האם אפשר להשתמש בדואר זמני לקודי אימות OTP בצורה בטוחה? מה עובד ומה נכשל

לקחים מרכזיים

כן. תיבת דואר זמנית יכולה לקבל קוד OTP או קוד אימות כאשר השירות שולח אותו בדוא"ל, מקבל כתובות זמניות ומעביר אותו לפני שההודעה או תיבת הדואר הנכנס הופכת לבלתי זמינה. דואר זמני לא יכול לקבל קודי SMS או קודי אפליקציית אימות. אם אתר מסרב לדואר אלקטרוני זמני, השתמש בכתובת ארוכת טווח שאתה שולט בה במקום לנסות לעקוף את ההגבלה.

• רק במייל. דואר זמני מקבל קודים שנשלחים במייל. אין לו מספר טלפון, ולכן הוא אינו יכול לקבל הודעות טקסט, שיחות קוליות או קודים שנוצרים בתוך אפליקציית אימות.
• שלושה תנאים. השירות חייב לשלוח את הקוד במייל, לקבל את הכתובת ולמסור אותו בזמן שאתה עדיין יכול לפתוח את תיבת הדואר הנכנס.
• סירוב הוא סופי. כאשר אתר דוחה דואר אלקטרוני זמני או חשבון זקוק לשחזור מאוחר יותר, הירשם עם אימייל לטווח ארוך שאתה שולט בו במקום.
• התחברות חזקה יותר לחשבונות שחשובים. קודים שנשלחו במייל ובהודעת טקסט הם צורה חלשה של הגנה על כניסה; אפליקציית אימות חזקה יותר, ומפתח גישה עמיד בפני פישינג.

האם דואר זמני יכול לקבל קודי OTP?

כן. אימייל זמני יכול לקבל קודי אימות כאשר השירות שולח את הקוד במייל. תיבת דואר זמנית מקבלת דואר באותו נתיב SMTP סטנדרטי כמו תיבת דואר קבועה: השירות מרכיב את ההודעה, שרת הדואר שלו מעביר אותה, ושרת הדואר הזמני מקבל אותה. אם אתם חדשים בתיבות דואר זמניות, המדריך שלנו לאיך דואר זמני עובד מכסה את הבסיס.

האם הקוד יגיע אליך תלוי פחות בדואר הזמני עצמו ויותר בשולח. השירות מחליט האם לקבל כתובת זמנית, כמה מהר הוא שולח, וכמה זמן הקוד נשאר תקף. שאר העמוד הזה עוסק מתי המשלוח עובד, מדוע קודים נכשלים, כיצד קודי דוא"ל משתווים לשיטות אימות אחרות, ומה לעשות כאשר אחד מהם לא מגיע.

OTP בדוא"ל לעומת SMS OTP, אפליקציות אימות ומפתחות גישה

OTP במייל הוא קוד חד-פעמי שנשלח לתיבת דואר נכנס. SMS OTP מגיע למספר טלפון. אפליקציית אימות (TOTP) מייצרת את הקוד במכשיר שלך, ומפתח גישה מחליף את הקוד המוקלד בכניסה קריפטוגרפית. דואר זמני יכול לעזור רק עם הראשון. לחשבונות שחשובים לכם, מפתח גישה או אפליקציית אימות מגנה עליכם טוב יותר מכל קוד שצריך למסור לכם.

שתי עבודות שונות חולקות את המילה "קוד". קוד שנשלח במייל לרוב רק מאשר שאתה שולט בכתובת אימייל בזמן ההרשמה. קוד התחברות, לעומת זאת, הוא חלק מהכניסה. הנחיות הזהות הדיגיטלית של NIST (SP 800-63B-4) קובעות שאסור להשתמש בדואר אלקטרוני לאימות מחוץ לפס, בעוד שקודים שמאשרים רק כתובת דוא"ל, או קודי שחזור, אינם כלולים בכלל זה. שירותים רבים פועלים בחלוקה דומה: הם שולחים קוד לאישור כתובת חדשה, ואז מציעים טלפון, אפליקציה או מפתח גישה להתחברות.

