O que é OTP (senha de uso único)? Definição, fluxo de pagamento e exemplos
A senha de uso único (OTP) é o código de verificação válido para uma única operação ou por pouco tempo, que pode servir como fator de autenticação, mas não equivale automaticamente a uma autenticação forte do cliente completa. Este guia explica o papel da OTP no fluxo real de pagamentos, seus limites e os equívocos mais comuns.
Pontos principais
- Definição: A senha de uso único (OTP) é o código de verificação válido para uma única operação ou por pouco tempo, que pode servir como fator de autenticação, mas não equivale automaticamente a uma autenticação forte do cliente completa.
- Posição no fluxo: Quando a regulamentação se aplica, a autenticação forte do cliente (SCA) exige vários fatores de autenticação de categorias independentes e pode exigir a vinculação dinâmica ao valor da transação e ao recebedor.
- Não confunda: OTP / Autenticação forte do cliente
Como entra no fluxo de pagamento
No caso da OTP, o fluxo é o seguinte: quando a regulamentação se aplica, a autenticação forte do cliente (SCA) exige vários fatores de autenticação de categorias independentes e pode exigir a vinculação dinâmica ao valor da transação e ao recebedor. A senha de uso único (OTP) é uma das ferramentas de autenticação possíveis, enquanto o serviço de verificação de endereço (AVS) compara dados de endereço; nenhum dos dois equivale, por si só, à SCA completa.
Ao avaliar a OTP, observe o seguinte: se a SCA é exigida, se alguma isenção se aplica e quem assume a obrigação dependem da região, da forma como a transação é iniciada e do papel de cada provedor de serviços de pagamento. O usuário só deve concluir a verificação em uma interface confiável do emissor.
Exemplo prático
O banco envia uma senha de uso único para o usuário confirmar a operação em andamento, e esse código só deve ser digitado na interface oficial. Nenhum atendente deve pedir que o usuário repasse o código pelo chat.
Diferenças em relação a termos parecidos
| Termo | Definição |
|---|---|
| Senha de uso único | é o código de verificação válido para uma única operação ou por pouco tempo, que pode servir como fator de autenticação, mas não equivale automaticamente a uma autenticação forte do cliente completa |
| Autenticação forte do cliente | é a exigência prevista na regulamentação de algumas regiões de verificar o pagador com fatores de autenticação de categorias diferentes, com escopo e exceções que variam conforme a região |
| CVV/CVC | é um código curto de verificação do cartão, muito usado como checagem adicional em transações com cartão não presente, e não é a senha (PIN) do cartão |
Em essência, a OTP é o código de verificação válido para uma única operação ou por pouco tempo, que pode servir como fator de autenticação, mas não equivale automaticamente a uma autenticação forte do cliente completa; já a autenticação forte do cliente é a exigência prevista na regulamentação de algumas regiões de verificar o pagador com fatores de autenticação de categorias diferentes, com escopo e exceções que variam conforme a região. Os dois conceitos podem aparecer na mesma transação, mas respondem a perguntas diferentes.
Uso, riscos e limites
A OTP tem um limite importante: códigos enviados por SMS podem ser roubados por phishing, redirecionamento ou engenharia social, e a correspondência de endereço é só um sinal entre vários. Nenhum resultado isolado deve ser apresentado como prova absoluta contra fraude.
Perguntas frequentes
A seguir, as respostas para as duas dúvidas mais comuns de quem pesquisa sobre OTP.
É a mesma coisa que autenticação forte do cliente?
Não. A senha de uso único (OTP) é o código de verificação válido para uma única operação ou por pouco tempo, que pode servir como fator de autenticação, mas não equivale automaticamente a uma autenticação forte do cliente completa. A autenticação forte do cliente (SCA) é a exigência prevista na regulamentação de algumas regiões de verificar o pagador com fatores de autenticação de categorias diferentes, com escopo e exceções que variam conforme a região. Para diferenciar, verifique separadamente o objeto, a etapa do fluxo e a parte responsável.
Uma senha de uso único (OTP), por si só, sempre atende à autenticação forte do cliente (SCA)?
No caso da OTP, não necessariamente. A SCA costuma envolver fatores de várias categorias independentes e, quando aplicável, a vinculação dinâmica; uma OTP sozinha não prova automaticamente que o fluxo inteiro está em conformidade.
As fontes primárias abaixo servem para conferir a definição e o fluxo da OTP; as regras específicas de cada produto e região seguem os documentos oficiais vigentes.
Tradução assistida por IA; o texto original foi revisado por Steven Cai.