Kode Verifikasi Email: Cara yang Lebih Aman untuk Menyalin, Memeriksa, dan Menggunakannya

Kode tiba pada 09:14. Halaman yang menanyakannya masih terbuka, nama pengirimnya terlihat familier, dan enam digitnya mudah dikenali. Ini adalah momen ketika sebagian besar nasihat menjadi terlalu abstrak. Kode verifikasi berguna justru karena mudah untuk ditransfer, namun kemudahan tersebut juga memudahkan untuk menyerahkan ke halaman yang salah, menempelkannya ke dalam obrolan, atau meninggalkannya di papan klip bersama.

Rutinitas yang lebih aman adalah singkat: jeda, cocokkan, salin, gunakan, dan hapus. Dibutuhkan waktu lebih sedikit dibandingkan memulihkan akun setelah kesalahan tempel.

Panduan ini berisi tentang kode yang dikirimkan melalui email untuk konfirmasi alamat, proses masuk, pemulihan, atau perubahan sensitif. Pesan-pesan ini tidak semuanya memiliki arti keamanan yang sama. NIST secara eksplisit membedakan kode yang digunakan untuk memvalidasi alamat email dari proses otentikasi, dan tidak memperlakukan kode yang dimasukkan secara manual sebagai kode yang tahan terhadap phishing. Perbedaan tersebut penting: mengekstraksi kode secara akurat tidak membuktikan bahwa halaman yang memintanya sah.

Jeda: apakah Anda memulai permintaan ini?

Pemeriksaan pertama dilakukan sebelum membaca angka. Tanyakan tindakan apa yang menyebabkan pesan tersebut.

Jika Anda baru saja membuka akun, meminta pengaturan ulang kata sandi, atau mengonfirmasi perubahan, waktunya masuk akal. Jika tidak ada tindakan yang terlintas dalam pikiran, jangan “menguji” kode pada halaman yang disediakan oleh pesan. Seseorang mungkin salah mengetik alamat Anda, atau orang lain mungkin mencoba mengakses akun yang terhubung dengannya.

Kode yang tidak terduga adalah sinyal, bukan instruksi. Biarkan tidak digunakan, buka layanan terkait melalui bookmark tersimpan atau alamat yang sudah Anda ketahui, dan periksa aktivitas akun terkini di sana. Jangan pernah mengirimkan kode tersebut kepada orang yang mengaku sebagai support. Percakapan dukungan yang sah tidak mengharuskan Anda mengungkapkan rahasia verifikasi langsung.

Kode tak terduga yang berulang perlu mendapat perhatian lebih. Periksa keamanan kotak surat tahan lama yang terlibat, tinjau opsi pemulihan, dan ubah kata sandi yang digunakan kembali. Jangan berasumsi bahwa kode itu sendiri berarti kotak surat telah dibobol; ini juga bisa berarti penyerang mengetahui suatu alamat dan gagal pada langkah berikutnya.

Cocok: menghubungkan pesan dengan transaksi yang benar

Sebelum menyalin, bandingkan empat detail:

1. Layanan: Apakah ini organisasi dan produk yang Anda gunakan?
2. Tindakan: Apakah pesan tersebut menjelaskan proses masuk, konfirmasi alamat, pemulihan, atau perubahan persis yang Anda minta?
3. Waktu: Apakah barang tiba segera setelah tindakan tersebut, bukan beberapa jam kemudian?
4. Tujuan: Apakah halaman terbuka pada domain terdaftar yang diharapkan, menggunakan HTTPS, tanpa subdomain atau ejaan yang mengejutkan?

Pemeriksaan tujuan adalah pemeriksaan yang dilewati orang. Kode enam digit dapat diteruskan oleh halaman phishing ke layanan sebenarnya selama kode tersebut masih valid. NIST menjelaskan keluaran autentikator yang dimasukkan secara manual sebagai tidak tahan terhadap phishing karena keluarannya tidak terikat secara kriptografis ke sesi yang dimaksud. Dalam bahasa biasa: kode yang benar tidak mengetahui halaman mana yang ingin Anda percayai.