דואר אלקטרוני, SMS וקודי TOTP כולם יכולים להיות מפושטים, אך הסיכונים שלהם אינם זהים. SMS מוסיף החלפת SIM, SS7 וחשיפה למספרים ממוחזרים; קוד אימייל בטוח רק כמו תיבת הדואר; ו-TOTP תלוי בהגנה על הסוד המשותף. ההכוונה הציבורית תומכת בהבדלים אלו. גיליון העובדות של CISA "יישום אימות רב-שלבי עמיד לדיג" מציב קודים מבוססי אפליקציה מעל קודי SMS או קוליים, שאותם הוא מכנה אופציה אחרונה, תוך ציון ששניהם עדיין פתוחים לדיג. CISA מציינת שקודים מבוססי אפליקציה אינם חשופים להחלפת SIM או להתקפות SS7, והיא מתארת את FIDO/WebAuthn כאימות היחיד הזמין לעמידות לדיג, לצד MFA מבוסס PKI. המדריך של MDN לסיסמאות חד-פעמיות מגיע למסקנה דומה: כל סוגי ה-OTP פגיעים לדיג, SMS חלש בהרבה מדוא"ל נגד יירוט, ומפתחות גישה הם הבחירה הטובה יותר לכניסה כללית.

מפתח גישה הוא אישור כניסה המבוסס על תקני FIDO, והברית של FIDO מתארת מפתחות גישה כעמידים לדיג. ההגנה מכסה את הכניסה של מפתח הגישה עצמו. אם חשבון עדיין מאפשר גיבוי חלש יותר, כמו איפוס SMS, אותו גיבוי יכול להישאר נקודת התורפה.

למה אתרים מבקשים מספר טלפון במקום אימייל?

חלק מהאתרים משתמשים באימות טלפוני כאות נוסף נגד ניצול או כערוץ שחזור. היא אינה מבטלת הונאות, והשחזור מבוסס הטלפון מביא עמו סיכונים משלו: החלפת SIM, העברת מספרים ומספרים ממוחזרים. NIST מתייחס לקודים שנשלחים דרך רשת הטלפון כשיטה "מוגבלת" ומורה לשירותים לשים לב לסימנים כמו שינוי SIM או העברת מספר לפני שהם מסתמכים עליהם. אם המטרה שלך היא תיבת דואר שאינה זקוקה כלל לטלפון, המדריך שלנו ליצירת אימייל ללא מספר טלפון מכסה אילו ספקים מבקשים ואילו לא.

האם Tmailor נותן לך מספר טלפון זמני?

לא. Tmailor הוא שירות דואר אלקטרוני שמבוסס רק על קבלה. הוא אינו מספק מספרי טלפון ואינו יכול לקבל SMS או קודי קול. אם שירות לגיטימי דורש SMS, השתמש במספר שאתה שולט בו ומותר להשתמש בו, או בחר לא להמשיך. Tmailor לא יכול להשלים את השלב הזה עבורך.

הימנע מאתרי SMS ציבוריים עבור כל קוד או חשבון שחשוב. האתרים האלה מפרסמים טקסטים נכנסים בדף פתוח במכוון, כך שכל אחד יכול לקרוא קוד שמיועד לך. חוקרים שעקבו אחרי 29 שערי SMS ציבוריים במשך שנה (מורנו ועמיתיו, "Your Code is 0000," 2023) אספו יותר מ-70 מיליון הודעות שנשלחו ל-17,141 מספרים. מספרים משוחזרים נושאים סיכון שני. מחקר בפרינסטון על מיחזור מספרים בשתי חברות ביטוח אמריקאיות (קווין לי וארווינד נאראיאנן, eCrime 2021) מצא כי 215 מתוך 259 מספרים זמינים שנבדקו היו ממוחזרים ופגיעים לפחות למתקפה אחת. המחקר גם מצא ש-171 מתוך 259 המספרים שנחשפו להשתלטות על חשבון באמצעות שחזור סיסמאות בשישה אתרים פופולריים, ו-19 מתוך 200 מספרים ממוחזרים עדיין קיבלו הודעות רגישות לאבטחה, כמו קודי גישה, בתוך שבוע.

איפה נכנס דואר זמני

דואר זמני מתאים מאוד לקודים שנשלחים במייל להרשמות עם סיכון נמוך: פורום, ניוזלטר, הורדה חד-פעמית או ניסיון מוצר שאולי לא תשמור. לגבי חשבון שאתה מתכנן לשמור, השתמש במייל לטווח ארוך והפעיל אפליקציית אימות או מפתח גישה לאחר שהחשבון מוקם. לא משנה באיזה ערוץ קוד משתמש, אל תתן אותו למישהו שיוצר איתך קשר ומבקש אותו. הזן קוד רק בשירות או באפליקציה שבה התחלת את האימות.

מתי משלוח OTP בדרך כלל עובד

המשלוח לדואר זמני עובד כששלושה דברים מתאימים: השירות שולח את הקוד במייל, מקבל כתובות חד-פעמיות, והשרת המקבל פועל ומקבל את ההודעה במהירות. המדיניות משתנה מאוד בין אתר, ולכן האות האמין היחיד הוא מה שהאתר עושה עם הכתובת שלך.

