短信 API 对接验证码短信要点
发布时间：2026-10-09来源：传信网浏览次数：587
✅ 一、前置资质 & 签名模板
1. 主体实名：企业短信须企业实名认证，提供营业执照；个人资质一般不能下发业务验证码短信，服务商须具备电信增值业务许可证（SP 证）。
2. 签名报备
- 签名须是品牌 / 企业简称，提前提交资质给运营商审核，未审核通过不能下发。
- 短信正文开头携带【签名】，不能动态拼接签名、不能使用第三方签名（无授权会被拦截封号）。
3. 模板报备
- 验证码须单独使用验证码类型模板，禁止混用营销模板；模板固定文案，验证码仅作为单个变量，变量一般限制 4~8 位数字。
- 模板内不能带营销话术、微信号 / QQ、外部链接（短链基本禁止）、特殊符号；文案要包含验证码 / 校验码 / 动态码 关键字。
✅ 二、API 接口技术对接规范
1. 协议选型：优先 HTTPS POST，不要用 GET（密钥容易在日志 / 浏览器泄露）；请求参数中文须做 UTF-8 URLEncode 编码，防止乱码导致提交失败。
2. 鉴权安全
- ApiKey/Secret 不要硬编码写在代码、不要打印到日志；放环境变量 / 加密配置；开启服务器 IP 白名单，仅业务服务器可调用接口，防止密钥泄露被盗刷。
3. 超时与重试
- 设置连接超时、读取超时（建议 2~5s），防止接口阻塞线程。
- 仅对网络异常、网关超时做有限重试（建议 2~3 次，间隔 1~3s）；返回业务错误码（号码错误、模板不存在）禁止重试，避免重复扣费、重复下发。
4. 参数校验（业务端前置校验，减少无效请求）
- 手机号正则校验，剔除空号、格式错误号码；剔除黑名单（停机、携号转网拒收、投诉号码）。
- 单条请求只传 1 个手机号（验证码场景不要批量多号码）。
✅ 三、业务风控（防短信轰炸、黑产刷量，重中之重）
> 很多客户接口直接被刷，产生巨额账单、通道被关停，根源是只依赖服务商风控，业务后端没做限制
1. 手机号限流（后端 Redis 控制，前端计时只是体验）
- 同一手机号：60s 内限1 次；单日上限建议 3~5 条；短时间多次请求触发人机验证（滑块 / 图形验证码）。
- 验证码设置有效期（5 分钟建议），验证码只能一次性校验，验证成功立即作废。
2. IP 限流：单 IP 单位时间请求次数限制，代理池高频请求直接拦截。
3. 前置人机验证：注册 / 找回密码场景，请求短信接口前先过滑块验证，拦截机器脚本；高风险场景增加设备指纹。
4. 异常监控告警
- 监控：单位时间下发量突增、失败率飙升、大量空号 / 停机号码请求，触发告警。
- 账户余额预警，防止欠费中断服务。
5. 号码黑名单：维护投诉、拒收、高频风险号码库，直接拦截，避免用户投诉被运营商处罚。
✅ 四、合规要求（工信部 74 号令、反诈法）
1. 留存日志：发送时间、手机号、messageId、回执状态，至少保存 6 个月，监管可核查中华人民共
2. 短信内容反诈提示：模板建议加上提醒 “请勿向他人泄露验证码”，符合反诈要求。
3. 禁止行为：不能用于注册黑产账号、批量养号；不能给用户频繁下发骚扰验证码；严禁冒用签名、伪造端口码号。
4. 区分验证码（通知类）和营销短信，通道、签名、模板严格分开，不能混用。
✅ 五、稳定性、到达率与故障预案
1. 并发评估：预估峰值 QPS，确认服务商通道并发上限；高可用场景做多通道 / 多服务商灾备，一条通道异常自动切备用通道。
2. 号码类型：注意携号转网、虚拟号、物联网卡；物联网卡一般不支持接收验证码，提前过滤。
3. 到达率排查：区分三类失败原因：①号码本身（停机、关机、运营商免打扰）；②内容 / 签名模板拦截；③通道拥堵延迟。
4. 测试：先用测试号码调试，正式上线前小流量灰度，观察回执和到达率，再全量放开。
✅ 六、验证码业务逻辑额外安全要点
1. 验证码生成在自己业务后端，不要由短信 API 生成验证码。
2. 校验接口做防暴力破解：同一个手机号多次验证码错误，锁定一段时间，防止暴力猜码。
3. 前端禁止把验证码下发接口暴露给客户端直接调用，所有请求须经过业务后端中转，前端不能直接请求短信服务商 API（防刷底线）。
