Co to jest kod OTP? Jak działają jednorazowe hasła

TL;DR: OTP (One-Time Password) to jednorazowe hasło – automatycznie generowany kod, który można wykorzystać tylko raz, np. do zalogowania się do konta lub autoryzacji transakcji. Wyróżniamy dwa główne standardy kodów OTP: HOTP i TOTP. Kody mogą być dostarczane za pośrednictwem wiadomości SMS, poczty e-mail lub aplikacji uwierzytelniającej. W tym przewodniku wyjaśniamy co to jest OTP, jak działa mechanizm OTP, dlaczego NIST uznał kody OTP wysyłane przez SMS za metodę „ograniczoną” oraz od czego naprawdę zależy, czy kod dotrze do użytkownika na czas, gdy jest najbardziej potrzebny.

Prawdopodobnie w ciągu ostatniego tygodnia przynajmniej raz wpisywaliście kod OTP. Być może otrzymaliście go SMS-em podczas logowania do aplikacji bankowej. A może wyświetlił się w aplikacji uwierzytelniającej przed zatwierdzeniem płatności.

OTP (One-Time Password), czyli jednorazowe hasło, to automatycznie generowany kod wykorzystywany do potwierdzania tożsamości użytkownika. Dziś stanowi jeden z najczęściej stosowanych mechanizmów zabezpieczających w internecie.

Z tego przewodnika dowiesz się, jak działają kody OTP, czym różni się HOTP od TOTP oraz dlaczego sam kod to tylko połowa sukcesu. Druga połowa to dostarczenie: dotarcie z kodem do właściwej osoby w kilka sekund, za każdym razem, nawet gdy akurat wysyłasz kampanię promocyjną do miliona skrzynek odbiorczych.

Co to jest OTP?

OTP (One-Time Password) to jednorazowe hasło, nazywane również jednorazowym kodem, jednorazowym PIN-em lub jednorazowym kodem autoryzacyjnym (OTAC). Jest generowane automatycznie na potrzeby pojedynczego logowania lub autoryzacji transakcji i traci ważność natychmiast po użyciu albo po upływie krótkiego, z góry określonego czasu.

Idea działania OTP jest prosta. Tradycyjne hasło pozostaje niezmienne do momentu jego zmiany, dlatego osoba, która je przechwyci, może wykorzystać je wielokrotnie. W przypadku OTP każdy kod jest unikalny i jednorazowy. Nawet jeśli zostanie przechwycony, zwykle wygaśnie, zanim napastnik zdąży go użyć.

Ta odporność na ponowne wykorzystanie kodu, określana jako ochrona przed atakiem powtórzeniowym (replay attack), jest jedną z najważniejszych zalet OTP w porównaniu ze statycznymi hasłami.

Kody OTP najczęściej stanowią element uwierzytelniania dwuskładnikowego (2FA). W pierwszym kroku użytkownik podaje hasło, a następnie potwierdza swoją tożsamość za pomocą jednorazowego kodu otrzymanego na telefon, adres e-mail lub w aplikacji uwierzytelniającej.

Połączenie tych dwóch czynników znacząco zwiększa poziom bezpieczeństwa i utrudnia przejęcie konta nawet wtedy, gdy hasło użytkownika zostało już skompromitowane.

Jak działa kod OTP?

Kod OTP powstaje na podstawie wspólnego sekretu (shared secret), który znają zarówno serwer, jak i urządzenie użytkownika. W zależności od wykorzystywanego standardu do wygenerowania kodu używany jest również licznik lub aktualny czas. Następnie dane te są przetwarzane przez funkcję kryptograficzną, która tworzy krótki kod liczbowy.