מה מאגר דומיין גדול עושה ומה לא עושה

Tmailor מציעה כתובות ב-500+ דומיינים, מה שמאפשר לך לבחור כתובת זמנית. זה לא מבטיח משלוח או משנה את מדיניות הדואר האלקטרוני החד-פעמי באתר. אם אתר מסרב לכתובת, כבד את ההחלטה והשתמש במייל ארוך טווח שאתה שולט בו במקום לנסות כתובות חד-פעמיות נוספות.

מקדם מהירות

קודי OTP רגישים לזמן, ולכן גם הצד המקבל חשוב. Tmailor מקבל דואר נכנס דרך שרתי Google MX, כך שהשולחים מעבירים לנתיב דואר נפוץ והניסיונות הרגילים פועלים כפי שתוכנן. זה מתאר את המנגנון, לא הבטחת מהירות; הרקע הוא מדוע Tmailor משתמש בשרתים של גוגל לדואר אלקטרוני נכנס. אין תיבת דואר שיכולה לקבל הודעה שהשולח עדיין לא שלח.

מדוע קודי OTP נכשלים

כאשר OTP אינו מגיע לתיבת דואר זמנית, הסיבה בדרך כלל מתחלקת לאחת משלוש קבוצות. כל אחת דורשת תגובה שונה, אז כדאי לדעת מול איזו מהן אתם מתמודדים לפני שתנסו שוב. אם הדואר הזמני שלכם בכלל לא מקבל מיילים, קודם כל בדקו אם כל ההודעות חסרות או שרק הקוד מאתר אחד חסר. קוד חסר בודד בדרך כלל מצביע על השולח, על מדיניות הכתובות שלו או על ערוץ המסירה; אם לא מגיע שום דבר מכמה שולחים שאינם קשורים זה לזה, הבעיה היא בתיבת הדואר או בשירות המקבל.

האתר מסרב לכתובות זמניות

חלק מהשירותים בודקים הרשמות מול רשימות פנימיות או של צד שלישי של דומיינים זמניים. הם עשויים לדחות את הכתובת בהרשמה עם הודעת שגיאה, או לקבל את הטופס ולעולם לא לשלוח את הקוד. כך או כך, התייחסו לזה כהחלטה של האתר והשתמשו במייל ארוך טווח שאתם שולטים בו עבור אותו חשבון. המדריך שלנו אתרים דוחים דומיינים חד-פעמיים מסביר כיצד הסינון הזה עובד.

הקוד מתעכב או שמעולם לא נשלח

שולחים מעמידים הודעות בתור ומגבילים את קצב השליחה, וחלקם מבצעים בדיקות נגד ניצול לרעה לפני השליחה. שרת מקבל עשוי גם לדחות את הניסיון הראשון, טכניקת בקרת ספאם הנקראת greylisting, כך שהקוד מגיע רק לאחר ששרת הדואר של השולח מנסה שוב. לחיצה חוזרת על "resend" שוב ושוב עלולה להפעיל השהיית צינון, וקוד חדש לעיתים קרובות מבטל את הקוד הקודם. עיכוב קצר אינו מזיק בתיבת דואר שנשארת פתוחה, אך הוא עלול להימשך מעבר לספירה לאחור של 10 דקות.

הקוד הלך למקום אחר

ייתכן שהקוד נשלח לכתובת שונה מזו שאתם צופים בה, למייל שכבר רשום בחשבון קיים, או לערוץ אחר לגמרי, כמו SMS או התראה באפליקציה. קוד יכול להגיע גם לאחר שתיבת דואר מתוזמנת כבר עברה לכתובת חדשה. להסבר מפורט לפי סיבות עם הערות לפלטפורמות, ראו את המדריך ל-12 סיבות שבגללן אימייל OTP לא מגיע.

אמינות OTP לפי סוג תיבת דואר

גילוי נאות: Tmailor מפרסמת את הבלוג הזה, ו-Tmailor היא הדוגמה לתיבת דואר רב-פעמית בהשוואה שלהלן. גם המגבלות שלה חלות: היא מיועדת לקבלה בלבד, הודעות נשארות גלויות כ-24 שעות לאחר שהגיעו, אסימון גישה שאבד אינו ניתן לשחזור, וחלק מהאתרים מסרבים לחלוטין לדומיינים זמניים.