Baca nama host dari kanan ke kiri. Di accounts.example.com, situs yang terdaftar adalah example.com; di example.com.attacker.test, itu adalah attacker.test. Logo dekoratif, warna familiar, dan nama tampilan pengirim tidak mengubah hal itu.

Ketika konsekuensinya tinggi—uang, akses pekerjaan, catatan kesehatan, atau pemulihan akun utama—lebih memilih opsi yang tahan terhadap phishing seperti kunci sandi ketika layanan menawarkannya. Kode email masih berguna untuk konfirmasi dan pemulihan alamat, namun kode ini tidak boleh disalahartikan sebagai metode masuk terkuat yang tersedia.

Salin: pindahkan kodenya saja

Setelah transaksi cocok, salin nilai berguna terkecil. Jangan pilih kalimat di sekitarnya, alamat pengirim, tautan setel ulang, atau detail akun. Entri papan klip enam karakter yang bersih mengurangi pengungkapan yang tidak disengaja dan mencegah pemformatan yang tidak terlihat merusak formulir.

Ekstraksi kode verifikasi Once Email bekerja secara lokal di browser. Tempel teks pesan atau HTML, tinjau kandidat dan salin kode yang Anda kenali. Alat ini tidak mengirimkan pesan yang ditempelkan ke API pemrosesan, dan tidak memutuskan apakah pengirim atau tujuan dapat dipercaya.

Ekstraksi otomatis sengaja dibuat konservatif, namun ambiguitas masih mungkin terjadi:

• nomor pesanan mungkin terlihat seperti kode verifikasi;
• footer mungkin berisi ekstensi telepon pendek;
• pesan yang dikutip lebih lama mungkin berisi kode yang kedaluwarsa;
• beberapa layanan menggunakan huruf dan juga angka;
• sebuah pesan dapat berisi referensi transaksi dan rahasia satu kali.

Cocokkan kandidat dengan kata-kata terdekat dan panjang formulir yang diharapkan. Jika halaman meminta delapan karakter dan ekstraktor menyorot nomor urut enam digit, berhentilah daripada memotong atau menebak-nebak.

Gunakan: tempel ke halaman yang sudah Anda periksa

Kembali ke halaman yang memulai permintaan. Jangan ikuti tautan “verifikasi sekarang” yang baru hanya karena muncul di samping kode. Tempel sekali, kirimkan sekali, dan baca hasilnya.

Jika kode ditolak, periksa pesan terbaru dan tujuannya sebelum meminta yang lain. Pembuatan kode yang cepat dapat membuat urutannya membingungkan karena banyak layanan yang membatalkan kode sebelumnya ketika penggantinya dikeluarkan. OWASP merekomendasikan validitas singkat, sekali pakai, batasan percobaan, dan pembatalan validasi setelah verifikasi berhasil. Itu adalah kontrol yang harus diterapkan oleh layanan; pengguna tetap harus menghindari membuat tumpukan pesan yang tidak dapat dibedakan.

Jangan terus-menerus mencoba ulang variasi. Batasan percobaan yang gagal dimaksudkan untuk mencegah tebakan, dan pengiriman yang berulang-ulang dapat menghalangi alur. Jika kode yang diharapkan tidak berfungsi, mulai ulang dari halaman layanan yang diketahui daripada meminta bantuan orang tak dikenal atau membagikan tangkapan layar.

Hapus: selesaikan tugas keamanan kecil

Setelah pengiriman berhasil, ganti konten papan klip dengan sesuatu yang tidak sensitif jika Anda menggunakan perangkat bersama atau terkelola. Tutup halaman verifikasi dan pratinjau pesan. Jika pesan tidak berisi catatan yang Anda perlukan, biarkan pesan tersebut kedaluwarsa di kotak masuk sementara atau hapus dari kotak surat tahan lama sesuai dengan kebutuhan penyimpanan Anda.