W praktyce cały proces wygląda następująco:

1. Użytkownik próbuje zalogować się do konta lub wykonać wrażliwą operację, np. zatwierdzić przelew albo zmienić hasło.
2. Serwis uruchamia drugi etap uwierzytelniania.
3. Kod OTP zostaje wygenerowany – przez aplikację uwierzytelniającą na urządzeniu użytkownika albo przez serwer, który następnie dostarcza go SMS-em lub e-mailem.
4. Użytkownik wpisuje otrzymany kod w formularzu logowania lub autoryzacji. W zależności od rozwiązania kod pozostaje ważny od kilkudziesięciu sekund do kilku minut.
5. Serwer niezależnie oblicza oczekiwaną wartość OTP, korzystając z tego samego wspólnego sekretu, i porównuje ją z kodem podanym przez użytkownika.
6. Jeżeli kod jest poprawny, nie wygasł i nie został wcześniej wykorzystany, użytkownik uzyskuje dostęp do konta lub może dokończyć operację.

Tak właśnie działa większość transakcyjnych wiadomości SMS z kodami OTP. Gdy użytkownik loguje się do konta lub potwierdza płatność, system automatycznie generuje jednorazowy kod i wysyła go w krótkiej wiadomości. Nie ma w niej treści marketingowych ani ofert promocyjnych – liczy się wyłącznie szybkie i niezawodne dostarczenie sześciocyfrowego kodu, którego użytkownik potrzebuje w danym momencie.

Skuteczność weryfikacji dwuetapowej OTP jako mechanizmu bezpieczeństwa opiera się na dwóch elementach: ograniczonym czasie ważności oraz jednorazowości kodu.

W przeciwieństwie do statycznego hasła, które może zostać wykorzystane wielokrotnie po przejęciu, kod OTP jest ważny tylko przez krótki czas i tylko do jednego użycia. Nawet jeśli zostanie przechwycony, jego wykorzystanie jest możliwe jedynie w bardzo krótkim oknie czasowym, co znacząco utrudnia przeprowadzenie skutecznego ataku.

HOTP i TOTP: dwa standardy jednorazowych haseł

Istnieją dwa główne standardy generowania kodów OTP: HOTP (HMAC-based One-Time Password) oraz TOTP (Time-based One-Time Password). Różnią się one sposobem tworzenia kodu. HOTP wykorzystuje licznik zwiększający się przy każdym wygenerowaniu nowego hasła, natomiast TOTP opiera się na aktualnym czasie i automatycznie tworzy nowy kod co 30–60 sekund.

HOTP

HOTP bazuje na liczniku zdarzeń współdzielonym przez urządzenie użytkownika i serwer. Za każdym razem, gdy generowany jest nowy kod, licznik zwiększa swoją wartość, a na jego podstawie tworzony jest kolejny OTP.

Ponieważ kod pozostaje ważny do momentu wykorzystania, użytkownik nie musi wpisywać go w określonym czasie. Zwiększa to wygodę korzystania z systemu, ale jednocześnie wydłuża okres, w którym przechwycony kod może zostać wykorzystany przez osobę nieuprawnioną.

TOTP

TOTP zamiast licznika wykorzystuje aktualny czas. Zarówno urządzenie użytkownika, jak i serwer generują kod na podstawie tego samego wspólnego sekretu oraz bieżącego znacznika czasu. Nowy kod pojawia się automatycznie co 30 lub 60 sekund, niezależnie od tego, czy poprzedni został użyty.

Krótki czas ważności znacząco ogranicza możliwość wykorzystania przechwyconego kodu. Nawet jeśli trafi on w niepowołane ręce, zwykle wygaśnie, zanim będzie można go użyć. Z tego powodu większość współczesnych aplikacji uwierzytelniających, takich jak Google Authenticator, Microsoft Authenticator czy Authy, wykorzystuje właśnie standard TOTP.

HOTP czy TOTP?

TOTP stał się domyślnym rozwiązaniem w nowoczesnych systemach uwierzytelniania. Zapewnia wyższy poziom bezpieczeństwa dzięki krótkiemu okresowi ważności kodów i nie wymaga utrzymywania zgodności liczników pomiędzy urządzeniem a serwerem. Zamiast tego oba systemy muszą jedynie pozostawać wystarczająco zsynchronizowane czasowo, co zwykle odbywa się automatycznie.

HOTP nadal znajduje zastosowanie w starszych systemach korporacyjnych, zwłaszcza tam, gdzie użytkownik może potrzebować wygenerować kod offline i wykorzystać go później, bez ograniczenia wynikającego z krótkiego czasu ważności.