לא כל דואר זמני מתנהג אותו דבר לאימות. הגורמים המכריעים הם כמה זמן תוכלו להמשיך לקרוא את תיבת הדואר והאם תוכלו לחזור לאותה כתובת מאוחר יותר. אם אתם רוצים תיבת דואר מתוזמנת מהירה, המייל של Tmailor בן 10 הדקות מתחיל בספירה לאחור של 10 דקות שאפשר להאריך עד 60 דקות שנותרו. לבחירה מדורגת לפי צורך, ראו את הפירוט הדואר הזמני הטוב ביותר ל-OTP.

כמה זמן קודי OTP נשארים תקפים

השירות השולח קובע את תום התוקף, לא ספק הדוא"ל שלך. קודי התחברות והרשמה תקפים לרוב רק כמה דקות, בעוד שקישורי אימות בדוא"ל וקודי שחזור עשויים להיות תקפים זמן רב יותר; המסך או ההודעה בדוא"ל בדרך כלל מציינים כמה זמן. NIST דורש שאימות חיצוני תואם יושלם תוך 10 דקות, אך כלל זה חל על שלבי כניסה העומדים בתקן שלו, לא על כל קוד שנשלח בדוא"ל. התייחסו לספירה לאחור על המסך כאל המגבלה האמיתית.

משך חיי הקוד ומשך חיי ההודעה הם שעונים שונים. ב-Tmailor, הודעה נשארת גלויה כ-24 שעות לאחר הגעתה, בעוד שהקוד שבתוכה עשוי לפוג תוך דקות. המדריך שלנו בנושא משך הדואר הזמני מפריד בין שמירת הודעות לשימוש חוזר בכתובת.

רשימת תיקון כש-OTP לא מגיע

הריצו את הבדיקות האלה לפי הסדר לפני שמניחים שהבעיה היא בדואר הזמני:

1. המתינו לסיום הטיימר, ואז שלחו שוב פעם אחת. השתמשו רק בקוד החדש ביותר שמגיע.
2. אשרו את הכתובת ואת הערוץ. אשרו שהכתובת במסך האישור תואמת לתיבת הדואר שאתם צופים בה, ובדקו אם השירות שלח את הקוד ב-SMS, בהודעה באפליקציה או לדוא"ל ישן יותר השמור אצלו.
3. השאירו את תיבת הדואר פתוחה. תיבת דואר של Tmailor היא רשימה אחת ללא תיקיית ספאם, כך שאין איפה לחפש במקום אחר. אם התזמון אינו ודאי, התחילו עם כתובת דואר זמנית רב-פעמית ושמרו את אסימון הגישה שלה.
4. כבדו סירוב. אם האתר דוחה את הכתובת או לא שולח אליה קוד, השתמשו בדוא"ל קבוע שאתם שולטים בו עבור אותו חשבון. ניסיון כתובת אחר כתובת פועל בניגוד למדיניות האתר ומסכן את החשבון.

מרכז האבחון המקושר למעלה תחת "הקוד הלך למקום אחר" מכסה כל סיבה לעומק, כולל Steam, Epic Games, Discord, Binance, Instagram ו-X.

תיבת דואר מתוזמנת לעומת רב-פעמית: באיזו להשתמש עבור OTP

השתמשו בתיבת דואר מתוזמנת רק כשאתם זקוקים לקוד מיידי אחד ולא תשמרו על החשבון. השתמשו בכתובת רב-פעמית כאשר השירות עשוי לשלוח אימות, התראות אבטחה או הודעות איפוס סיסמה מאוחר יותר. שמרו את אסימון הגישה בצורה מאובטחת: כל מי שיש לו אותו יכול לפתוח את תיבת הדואר, ואסימון גישה שאבד לא ניתן לשחזור על ידי התמיכה.

בטמיילור, הגעה לסיום הספירה לאחור מעבירה את הדף לכתובת חדשה; זה לא גורם לכתובת הקודמת להיעלם מיד. הכתובת הקודמת נשמרת בהיסטוריה על אותו מכשיר וניתן לפתוח אותה מחדש כשהיא עדיין זמינה, ואסימון הגישה שלה מאפשר לך לפתוח אותה מחדש במכשיר אחר. הודעות שמגיעות נשארות גלויות כ-24 שעות.

להשוואה ישירה בנושא התזמון, ראו דואר זמני לעומת דואר של 10 דקות עבור OTP. הפשרות בין אבטחה לפרטיות בין שני המודלים מכוסות במדריך תיבות דואר רב-פעמיות לעומת קצרות מועד.

