SMS OTP tiện, nhưng không nên là đường bảo vệ duy nhất cho tài khoản quan trọng. Khi đổi số, mất SIM hoặc bị chuyển số trái phép, bạn có thể mất luôn cách đăng nhập. Cách an toàn hơn là chuyển dần sang ứng dụng xác thực, lưu mã khôi phục và thử đường đăng nhập mới trước khi gỡ số cũ.
Bài hướng dẫn này phân biệt OTP qua SMS, email và ứng dụng. Bạn cũng sẽ biết OTP hết hạn phải làm sao, lúc nào nên giữ SMS làm phương án dự phòng, và cách chuyển phương thức mà không tự khóa mình khỏi tài khoản.
OTP qua SMS và ứng dụng xác thực khác nhau thế nào?
OTP là mã dùng một lần. Hệ thống tạo mã khi bạn đăng nhập, gửi hoặc hiển thị mã trên một kênh, rồi kiểm tra mã đó trong thời gian ngắn. Mã đã dùng thường không dùng lại được.
Với SMS OTP, máy chủ gửi mã qua mạng di động đến số đã đăng ký. Mã có thể đến sau vài giây hoặc chậm hơn tùy dịch vụ, nhà mạng và tình trạng kết nối. Với ứng dụng xác thực, ứng dụng tạo mã ngay trên thiết bị từ một khóa bí mật đã được đăng ký trước. Thiết bị không cần nhận SMS cho mỗi lần đăng nhập.
Ví dụ, một mã TOTP thường đổi sau 30 giây. Nếu bạn thấy mã “482 731” lúc 10:00:05 nhưng nhập lúc 10:00:38, máy chủ có thể đã chuyển sang mã mới. Hãy nhập mã đang hiển thị, không cố dùng mã cũ.
Mã OTP có hiệu lực bao lâu?
Không có một thời hạn chung cho mọi dịch vụ. Nguồn tham khảo được chọn cho bài này nêu OTP có thể sống từ khoảng 30 đến 120 giây, còn một số dịch vụ SMS cho phép thời gian dài hơn. Ứng dụng TOTP thường đổi mã theo chu kỳ 30 hoặc 60 giây.
Đừng đoán thời hạn từ loại mã. Hãy đọc thông báo trên màn hình đăng nhập, email hoặc SMS của chính dịch vụ. Nếu đồng hồ đếm ngược còn 8 giây, mã đang hiển thị có thể vẫn hợp lệ; nếu màn hình báo hết hạn, yêu cầu mã mới một lần rồi nhập ngay.
OTP hết hạn phải làm sao?
- Dừng việc nhập lại mã cũ. Mỗi lần thử sai có thể làm tăng số lần thất bại.
- Kiểm tra giờ trên điện thoại nếu bạn dùng ứng dụng TOTP. Thời gian lệch nhiều có thể khiến mã trên máy và mã máy chủ không khớp.
- Chọn gửi lại mã một lần, chờ tin nhắn mới rồi chỉ dùng mã mới nhất.
- Nếu đã yêu cầu nhiều lần, chờ theo thông báo của dịch vụ thay vì bấm liên tục.
- Vẫn thất bại thì dùng phương thức dự phòng hoặc kênh hỗ trợ chính thức.
Giả sử bạn nhận ba tin nhắn trong một phút: mã A lúc 09:10:02, mã B lúc 09:10:18 và mã C lúc 09:10:31. Nếu dịch vụ chỉ chấp nhận mã mới nhất, nhập mã A dù còn trong thời hạn vẫn có thể báo sai. Kết quả đó không chứng minh SMS bị chặn; có thể hệ thống đã vô hiệu hóa mã cũ.
OTP qua email và OTP qua SMS: nên chọn gì?
OTP qua email phù hợp khi hộp thư của bạn được bảo vệ tốt và bạn vẫn truy cập được email trên thiết bị đáng tin cậy. Nó không phụ thuộc trực tiếp vào SIM, nhưng nếu email là tài khoản khôi phục của chính tài khoản đang đăng nhập, hai lớp bảo vệ có thể phụ thuộc lẫn nhau.
SMS dễ dùng hơn trong lúc đầu, song số điện thoại có thể bị mất, cấp lại hoặc chuyển sang SIM khác. Tin nhắn cũng phụ thuộc vào sóng, chuyển vùng và bộ lọc của nhà mạng. Cả email lẫn SMS đều cần được xem là kênh nhận mã, không phải bằng chứng tuyệt đối rằng người đang cầm thiết bị là chủ tài khoản.
Chọn email làm dự phòng chỉ có ý nghĩa khi email đó dùng mật khẩu riêng, có MFA và không đăng nhập sẵn trên thiết bị người khác. Nếu hộp thư chính chưa được bảo vệ, đừng chuyển mọi mã khôi phục về đó một cách máy móc.
Google Authenticator và SMS OTP: khi nào nên chuyển?