Pembersihan papan klip bukanlah penghapus ajaib. Manajer papan klip, sinkronisasi perangkat, perangkat lunak desktop jarak jauh, dan peralatan perangkat terkelola dapat menyimpan data yang disalin sesuai dengan pengaturannya. Tujuan praktisnya adalah untuk menghindari meninggalkan kode aktif yang siap untuk ditempelkan secara tidak sengaja berikutnya.

Periksa juga di mana Anda mungkin mengekspos pesan tersebut saat memecahkan masalah. Tangkapan layar, rekaman layar, tiket penerbitan, dan rangkaian obrolan sering kali lebih lama dari kodenya. Bahkan setelah habis masa berlakunya, mereka dapat mengungkapkan alamat, nama akun, hubungan layanan, atau alur kerja pemulihan.

Ekstraktor kode adalah alat praktis, bukan mesin kepercayaan

Ada tiga pertanyaan terpisah:

Memisahkan pertanyaan-pertanyaan tersebut akan mencegah kesalahan penalaran umum: “alat menemukan kode, oleh karena itu pesannya nyata.” Ekstraksi meningkatkan transkripsi. Itu tidak mengautentikasi pengirim, memeriksa riwayat akun, atau mengikat kode ke situs web.

Untuk HTML yang mencurigakan, gunakan pratinjau email yang dilindungi tanpa memuat konten jarak jauh. Untuk memeriksa tujuan tanpa membukanya dari pesan, ekstrak tujuan tersebut dengan pemeriksa tautan email dan bandingkan domain yang terdaftar.

Daftar periksa pengembang: jadikan jalur yang lebih aman menjadi jalur yang mudah

Alur verifikasi pembentukan tim tidak boleh menyerahkan seluruh beban kepada pengguna. Implementasi yang baik harus:

• menjaga kode tetap berumur pendek dan sekali pakai;
• upaya gagal membatasi laju tanpa mengatur ulang jumlah kegagalan setiap kali kode baru diminta;
• membatalkan kode setelah penggunaan berhasil;
• menghindari pencatatan atau penyimpanan kode teks biasa;
• nyatakan tindakan yang diminta dan perkiraan waktu dalam pesan;
• hindari menempatkan nomor yang tidak berhubungan dekat dengan kode;
• mendukung pengelola kata sandi dan semantik pengisian otomatis kode platform jika diperlukan;
• menawarkan pengautentikasi yang lebih tahan terhadap phishing untuk jalur masuk penting;
• memudahkan pelaporan pembatalan dan keamanan ketika permintaan tidak dilakukan oleh penerima.

Panduan autentikasi multifaktor OWASP (https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html#one-time-password-otp-handling-and-storage) mencakup masa pakai kode, penggunaan tunggal, batas upaya, dan penyimpanan. Persyaratan autentikator NIST (https://pages.nist.gov/800-63-4/sp800-63b.html#authenticators) menjelaskan mengapa kode validasi email dan rahasia autentikasi memerlukan klaim yang berbeda, dan mengapa kode yang ditransfer secara manual tidak tahan terhadap phishing.

Rutinitas 20 detik

Ketika pesan berikutnya tiba:

1. Jeda: konfirmasi bahwa Anda yang memulai permintaan.
2. Kecocokan: membandingkan layanan, tindakan, waktu, dan domain terdaftar.
3. Salin: ambil kodenya saja, gunakan ekstraksi lokal jika membantu.
4. Gunakan: tempelkan ke halaman yang sudah Anda verifikasi.
5. Hapus: menghapus rahasia langsung dari papan klip dan menutup tugas.

Intinya bukanlah mengubah kode enam digit menjadi sebuah upacara. Ini untuk menambahkan dua pemeriksaan yang tidak dapat dilakukan penyalinan: apakah permintaan itu milik Anda dan apakah tujuannya nyata.