Gdzie dostarczane są kody OTP? SMS, e-mail i aplikacje uwierzytelniające

Kody OTP mogą być dostarczane lub generowane na kilka sposobów. Każde rozwiązanie oferuje inny kompromis między wygodą użytkownika, poziomem bezpieczeństwa i łatwością wdrożenia.

SMS pozostaje najczęściej wykorzystywanym kanałem dostarczania kodów OTP, ponieważ niemal każdy użytkownik posiada telefon komórkowy, a korzystanie z tej metody nie wymaga instalowania dodatkowego oprogramowania. Jednocześnie jest to kanał, który wymaga szczególnej dbałości o bezpieczeństwo i niezawodność infrastruktury odpowiedzialnej za dostarczanie wiadomości.

Co to jest OTP SMS?

OTP SMS to jednorazowy kod uwierzytelniający dostarczany w wiadomości SMS. Jest to najpopularniejsza forma uwierzytelniania dwuskładnikowego zarówno w Polsce, jak i na świecie. Zamiast generować kod lokalnie w aplikacji, system wysyła go na numer telefonu powiązany z kontem użytkownika. Dzięki temu odbiorca nie musi instalować żadnych dodatkowych narzędzi – wystarczy, że ma dostęp do swojego telefonu.

Z perspektywy firmy OTP SMS oznacza nie tylko prostotę wdrożenia, ale również odpowiedzialność za szybkie i niezawodne dostarczenie kodu. W przypadku wiadomości autoryzacyjnych liczy się każda sekunda. Jeżeli SMS zostanie opóźniony lub utknie w kolejce wysyłkowej, użytkownik nie będzie mógł zakończyć logowania ani potwierdzić transakcji, nawet jeśli sam kod został wygenerowany prawidłowo.

Dlaczego infrastruktura dostarczania OTP ma znaczenie dla biznesu

Dla firm skuteczność weryfikacji dwuetapowej OTP nie kończy się na wygenerowaniu kodu. Równie ważne jest jego szybkie i niezawodne dostarczenie. Opóźniony lub niedostarczony kod oznacza nie tylko frustrację użytkownika, lecz także zablokowane logowanie, nieudaną płatność albo przerwaną ścieżkę zakupową. Przekłada się to na utracone przychody, większą liczbę zgłoszeń do działu wsparcia i gorsze doświadczenia klientów.

Wyobraź sobie sklep internetowy w trakcie szczytu sprzedażowego. Klient wpisuje dane karty, system wysyła kod OTP w celu potwierdzenia płatności, ale wiadomość dociera dopiero po kilkudziesięciu sekundach, ponieważ czeka w kolejce za tysiącami wiadomości marketingowych. W tym czasie klient rezygnuje z zakupu. Problem nie wynika z procesu uwierzytelniania, lecz z niewydolnej infrastruktury odpowiedzialnej za dostarczenie kodu.

Priorytetowa ścieżka dla weryfikacji dwuetapowej OTP i 2FA

Dlatego nowoczesne platformy komunikacyjne powinny oddzielać ruch transakcyjny od marketingowego. Oznacza to, że wiadomości zawierające kody OTP powinny trafiać do priorytetowych kolejek i nie konkurować o zasoby z kampaniami promocyjnymi.

W MessageFlow jest to możliwe dzięki funkcjonalności MessageFlow Priority. Dzięki priorytetowej kolejce, kody wykorzystywane podczas logowania, autoryzacji płatności czy potwierdzania operacji są obsługiwane niezależnie od masowych wysyłek marketingowych. W efekcie nawet w okresach wzmożonego ruchu użytkownicy otrzymują wiadomości w czasie odpowiednim dla procesów uwierzytelniania.

Zgodność regulacyjna jako element infrastruktury

Dla organizacji działających w sektorach regulowanych równie istotna jest zgodność z wymaganiami prawnymi. Instytucje finansowe i przedsiębiorstwa świadczące usługi krytyczne muszą wykazać, w jaki sposób zabezpieczają komunikację z użytkownikami zgodnie z regulacjami, takimi jak NIS2 czy DORA.

