SMS OTP

Auris unterstützt SMS-Einmalkennwörter (OTP) in zwei Modi:

• Passwortlos: Der Benutzer gibt seine Telefonnummer ein, erhält einen SMS-Code und authentifiziert sich ohne Passwort
• Zwei-Faktor-Authentifizierung (2FA): Der Benutzer schließt die Passwort-Anmeldung ab und erhält dann einen SMS-Code als zweiten Faktor

Beide Modi verwenden denselben zugrunde liegenden Mechanismus — einen kurzlebigen numerischen Code, der über Twilio geliefert wird. Der Modus wird durch die Art der Initiierung des Flows bestimmt.

Twilio-Einrichtung

Auris verwendet Twilio als SMS-Anbieter. Du benötigst ein Twilio-Konto mit einer Telefonnummer oder einem Messaging-Service.

SMS als passwortlose Anmeldung

In diesem Modus authentifiziert sich der Benutzer ausschließlich mit seiner Telefonnummer und dem OTP-Code — kein Passwort erforderlich.

Voraussetzungen

• Die Telefonnummer des Benutzers muss bereits registriert und auf seinem Konto verifiziert sein. Telefonnummern können nicht als Teil eines passwortlosen Erst-Flows erfasst werden.
• SMS-Passwortlos muss in Console → Authentication → Passwordless → SMS OTP aktiviert sein.

Flow

API-Verwendung

SMS als Zwei-Faktor-Authentifizierung (2FA)

In diesem Modus ist SMS OTP ein zweiter Faktor. Der Benutzer schließt zunächst die E-Mail/Passwort- (oder Social-)Authentifizierung ab, und wenn 2FA erforderlich ist, liefert Auris einen SMS-Code, bevor Tokens ausgestellt werden.

SMS-2FA aktivieren

Pro Benutzer (Self-Service): Der Benutzer aktiviert SMS-2FA aus seinen Konto-Sicherheitseinstellungen:

import { AurisClient } from '@auris/js'
 
const auris = new AurisClient({ domain: 'auth.yourdomain.com', clientId: 'your-client-id' })
 
// Schritt 1: Telefonnummer setzen und verifizieren
await fetch('/api/user/phone', {
  method: 'POST',
  headers: { Authorization: `Bearer ${accessToken}`, 'Content-Type': 'application/json' },
  body: JSON.stringify({ phoneNumber: '+15551234567' }),
})
 
// Schritt 2: Eigentümerschaft verifizieren — OTP an Telefon senden
await fetch('/api/user/phone/verify', {
  method: 'POST',
  headers: { Authorization: `Bearer ${accessToken}`, 'Content-Type': 'application/json' },
  body: JSON.stringify({ code: '123456' }),
})
 
// Schritt 3: SMS-2FA aktivieren
await fetch('/api/user/2fa/sms', {
  method: 'POST',
  headers: { Authorization: `Bearer ${accessToken}`, 'Content-Type': 'application/json' },
})

import { useAuris } from '@auris/react'
 
function SmsTwoFactorSetup() {
  const { getAccessToken } = useAuris()
  const [step, setStep] = useState('phone') // 'phone' | 'verify' | 'done'
  const [phone, setPhone] = useState('')
  const [code, setCode] = useState('')
 
  async function setPhoneNumber() {
    const token = await getAccessToken()
    await fetch('/api/user/phone', {
      method: 'POST',
      headers: { Authorization: `Bearer ${token}`, 'Content-Type': 'application/json' },
      body: JSON.stringify({ phoneNumber: phone }),
    })
    setStep('verify')
  }
 
  async function verifyAndEnable() {
    const token = await getAccessToken()
    await fetch('/api/user/phone/verify', {
      method: 'POST',
      headers: { Authorization: `Bearer ${token}`, 'Content-Type': 'application/json' },
      body: JSON.stringify({ code }),
    })
    await fetch('/api/user/2fa/sms', {
      method: 'POST',
      headers: { Authorization: `Bearer ${token}` },
    })
    setStep('done')
  }
 
  if (step === 'phone') {
    return (
      <form onSubmit={(e) => { e.preventDefault(); setPhoneNumber() }}>
        <input
          type="tel"
          placeholder="+15551234567"
          value={phone}
          onChange={(e) => setPhone(e.target.value)}
        />
        <button type="submit">Verifizierungscode senden</button>
      </form>
    )
  }
 
  if (step === 'verify') {
    return (
      <form onSubmit={(e) => { e.preventDefault(); verifyAndEnable() }}>
        <input
          placeholder="6-stelliger Code"
          value={code}
          onChange={(e) => setCode(e.target.value)}
          maxLength={6}
        />
        <button type="submit">SMS-2FA verifizieren und aktivieren</button>
      </form>
    )
  }
 
  return <p>SMS-Zwei-Faktor-Authentifizierung ist jetzt aktiviert.</p>
}

Der 2FA-Login-Flow

Während eines Logins, bei dem SMS-2FA erforderlich ist, verwaltet die gehostete Login-Seite den zweiten Faktor automatisch. Falls du eine benutzerdefinierte Login-Oberfläche direkt über die API implementierst:

Telefonnummern-Verwaltung

Benutzer verwalten ihre Telefonnummer über die Kontoeinstellungen. Das Telefon muss per OTP verifiziert werden, bevor es zur Authentifizierung verwendet werden kann.

Rate Limits

Auris setzt strenge Rate Limits für SMS-Endpunkte durch, um Missbrauch zu verhindern und Twilio-Kosten zu kontrollieren:

Nach 5 fehlgeschlagenen Verifizierungsversuchen wird der Code ungültig. Der Benutzer muss einen neuen Code anfordern.

Nach Erreichen des Stundenlimits gibt der Endpunkt eine 429 Too Many Requests-Antwort mit einem Retry-After-Header zurück, der angibt, wann das Limit zurückgesetzt wird.

Sicherheitsüberlegungen

E.164-Validierung — Telefonnummern werden bei der Eingabe gegen das E.164-Format validiert. Ungültige Formate werden abgelehnt, bevor eine SMS gesendet wird.

Verifizierung des Telefon-Eigentums — Auris erfordert OTP-Verifizierung, bevor eine Telefonnummer als verifiziert markiert wird. Eine Telefonnummer kann erst zur Authentifizierung verwendet werden, wenn sie verifiziert wurde.

Code-Hashing — OTP-Codes werden als SHA-256-Hashes gespeichert. Der Rohcode ist nur in der SMS-Nachricht vorhanden — nie in der Auris-Datenbank.

SIM-Swap-Risiko — SMS OTP ist weniger widerstandsfähig gegen SIM-Swap-Angriffe als TOTP oder WebAuthn. Erwäge für Anwendungen mit hochwertigen Konten die Verwendung von Passkeys / WebAuthn oder TOTP als 2FA-Methode.

Verwandte Anleitungen

• Passkeys / WebAuthn — Stärkere 2FA mit Biometrie und Hardware-Keys
• Magic Links — E-Mail-basierte passwortlose Authentifizierung
• Hosted Login (PKCE) — Der vollständige Authentifizierungs-Flow für die Produktion