důvody, proč e-mail OTP nedorazí.

Spolehlivost OTP podle typu schránky

Upozornění: Tmailor tento blog publikuje a Tmailor je příkladem opakovaně použitelné schránky v níže uvedeném srovnání. Platí i jeho omezení: je pouze pro příjem, zprávy zůstávají viditelné asi 24 hodin po doručení, ztracený Access Token nelze obnovit a některé stránky dočasné domény zcela odmítají.

Ne každá dočasná pošta se při ověřování chová stejně. Rozhodujícími faktory jsou, jak dlouho můžete schránku číst a zda se později můžete vrátit na stejnou adresu. Pokud chcete rychlou časově omezenou schránku, Tmailorova desetiminutová pošta začíná desetiminutovým odpočtem, který můžete prodloužit až na 60 minut do konce. Pro seřazený výběr podle potřeby se podívejte na nejlepší dočasnou poštu pro rozpis OTP.

Jak dlouho zůstávají OTP kódy platné

Platnost nastavuje odesílající služba, nikoli váš poskytovatel e-mailu. Přihlašovací a registrační kódy často vydrží jen několik minut, zatímco odkazy na ověření e-mailu a kódy pro obnovení mohou platit déle; obrazovka nebo e-mail obvykle uvádějí, jak dlouho. NIST vyžaduje, aby bylo ověření mimo pásmo dokončeno do 10 minut, ale toto pravidlo se vztahuje na přihlašovací kroky, které splňují jeho standard, nikoli na každý kód zaslaný e-mailem. Za skutečný limit považujte odpočítávání na obrazovce.

Doba platnosti kódu a životnost zprávy jsou různé hodiny. Na Tmailoru zůstává zpráva viditelná přibližně 24 hodin po doručení, zatímco kód v ní může vypršet během několika minut. Náš průvodce tím, jak dlouho dočasná pošta vydrží, odděluje uchovávání zpráv od opětovného použití adresy.

Kontrolní seznam, když OTP nedorazí

Než začnete předpokládat, že je problém v dočasné poště, proveďte tyto kontroly v uvedeném pořadí:

1. Počkejte na vypršení časovače a poté odešlete kód znovu, pouze jednou. Použijte pouze nejnovější kód, který dorazí.
2. Ověřte adresu a kanál. Ověřte, že adresa na potvrzovací obrazovce odpovídá schránce, kterou sledujete, a zkontrolujte, zda služba odeslala kód prostřednictvím SMS, výzvy v aplikaci nebo na starší e-mail uložený v systému.
3. Nechte schránku otevřenou. Schránka Tmailor je jeden seznam bez složky se spamem, takže není kam jinam se dívat. Pokud si nejste jisti načasováním, začněte s opakovaně použitelnou dočasnou e-mailovou pomocí a a uložte si její Access Token.
4. Respektujte odmítnutí. Pokud web adresu odmítne nebo na ni nikdy nepošle kód, použijte pro daný účet dlouhodobý e-mail, který ovládáte. Zkoušení jedné adresy za druhou je v rozporu s pravidly webu a ohrožuje účet.

Diagnostický rozcestník odkazovaný výše v části „Kód šel někam jinam“ podrobně pokrývá každou příčinu, včetně služeb Steam, Epic Games, Discord, Binance, Instagram a X.

Časovaná vs. znovupoužitelná schránka: Kterou použít pro OTP

Časovanou schránku používejte pouze tehdy, když potřebujete jeden okamžitý kód a účet si nehodláte ponechat. Znovupoužitelnou adresu použijte, pokud služba může později posílat ověření, bezpečnostní upozornění nebo zprávy o resetování hesla. Access Token uložte bezpečně: kdokoli, kdo ho má, může schránku otevřít, a ztracený Access Token nelze prostřednictvím podpory obnovit.

Na Tmailoru se po dosažení konce odpočítávání stránka přepne na novou adresu; předchozí adresa tím okamžitě nezmizí. Předchozí adresa je uložena v historii na stejném zařízení a lze ji znovu otevřít, dokud je stále dostupná, a její Access Token vám umožní otevřít ji na jiném zařízení. Zprávy, které dorazí, zůstávají viditelné přibližně 24 hodin.

