// guía práctica · ex notifotp.me

OTP en 5 minutos

Guía práctica de envío y verificación de contraseñas de un solo uso con buenas prácticas antifraude para equipos de producto e ingeniería.

notifotp.me ahora vive aquí. Todo el contenido original se mantiene bajo nviaotp.me/otp.
Ir al laboratorio OTP Explorar cursos

Calidad Big Four · Estándar Apple / Stripe · WCAG 2.2 AA · Español formal · Sin cifras inventadas

nviaOTP14:28

Verificación OTP

Código de un solo uso

482 917
Simulado · Sin red productiva

Expira en 5:00 min

01 · Flujo mínimo viable

Envío y verificación en cinco pasos

Un flujo OTP robusto separa generación, canal de envío, verificación, expiración y auditoría. No basta con generar un código aleatorio.

1
Validar identidad
2
Generar código
3
Enviar por canal seguro
4
Verificar
5
Auditar

Generación

Utilice TOTP (RFC 6238) o HOTP (RFC 4226) cuando sea posible. Para OTP por SMS o correo electrónico, emplee generadores criptográficamente seguros.

RFC 6238 / 4226

Expiración y reintentos

Expiración corta (recomendado 5 minutos) y límite estricto de reintentos antes de invalidar el código o aplicar bloqueo temporal.

Política configurable

Auditoría

Registre eventos de generación, envío, intentos fallidos y verificaciones sin exponer el código ni datos sensibles en logs.

NO MEDIDO en esta guía

02 · Buenas prácticas antifraude

Controles mínimos recomendados

Cada control reduce la superficie de ataque. Estos son los requisitos mínimos verificables antes de llevar un flujo OTP a producción.

  • Verificar la titularidad del canal (número móvil o correo) antes de enviar cualquier OTP.
  • Los códigos deben ser de un solo uso y quedar invalidados inmediatamente tras verificación exitosa.
  • Implementar rate limiting por usuario, IP, dispositivo y canal.
  • No incluir información sensible en el mensaje. Solo el código y advertencia de no compartirlo.
  • Monitorear señales de SIM Swap cuando se disponga de servicio en el portal de Mobiconnect.
  • Utilizar HTTPS y almacenamiento seguro de claves. Nunca registrar el OTP en logs.
  • Preferir TOTP con aplicaciones autenticadoras sobre SMS cuando sea viable.
Advertencia: El OTP por SMS es susceptible a ataques de SIM Swap y phishing. Esta guía es material educativo y no sustituye una evaluación de riesgo formal.

03 · Implementación de referencia

Verificación TOTP — ejemplo educativo

Fragmento ilustrativo de verificación TOTP con ventana de tolerancia. No apto para producción sin auditoría de seguridad.

totp-verify.js — ejemplo educativo
totp-verify.js 
function verifyTOTP(secret, code, window = 1) {
  const now = Math.floor(Date.now() / 1000);
  const counter = Math.floor(now / 30);
  for (let i = -window; i <= window; i++) {
    if (generateTOTP(secret, counter + i) === code) {
      return { valid: true, step: counter + i };
    }
  }
  return { valid: false };
}
Nota: Ajuste la ventana de tolerancia, la duración y los mecanismos de revocación según su política de seguridad. El laboratorio de nviaOTP permite probar esta lógica en el navegador.
Probar en el laboratorio TOTP

04 · Legal y normativo

Los requisitos de retención, consentimiento y protección de datos son variables por jurisdicción. En el portafolio Mobiconnect se modelan como políticas configurables por tenant.

Compliance Chile

Para operaciones en Chile, consulte la página específica de compliance local (ex verificaotp.cl).

Ir a Compliance Chile

Privacidad y datos

Esta guía no recopila datos personales. El contenido es estrictamente educativo y no constituye asesoría legal.

Ver legal y privacidad

05 · Preguntas frecuentes

Sobre esta guía

¿notifotp.me sigue operativo?

No. El dominio redirige y todo su contenido se mantiene actualizado en nviaotp.me/otp.

¿Puedo usar estos ejemplos directamente en producción?

Los ejemplos son educativos. Toda implementación productiva debe pasar por revisión de seguridad y cumplimiento normativo.

¿Esta guía constituye asesoría legal o técnica?

No. Es material educativo de carácter general.

// desde la guía al hub

Implemente OTP con señales de red y políticas configurables

El portal de developers de Mobiconnect ofrece Open API, CAMARA, GSMA Open Gateway y cobro vía Entitlements para llevar su flujo OTP a producción de forma segura y escalable.

Ir al portal de Mobiconnect