SMS OTPフローを実装する

概要

3DSトランザクションがチャレンジされ、OOBフローが利用できない場合、D1の3DSサービスはSMS OTPチャレンジにフォールバックします。

ユーザー体験

フロー

以下の図は、OOBが利用できない場合のSMS OTPフローを要約したものです。

ハイレベルフローの概要 - ステップ1。

ハイレベルフローの概要 - ステップ2。

シーケンス図

前提条件

• カード製品がD1および決済ネットワークのディレクトリサーバーに設定されていること。

• エンドユーザーとカードがD1に登録されていること。

1 - AReq/ARes

認証要求/応答（AReq/ARes）。

2 - OTPチャレンジ

OTPの生成、配信、検証。

3 - 最終CReq/CResと通知

最終チャレンジ要求/応答（CReq/CRes）および結果通知。

バックエンド統合

OTPを配信する方法は2つあります：

1. D1がエンドユーザーにSMSを送信する

   • D1のバックエンドは登録時にイシュアのバックエンドが提供したエンドユーザーの電話番号を使用します。

   • D1はOTPを生成し、SMSで配信します。

2. イシュアのバックエンドがエンドユーザーにSMSを送信する

   • D1はOTPを生成し、次を介してイシュアのバックエンドに配信します： DeliverOTP 操作。

   • イシュアのバックエンドはエンドユーザーへのSMS送信を担当します。

   • リクエスト/レスポンスの詳細については、次を参照してください： D1 APIリファレンス.

運用上の考慮事項：

• OTP形式とTTL（有効期限）、最大試行回数、再送制限

• SMSコンテンツと言語対応および送信者IDのローカライズ

• 配信プロバイダーの再試行/フォールバックおよび配信状況の追跡

• OTP値をログに記録しないこととPIIのサニタイズ

• 悪用を軽減するためにOTPリクエストのレート制限を行う