MessageFlow przetwarza dane wyłącznie w infrastrukturze zlokalizowanej na terenie Unii Europejskiej oraz udostępnia dokumentację wspierającą zgodność z NIS2 i DORA. Platforma posiada również certyfikaty ISO 27001, ISO 22301 oraz SOC 2, co ułatwia procesy audytowe i ocenę dostawcy podczas due diligence.

Jedna platforma dla komunikacji transakcyjnej

W wielu organizacjach weryfikacja dwuetapowa OTP jest tylko jednym z elementów komunikacji z użytkownikiem. W MessageFlow SMS, e-mail, powiadomienia push, RCS i Viber mogą być obsługiwane przez jedno API oraz wspólny panel administracyjny, co upraszcza integrację, monitoring i diagnostykę problemów.

Dla firm planujących migrację dostępna jest również warstwa API Bridge, która umożliwia odwzorowanie interfejsu obecnego dostawcy. Dzięki temu zmiana platformy nie wymaga przebudowy istniejących integracji ani ponownego wdrażania całego procesu uwierzytelniania.

Czy uwierzytelnianie OTP jest bezpieczne?

Jednorazowe hasła pozostają jedną z najczęściej stosowanych metod uwierzytelniania w bankowości, fintechu, handlu, ochronie zdrowia i aplikacjach konsumenckich. Ich popularność wynika z prostoty wdrożenia oraz znacznie wyższego poziomu bezpieczeństwa w porównaniu z samymi hasłami.

Jednocześnie standardy bezpieczeństwa stale ewoluują. W rewizji dokumentu Digital Identity Guidelines (SP 800-63B) z 2025 roku amerykański NIST sklasyfikował SMS OTP jako metodę „ograniczoną” (restricted authenticator). Nie oznacza to, że SMS przestał być bezpieczny. Oznacza natomiast, że organizacje powinny być świadome ograniczeń tego kanału, wdrażać silniejsze metody tam, gdzie jest to uzasadnione, oraz minimalizować ryzyko związane z dostarczaniem wiadomości.

Największe zagrożenia nie wynikają z samego mechanizmu OTP, lecz z ataków na kanał komunikacji. Do najczęściej spotykanych należą ataki typu SIM swap, socjotechnika wymierzona w operatorów telekomunikacyjnych oraz SMS pumping, którego celem jest generowanie kosztów poprzez masowe wysyłanie wiadomości.

Dlatego bezpieczeństwo SMS OTP zależy dziś nie tylko od sposobu generowania kodu, ale również od jakości infrastruktury odpowiedzialnej za jego dostarczenie.

Bezpieczne dostarczanie OTP zaczyna się przed wysłaniem wiadomości

Skuteczna ochrona systemu OTP obejmuje znacznie więcej niż samo wygenerowanie kodu. Obejmuje również mechanizmy ograniczające nadużycia, monitorowanie ruchu oraz zapewnienie wysokiej dostępności usług.

Najważniejsze elementy takiej infrastruktury to:

• Rate limiting – możliwość ograniczenia liczby żądań OTP dla numeru telefonu, konta lub innej reguły biznesowej. Pozwala ograniczyć nadużycia, takie jak SMS pumping, zanim wiadomość zostanie wysłana.
• Monitoring ruchu uwierzytelniającego – oddzielenie komunikacji transakcyjnej od marketingowej ułatwia wykrywanie anomalii i utrzymanie stabilności dostarczania kodów.
• Krótki czas ważności kodów – ograniczenie okresu ważności do kilku minut zmniejsza ryzyko wykorzystania przechwyconego OTP.
• Priorytetowe dostarczanie wiadomości – dedykowane kolejki zapewniają wysoką dostępność nawet podczas nagłych wzrostów ruchu.

MessageFlow wspiera wszystkie wymienione mechanizmy, oferując dedykowaną infrastrukturę dla komunikacji transakcyjnej, routing realizowany wyłącznie na terenie Unii Europejskiej oraz rozwiązania ułatwiające spełnienie wymagań regulacyjnych.