אימות רב-שלבי

חלק מהפלטפורמות שולחות מייל אישור, אחר כך OTP נפרד, ואז הודעת הגדרה. עם ספירה לאחור קצרה, ייתכן שתתפוס את הראשון ותפספס OTP שמגיע כמה דקות אחר כך. כתובת רב-פעמית ממשיכה לקבל הודעות חדשות כל עוד אפשר לפתוח אותה מחדש.

אימות מחדש והתראות אבטחה

פלטפורמות חברתיות ו-SaaS לעיתים קרובות מאמתות מחדש כשאתה נכנס ממכשיר חדש. אם כתובת ההרשמה המקורית שלך כבר אינה זמינה, אינך יכול להשלים את הבדיקה ועלול לאבד גישה. כתובת שניתן לשחזר שומרת על המסלול הזה זמין.

רשת ביטחון לאיפוס סיסמה

אימייל לאיפוס סיסמה מגיע לכתובת שבה נרשמת. כתובת עם זמן מוגבל אולי כבר נעלמה. כתובת רב-פעמית שפותחים מחדש עם אסימון הגישה שלה עדיין יכולה לקבל אימייל איפוס חדש, שנשאר גלוי במשך כ-24 שעות.

הכלל הפשוט

אם אתה עונה "אולי" או "כן" לאחת מהשאלות, השתמש בכתובת רב-פעמית: (1) האם אצטרך את הכתובת הזו שוב אחרי כמה דקות? (2) האם ארצה לשמור על החשבון הזה? להורדות חד-פעמיות, תצוגות מקדימות לניוזלטר ובדיקות מוצר מהירות, תיבת דואר עם זמן מוגבל היא בסדר.

OTP בפלטפורמות ספציפיות

משלוח דואר אלקטרוני עובד באותו אופן טכנית בכל מקום, אבל אתרים שונים בשאלה האם הם מקבלים כתובות חד-פעמיות ובאיזה ערוץ הם משתמשים לקודים. המדריך שלנו להרשמות לרשתות חברתיות מכסה את הזרימות האלה, ואם פלטפורמה דוחה את הכתובת, השתמש במייל ארוך טווח עבורה. כלי AI מוסיפים קודי כניסה משלהם; מדריך ההרשמה וקוד ההתחברות של ChatGPT מכסה את המקרה הזה. כדי לבדוק מראש איפה כתובת חד-פעמית צפויה להידחות, בדוק אילו אתרים מקבלים דואר זמני.

למה לא להשתמש ב-OTP של דואר זמני

דואר זמני מיועד להרשמות שמודעות לפרטיות ולחשבונות בעלי סיכון נמוך, לא למשהו שצריך לשחזר. אל תשתמש בו לבנקאות, תשלומים, שירותים ממשלתיים, בריאות או כל חשבון ראשי הקשור לזהותך. גם אם קוד מגיע, אובדן גישה לתיבת הדואר עלול לחסום התראות, שחזור ואימות, ושירותים אלו עשויים לדחות כתובות חד-פעמיות לפי המדיניות שלהם. למבט רחב יותר על מיקום תיבות דואר חד-פעמיות, בדוק האם מיילים זמניים בטוחים. זו גבול שיש לכבד, לא מחסום שצריך לעקוף אותו.

בדיקות OTP לצוותי QA ופיתוח

צוותים שבודקים את זרימות ההרשמה שלהם עם תיבות דואר חד-פעמיות נתקלים בבעיות OTP בהיקף רחב: סופות שליחות חוזרות, בעלות לא ברורה על כשלים, וקודים שנוחתים לאחר ששלב הבדיקה עבר. התיקונים הם פרוצדורליים: בדיקה עם יותר מכתובת אחת, הגבלת ניסיונות שליחת מחדש, ומעקב אחרי זמן ל-OTP הראשון כמדד כך שיופיעו רגרסיות. רשימת סיכוני OTP מוכנה לקבוצות מפרטת את הפרוטוקול המלא.

השורה התחתונה

השתמש בדואר זמני ל-OTP רק איפה שזה מתאים: הרשמות בעלות סיכון נמוך ששולחות קודים במייל ומקבלות כתובות זמניות. השאר את תיבת הדואר פתוחה, שלח שוב פעם אחת, ושמור את אסימון הגישה אם תצטרך את הכתובת שוב. אם אתר מסרב לכתובת או מבקש SMS, השתמש באימייל או מספר טלפון שבשליטתך, והגן על חשבונות חשובים באמצעות אפליקציית אימות או מפתח גישה. להרשמות יומיומיות, אפשר ליצור מייל זמני חינמי ולשמור את הלשונית פתוחה בזמן ההמתנה.