Přímé srovnání ohledně načasování najdete v článku dočasná pošta versus 10minutová pošta pro OTP. Bezpečnostní a soukromí kompromisy mezi těmito dvěma modely jsou popsány v průvodci opakovaně použitelnými a krátkodobými schránkami.

Vícestupňové ověřování

Některé platformy posílají potvrzovací e-mail, pak samostatný OTP a nakonec nastavovací zprávu. Při krátkém odpočítávání můžete zachytit první a přijít o OTP, který dorazí o pár minut později. Znovupoužitelná adresa přijímá nové zprávy, dokud ji dokážete znovu otevřít.

Opětovné ověřování a bezpečnostní upozornění

Sociální a SaaS platformy často znovu ověřují, když se přihlásíte z nového zařízení. Pokud vaše původní registrační adresa již není dostupná, nemůžete kontrolu dokončit a můžete přijít o přístup. Obnovitelná adresa udržuje tuto trasu dostupnou.

Bezpečnostní síť pro resetování hesla

E-mail s resetováním hesla jde na adresu, se kterou jste se zaregistrovali. Časově omezená adresa už může být pryč. Znovupoužitelná adresa, kterou znovu otevřete s přístupovým tokenem, může stále obdržet nový resetovací e-mail, který pak zůstává viditelný asi 24 hodin.

Jednoduché pravidlo

Pokud odpovíte „možná“ nebo „ano“ na kteroukoli otázku, použijte znovupoužitelnou adresu: (1) Budu tuto adresu potřebovat znovu po několika minutách? (2) Budu si chtít tento účet ponechat? Pro jednorázové stažení, ukázky newsletterů a rychlé testování produktů je časovaná schránka v pořádku.

OTP na konkrétních platformách

Doručení e-mailů funguje technicky všude stejně, ale stránky se liší v tom, zda přijímají jednorázové adresy a jaký kanál používají pro kódy. Náš průvodce registracemi na sociálních sítích pokrývá tyto toky, a pokud platforma adresu odmítne, použijte pro ni dlouhodobý e-mail. AI nástroje přidávají vlastní přihlašovací kódy; průvodce registrací a přihlašovacím kódem na ChatGPT se tímto případem zabývá. Chcete-li si předem ověřit, kde je pravděpodobné, že bude jednorázová adresa odmítnuta, podívejte se na které stránky přijímají dočasnou poštu.

K čemu nepoužívat dočasnou poštu pro OTP

Dočasná pošta je určena pro registrace s ohledem na soukromí a účty s nízkým rizikem, ne pro něco, co potřebujete obnovit. Nepoužívejte ji pro bankovnictví, platby, vládní služby, zdravotní péči ani žádný primární účet spojený s vaší identitou. I když kód dorazí, ztráta přístupu ke schránce může blokovat upozornění, obnovu a pozdější ověření, a tyto služby mohou podle svých vlastních pravidel odmítnout jednorázové adresy. Pro širší pohled na to, kam dočasné schránky patří, viz jednorázové schránky zapadají, zjistěte, zda jsou dočasné e-maily bezpečné. To je hranice, kterou je třeba respektovat, ne bariéra, kterou lze obejít.

Testování OTP pro QA a vývojové týmy

Týmy, které testují své vlastní přihlašovací procesy s jednorázovými schránkami, narážejí na problémy s OTP ve velkém měřítku: opakované odesílání, nejasné vlastnictví selhání a kódy, které přicházejí až po proběhnutí testovacího kroku. Opravy jsou procedurální: testovat s více než jednou adresou, omezit pokusy o opětovné odeslání a sledovat čas do prvního OTP jako metriku, aby se regrese objevily. Připravený Hotový kontrolní seznam rizik OTP pro týmy stanovuje kompletní protokol.

Závěr

Dočasnou poštu používejte pro OTP jen tam, kde to sedí: u registrací s nízkým rizikem, které posílají kódy e-mailem a přijímají jednorázové adresy. Nechte schránku otevřenou, pošlete ji jednou znovu a pokud budete potřebovat adresu, uložte si Access Token. Pokud stránka adresu odmítne nebo požádá o SMS, použijte e-mail nebo telefonní číslo, které ovládáte, a chraňte účty, na kterých záleží, pomocí autentizační aplikace nebo přístupového klíče. Pro běžné registrace si můžete vytvořit bezplatný dočasný mail a nechat záložku otevřenou, dokud čekáte.