Warto jednak pamiętać, że żaden dostawca SMS nie jest w stanie zapobiec przejęciu numeru telefonu u operatora ani zastąpić silniejszych metod uwierzytelniania, takich jak aplikacje uwierzytelniające czy passkeys. Rolą platformy komunikacyjnej jest zapewnienie, aby każda część procesu pozostająca pod jej kontrolą – od ochrony przed nadużyciami, przez priorytetowy routing, aż po niezawodne dostarczenie wiadomości – działała możliwie najbezpieczniej i najbardziej niezawodnie.

Dobre praktyki wdrożenia bezpiecznego OTP

Generowanie jednorazowego hasła to tylko jeden z elementów bezpiecznego procesu uwierzytelniania. O poziomie ochrony decydują również sposób zarządzania żądaniami, czas ważności kodów, wykrywanie nadużyć oraz niezawodność infrastruktury odpowiedzialnej za ich dostarczanie.

Ustaw krótki czas ważności kodu OTP

Kody OTP powinny wygasać możliwie szybko – najczęściej w ciągu 5–10 minut. Krótkie okno ważności ogranicza ryzyko wykorzystania przechwyconego kodu, jednocześnie pozostając wystarczająco długie dla większości użytkowników.

Ogranicz liczbę żądań (rate limiting)

Warto określić limit liczby kodów, które mogą zostać wygenerowane dla jednego numeru telefonu, konta lub adresu IP w określonym czasie. Rate limiting skutecznie ogranicza ataki typu SMS pumping, automatyczne próby nadużyć oraz niekontrolowany wzrost kosztów wysyłki wiadomości.

Oferuj silniejsze metody uwierzytelniania dla operacji wysokiego ryzyka

NIST rekomenduje udostępnianie alternatywnych metod uwierzytelniania obok SMS OTP, zwłaszcza podczas odzyskiwania konta, wykonywania transakcji o wysokiej wartości czy działań administracyjnych. W takich scenariuszach warto umożliwić korzystanie z aplikacji uwierzytelniających, passkeys lub uwierzytelniania push.

Monitoruj sygnały mogące świadczyć o nadużyciach

Bezpieczny system OTP powinien analizować nie tylko poprawność kodu, ale również kontekst jego użycia. Niedawna wymiana karty SIM, nietypowo wysoka liczba żądań, wielokrotne nieudane próby weryfikacji czy logowania z nietypowych lokalizacji mogą wskazywać na próbę oszustwa i powinny uruchamiać dodatkowe mechanizmy ochrony.

Oddziel komunikację transakcyjną od marketingowej

Wiadomości zawierające kody OTP nie powinny konkurować z kampaniami marketingowymi o przepustowość infrastruktury. Dedykowane kolejki i priorytetowy routing pomagają utrzymać wysoką szybkość dostarczania nawet w okresach wzmożonego ruchu, takich jak Black Friday, premiery produktów czy masowe wysyłki powiadomień.

Wybierz infrastrukturę zaprojektowaną z myślą o komunikacji transakcyjnej

Komunikacja uwierzytelniająca ma inne wymagania niż komunikacja marketingowa. Liczy się przede wszystkim niezawodność dostarczania, odporność na nagłe wzrosty ruchu, możliwość monitorowania zdarzeń oraz szybka identyfikacja problemów wpływających na logowanie lub autoryzację użytkowników.

Z MessageFlow OTP zawsze dociera na czas

Skuteczność kodu OTP zależy nie tylko od sposobu jego wygenerowania, ale również od tego, jak szybko i niezawodnie dotrze do użytkownika. Krótki czas ważności, ograniczanie liczby żądań czy zgodność z wytycznymi NIST zwiększają poziom bezpieczeństwa, jednak ich skuteczność maleje, jeśli wiadomości są opóźniane przez niewydolną infrastrukturę lub współdzielą zasoby z masowymi kampaniami marketingowymi.

Dlatego dostarczanie OTP warto traktować jako element infrastruktury krytycznej. Wymaga priorytetowego routingu, monitorowania, mechanizmów ochrony przed nadużyciami oraz środowiska spełniającego wymagania regulacyjne – takiego, które zapewni użytkownikom dostęp do kodu dokładnie wtedy, gdy go potrzebują.