Ứng dụng xác thực tạo mã cục bộ, nên mã không phải đi qua mạng di động. Điều này giảm rủi ro bị đánh cắp qua việc đổi SIM hoặc chặn tin nhắn, nhưng không loại bỏ rủi ro mất điện thoại, phần mềm độc hại, lừa đảo thời gian thực hoặc thất lạc mã khôi phục.
Hãy ưu tiên chuyển trước với email chính, trình quản lý mật khẩu, tài khoản quản trị và dịch vụ có hậu quả lớn nếu mất quyền truy cập. Tài khoản ít quan trọng có thể giữ SMS trong thời gian ngắn nếu ứng dụng chưa có tùy chọn dự phòng phù hợp.
Nếu dịch vụ hỗ trợ passkey hoặc khóa bảo mật, đó cũng là lựa chọn đáng cân nhắc. Passkey giảm việc phải đọc mã và nhập mã trên trang đăng nhập, còn khóa bảo mật yêu cầu bạn có thiết bị vật lý đã đăng ký.
Cách chuyển sang ứng dụng xác thực mà không mất quyền truy cập
- Kiểm tra đường vào hiện tại. Đăng nhập khi SMS vẫn hoạt động. Mở phần bảo mật và ghi lại các phương thức đang dùng.
- Bật ứng dụng xác thực. Chọn ứng dụng TOTP trong phần MFA. Dùng ứng dụng quét mã QR hoặc nhập khóa bí mật theo hướng dẫn của dịch vụ.
- Lưu mã khôi phục. Cất mã ở nơi riêng, chẳng hạn trình quản lý mật khẩu hoặc bản in trong chỗ an toàn. Không chụp màn hình rồi đồng bộ vào album chung.
- Đăng nhập thử. Đăng xuất trên một thiết bị phụ hoặc mở cửa sổ riêng tư, sau đó đăng nhập bằng mật khẩu và mã từ ứng dụng.
- Thêm phương án dự phòng. Nếu dịch vụ cho phép, đăng ký thiết bị thứ hai hoặc giữ một phương thức khôi phục khác mà bạn kiểm soát.
- Chỉ gỡ SMS sau cùng. Khi đường mới đã hoạt động và mã khôi phục đã được kiểm tra, mới xóa số cũ nếu bạn thật sự không muốn dùng nó.
Ví dụ, bạn bật TOTP trên laptop nhưng chưa thử trên điện thoại. Nếu laptop hỏng ngay sau đó, bạn có thể mất cả ứng dụng lẫn đường vào. Một lần đăng nhập thử trên thiết bị thứ hai sẽ phát hiện lỗi này trước khi nó thành sự cố.
Những lỗi thường gặp khi dùng ứng dụng xác thực
- Giờ thiết bị lệch: bật ngày giờ tự động rồi thử mã mới.
- Quét nhầm mã QR: kiểm tra đúng tài khoản và xóa mục cấu hình sai sau khi đã xác nhận.
- Chỉ lưu mã trên một máy: thêm thiết bị dự phòng hoặc lưu mã khôi phục an toàn.
- Chia sẻ khóa bí mật: coi khóa QR và khóa nhập tay như mật khẩu, không gửi qua nhóm chat.
- Nhập nhiều mã liên tiếp: dừng lại khi dịch vụ báo giới hạn, vì thử tiếp có thể kéo dài thời gian khóa.
Checklist chọn phương thức xác thực
Trước khi quyết định, trả lời bốn câu hỏi: bạn có còn kiểm soát số điện thoại không, email khôi phục có MFA không, bạn đã lưu và thử mã khôi phục chưa, và bạn có thiết bị dự phòng không? Nếu chưa trả lời được câu thứ ba hoặc thứ tư, chưa nên gỡ SMS.
OTP qua SMS vẫn tốt hơn việc không bật MFA. Tuy vậy, với tài khoản quan trọng, ứng dụng xác thực, passkey hoặc khóa bảo mật thường cho đường bảo vệ ổn định hơn. Hãy chọn phương thức mà bạn có thể kiểm soát trong cả ngày bình thường lẫn lúc mất điện thoại, đổi số hoặc đang ở nước ngoài.
Câu hỏi thường gặp về mã OTP
Mã OTP cũ có dùng lại được không?
Thông thường không. OTP được tạo cho một lần xác thực và có thể hết hạn trước khi bạn nhập. Khi yêu cầu mã mới, hãy ưu tiên mã mới nhất theo hướng dẫn của dịch vụ.
Không nhận được SMS OTP thì có nên bấm gửi lại liên tục?
Không nên. Chờ theo thời gian hiển thị, kiểm tra số nhận, sóng và thư mục lọc tin nhắn, rồi yêu cầu lại một lần. Nếu tài khoản có ứng dụng xác thực hoặc mã khôi phục, dùng phương thức đó.
Ứng dụng xác thực có an toàn tuyệt đối không?
Không. Ứng dụng giảm phụ thuộc vào mạng di động nhưng vẫn cần bảo vệ thiết bị, khóa cấu hình và mã khôi phục. Với tài khoản nhạy cảm, hãy cân nhắc passkey hoặc khóa bảo mật và bật cảnh báo đăng nhập.