Авторизация через звонок захватывает рынок: полный гид для разработчиков

За последние два года авторизация через телефонный звонок вышла из разряда редкости в массовый инструмент.

В этой статье разберём, как работает авторизация через звонок, какие сценарии существуют, когда какой выбирать и как внедрить это в своё приложение без боли.

Что такое авторизация через звонок: принцип работы

Суть проста. Вместо того чтобы ждать текстовое сообщение с кодом, пользователь получает телефонный звонок. В зависимости от выбранного сценария, подтверждение происходит либо через озвученный код, либо через нажатие кнопки на экране, либо автоматически — по номеру звонящего.

Технически это выглядит так. Пользователь вводит номер телефона в приложении. Сервер инициирует исходящий звонок на этот номер. Система фиксирует факт звонка или передаёт голосовое сообщение. Приложение на стороне пользователя либо перехватывает данные о звонке, либо пользователь вводит полученный код. Всё занимает две-три секунды.

Ключевое преимущество — скорость. Звонок доходит практически мгновенно, независимо от нагрузки на интернет-каналы. Кроме того, стоимость исходящего звонка часто ниже, СМС, особенно при массовых объёмах.

Пять сценариев авторизации через звонок: что выбрать

Не все звонки одинаковы. В зависимости от задачи, бюджета и уровня безопасности, разработчики используют разные механики. Разберём каждую.

Обратный звонок | Call Back: пользователь звонит сам

Пользователь нажимает кнопку в приложении, и система просит его совершить исходящий звонок на короткий номер или специальный сервисный номер. Звонок для пользователя бесплатный или тарифицируется, как обычный. Робот диктует 4х-значный код, после ввода этого кода в приложении, система авторизует пользователя.

Когда использовать. Если нужно минимизировать расходы на исходящую телефонию. Пользователь платит за звонок по своему тарифу (или не платит, если номер бесплатный), а компания экономит на исходящих вызовах. Также хорошо работает в регионах с нестабильным интернетом — исходящий звонок проще.

Ограничения. Требует от пользователя совершить действие — позвонить.

Звонок сброс | Call Me: система звонит пользователю

Классический сценарий. Пользователь вводит номер, нажимает «получить код». Звонит на специальный авторизационный номер. Происходит дозвон и сброс. Если номер телефона введенный пользователем совпал с номером, с которого он осуществил звонок, происходит авторизация.

Когда использовать. Универсальный вариант для большинства приложений.

Ограничения. Требует интеграции с телефонным шлюзом.

Звонок-ключ | Flash Call: авторизация через звонок абоненту, где проверочным кодом являются последние 4 цифры номера

Пользователь вводит номер, нажимает «получить код». Система совершает исходящий звонок, где последние 4 цифры и являются кодом авторизации. После ввода кода - происходит авторизация.

Когда использовать. Идеально для приложений, где скорость регистрации критична — например, такси, доставка еды, микрозаймы.

Ограничения. Некоторые операторы могут блокировать короткие звонки как спам, поэтому важно согласовать маршрутизацию.

Голосовой код доступа | Voice Password: голосовой код или слово

Пользователь вводит номер в окне авторизации, нажимает «получить код». Система звонит пользователю и диктует код вслух — цифры или слово. Пользователь вводит его в приложение вручную.

Когда использовать. Когда нужен дополнительный уровень безопасности. Также полезно для аудитории с ограниченными возможностями — например, для слабовидящих пользователей, которым удобнее слушать, чем читать.

Ограничения. Требует качественной системы синтеза речи. Плохое произношение цифр — и пользователь не разберёт код.

Авторизация через голосовое меню | Conf Call: нажатие клавиши в ответ на голосовую инструккцию

Система звонит пользователю, робот произносит инструкцию — например, «Нажмите цифру 7, чтобы подтвердить» — и пользователь нажимает соответствующую клавишу на телефоне. Система фиксирует DTMF-сигнал и завершает авторизацию.

Когда использовать. Когда нужна явная активная верификация — например, для подтверждения крупных транзакций или смены важных настроек. Нажатие клавиши — это осознанное действие, которое сложно совершить случайно или автоматизировать злоумышленнику.

Ограничения. Требует от пользователя внимания и действия. Не подходит для сценариев «одним касанием».

Как выбрать сценарий: матрица решений

Разработчику не нужно знать все пять вариантов в деталях. Нужно понимать, какой выбрать под конкретную задачу.

Если приоритет — скорость и минимум действий пользователя: Flash Call или Call Me.

Если приоритет — экономия: Call Back. Пользователь звонит сам, вы платите только за входящую линию.

Если приоритет — безопасность: Voice Password или Conf Call.

Если приоритет — универсальность: Call Me. Работает везде, понятно всем.

Важно: одно приложение может использовать разные сценарии для разных ситуаций. Гибкость — ключ к хорошему UX.

Техническая реализация: что нужно знать разработчику

Вам понадобится API от провайдера телефонии, который поддерживает исходящие звонки с возможностью управления сценарием. Провайдер должен уметь: инициировать звонок, управлять длительностью, передавать голосовое сообщение, принимать DTMF-сигналы, предоставлять журнал звонков.

Обработка номеров. Нормализация телефонных номеров — обязательный шаг. Пользователь может ввести номер с плюсом, без плюса, с восьмёркой, без восьмёрки, с пробелами, со скобками. Ваш сервер должен приводить всё к единому формату до отправки в API.

Fallback-механизмы. Что если звонок не дошёл? Что если пользователь не взял трубку? Что если оператор заблокировал номер? Нужны альтернативные каналы — СМС, пуш-уведомление,электронная почта. И логика, которая переключается автоматически, без участия пользователя.

Безопасность. Номер телефона — не идеальный идентификатор. SIM-swapping, перенос номера, виртуальные номера — всё это векторы атак. Дополнительные факторы — поведенческая аналитика, ограничение по количеству попыток, задержки между запросами — должны работать вместе со звонком.

Ключевой инсайт. Пользователи не любят ждать. Каждая секунда между запросом и подтверждением — это риск потери. Звонок решает эту проблему.

Безопасность: мифы и реальность

Говорят, что звонок безопаснее СМС. Это частично правда, но не вся.

Да, перехват голосового канала сложнее, чем перехват СМС. Да, SIM-swapping не помогает злоумышленнику, если нужен физический доступ к телефону для нажатия клавиши. Но нет, звонок — не панацея.

Виртуальные номера, переадресация вызовов, атаки на телефонную инфраструктуру — всё это реальные угрозы. Поэтому авторизация через звонок должна быть частью многослойной системы безопасности, а не единственным фактором.

Хорошая практика. Звонок для первичной верификации номера. Плюс поведенческий анализ — как пользователь взаимодействует с приложением после входа. Плюс ограничения на подозрительную активность. Плюс дополнительная верификация для критичных операций.

Авторизация через звонок — это ответ на проблемы при аутентификации: задержки, стоимость, безопасность, пользовательский опыт. Для разработчика это инструмент, который повышает конверсию, снижает расходы и закрывает регуляторные требования.

Выбор сценария зависит от задачи.

Главное — не рассматривать звонок как замену СМС один к одному. Это другая механика, с другими преимуществами и ограничениями. Правильная интеграция требует продуманной архитектуры, fallback-механизмов и постоянной аналитики.

Но результат стоит затрат. Пользователи, которые раньше уходили на этапе регистрации, остаются. Те, кто ждал кода минутами, получают подтверждение за секунды. Те, кого беспокоила безопасность, получают дополнительный уровень защиты.