Implementar flujo SMS OTP

Descripción general

Cuando una transacción 3DS es impugnada y el flujo OOB no está disponible, el servicio 3DS de D1 recurre al reto OTP por SMS.

Experiencia del usuario

Flujo

Los siguientes diagramas resumen el flujo OTP por SMS cuando OOB no está disponible.

Resumen del flujo de alto nivel - paso 1.

Resumen del flujo de alto nivel - paso 2.

Diagrama de secuencia

Prerrequisitos

• Los productos de tarjeta están configurados en D1 y en el servidor de directorio de la red de pago.
• El usuario final y la tarjeta están registrados en D1.

1 - AReq/ARes

Solicitud/respuesta de autenticación (AReq/ARes).

2 - Reto OTP

Generación, entrega y validación del OTP.

3 - CReq/CRes final y notificación

Solicitud/respuesta de reto final (CReq/CRes) y notificación del resultado.

Integración backend

Hay dos maneras de entregar el OTP:

1. D1 envía el SMS al usuario final

   • El backend de D1 usa el número de teléfono del usuario final proporcionado por el backend del emisor durante el registro.
   • D1 genera el OTP y lo entrega por SMS.
2. El backend del emisor envía el SMS al usuario final

   • D1 genera el OTP y lo entrega al backend del emisor a través del DeliverOTP operación.
   • El backend del emisor es responsable de enviar el SMS al usuario final.
   • Para detalles de solicitud/respuesta, consulte el referencia API de D1.

Consideraciones operativas:

• Formato y TTL (caducidad) del OTP, intentos máximos, límites de reenvío
• Localización del contenido del SMS y del identificador del remitente
• Reintentos/fallos del proveedor de entrega y seguimiento del estado de entrega
• Evitar registrar valores OTP y sanear la información personal identificable (PII)
• Limitar la tasa de solicitudes de OTP para mitigar abusos