Biểu mẫu đăng ký yêu cầu bạn xác nhận quyền sở hữu bằng mã gửi qua email hoặc mã gửi qua SMS, đôi khi là cả hai cách cùng lúc. Việc chọn kênh trông có vẻ chỉ là thủ tục, nhưng đằng sau đó là những khác biệt về chi phí, tốc độ, độ tin cậy và các hạn chế về sau. Chúng ta sẽ so sánh xác minh qua email và SMS theo từng tiêu chí đó, tìm hiểu điều gì khiến các dịch vụ yêu cầu cả hai kênh cùng lúc, và rút ra quy tắc: khi nào chỉ cần email, khi nào không thể thiếu số điện thoại.
Chi phí: mã gửi qua email thường rẻ hơn
Về mặt kỹ thuật, gửi email rẻ hơn gửi SMS: email không mất phí đi qua mạng của nhà mạng di động, còn SMS phát sinh phí ở từng chặng trên đường đi. Vì vậy, những dịch vụ phải xác minh hàng triệu lượt đăng ký thường mặc định chọn email ở những nơi không quá quan trọng về bảo mật: tài khoản thử nghiệm, kiểm tra biểu mẫu, đăng ký nhận bản tin. Số điện thoại được dành cho những tình huống mà rủi ro lớn hơn chi phí gửi tin: đăng nhập tài khoản, khôi phục quyền truy cập, các giao dịch liên quan đến tiền.
Tốc độ gửi: SMS thường nhanh hơn, nhưng không phải lúc nào cũng vậy
SMS đi qua mạng của nhà mạng di động và trong phần lớn trường hợp đến nơi chỉ sau vài giây. Email phải đi một quãng đường dài hơn: trang web tạo thư, đưa vào hàng đợi của máy chủ thư của mình, máy chủ này chuyển thư đi tiếp, và ở mỗi bước đều có thể bị chậm từ vài giây đến vài phút, nhất là vào giờ cao điểm phía bên gửi. Sự chênh lệch này dễ nhận ra khi mỗi giây đều quan trọng, chẳng hạn khi đăng nhập bằng mã dùng một lần, và gần như không đáng kể khi người dùng sẵn sàng chờ thư một hai phút.
Độ tin cậy: mỗi kênh có kiểu lỗi riêng
Rủi ro chính của kênh email là thư có thể lọt vào bộ lọc thư rác, đặc biệt khi tên miền gửi còn mới hoặc ít được sử dụng: mã về mặt hình thức đã được gửi đi, nhưng người dùng sẽ không nhận được cho đến khi mở thư mục thư rác. Kênh SMS có rủi ro khác: việc gửi tin phụ thuộc vào nhà mạng của người nhận và loại số điện thoại. Tin nhắn gửi đến một loại số hiếm gặp hoặc ở hướng có vấn đề có thể bị chậm hoặc không đến được, và bên gửi không thể can thiệp vào việc này. Không kênh nào đảm bảo tuyệt đối, vì vậy nhiều dịch vụ cho phép gửi lại mã bằng cùng một cách thay vì chuyển ngay người dùng sang kênh dự phòng.
Xác nhận lại: nếu cần mã thêm lần nữa thì sao
Một lần kiểm tra khi đăng ký không phải là tình huống duy nhất. Một số tài khoản yêu cầu xác nhận lại: đăng nhập từ thiết bị mới, kiểm tra bảo mật định kỳ, khôi phục quyền truy cập sau nhiều tháng. Kênh đó phải còn hoạt động vào thời điểm ấy, chứ không chỉ trong ngày đăng ký. Kích hoạt qua email dùng một lần và kích hoạt qua SMS dùng một lần đều không phù hợp ở đây, vì cả hai định dạng đều đóng lại sau mã đầu tiên. Để xác nhận lại nhiều lần, bạn cần một kênh được thiết kế để dùng trong một khoảng thời gian: thuê hộp thư email nhận thư từ trang web đã chỉ định trong suốt thời hạn thuê, hoặc số điện thoại dùng dài hạn có thể nhận SMS trong nhiều tháng.
Dịch vụ chọn kênh nào và vì sao có nơi yêu cầu cả hai
Việc chọn kênh thực chất là dịch vụ chọn mô hình rủi ro, chứ không phải sở thích. Với tài khoản không liên kết thanh toán và không có quyền truy cập dữ liệu nhạy cảm, email thường là đủ: nó xác nhận địa chỉ tồn tại và thuộc về người dùng, và vấn đề được giải quyết. Đối với yếu tố xác thực thứ hai khi đăng nhập, các dịch vụ thường yêu cầu đúng số điện thoại: SIM thuộc về một chủ sở hữu cụ thể, và việc xác minh qua SIM khó tự động hóa hàng loạt hơn so với việc đăng ký hộp thư email mới. Một số dịch vụ yêu cầu cả hai kênh cùng lúc, email để nhận thông báo và khôi phục quyền truy cập, số điện thoại để đăng nhập và làm yếu tố thứ hai, vì mất một kênh không có nghĩa là mất toàn bộ tài khoản: nếu hộp thư không truy cập được thì khôi phục qua số điện thoại, và ngược lại. Với tài khoản dùng lâu dài, kết hợp "email cộng số điện thoại" là chuẩn mực hợp lý chứ không phải sự thận trọng thừa: trên nền tảng có cả hai định dạng, gồm thuê hộp thư email và thuê số hoặc kích hoạt qua SMS dùng một lần, và bạn có thể kết hợp chúng cho từng dịch vụ cụ thể.
Câu hỏi thường gặp
Có thể chỉ dùng email thay cho số điện thoại khi đăng nhập có xác minh không?
Về mặt kỹ thuật, một số dịch vụ cho phép, nhưng phần lớn gắn yếu tố thứ hai với số điện thoại: số này thuộc về một chủ sở hữu cụ thể, trong khi quyền truy cập email có thể bị mất cùng với mật khẩu của một dịch vụ khác nếu bạn dùng chung một địa chỉ để khôi phục ở mọi nơi.
Phải làm gì nếu mã không đến cả email lẫn SMS?
Trước hết hãy kiểm tra thư mục thư rác và chờ vài phút, vì việc chậm từ phía bên gửi không hiếm ở cả hai kênh. Nếu mã vẫn không xuất hiện, kích hoạt dùng một lần có chính sách hoàn tiền: bạn trả tiền cho kết quả, chứ không phải cho việc đã gửi mã.
Đăng ký tài khoản chỉ bằng email có rẻ hơn đăng ký bằng cả email và số điện thoại không?
Trước mắt thì có, nhưng nếu bạn định dùng tài khoản lâu dài hoặc có tiền liên kết với tài khoản, việc thiếu kênh dự phòng khi mất quyền truy cập sẽ tốn kém hơn khoản chênh lệch giữa một kênh và hai kênh kết hợp.
Bạn có thể chọn kênh phù hợp với nhu cầu, gồm kích hoạt qua SMS hoặc email dùng một lần, thuê số hoặc thuê hộp thư email, tại mục kích hoạt OTP và thuê số.