OTP (One-Time Password / código OTP)
Definição
Três principais variantes de OTP :
• OTP SMS : código enviado por mensagem de texto para o número de telefone do signatário. O mais difundido no grande público pois não exige aplicação. Vulnerabilidades conhecidas: SIM swapping, interceptação SS7 — por isso a OTP SMS é suficiente para a assinatura avançada (AES) mas não é mais aceita para a QES (a ANSSI e a ENISA recomendam desde 2020 mudar para fatores mais fortes).
• OTP e-mail : código enviado por e-mail. Mais fácil de implementar, mas herda as fraquezas da segurança da conta e-mail do destinatário. Aceitável para a assinatura simples (SES).
• TOTP (Time-based OTP) : código gerado localmente por uma aplicação no telefone do signatário (Google Authenticator, Authy, 1Password). Sincronizado via uma chave secreta compartilhada no registro. Nenhum canal de rede no momento da assinatura — resistente a interceptações. Padrão RFC 6238.
OTP e assinatura eletrônica : na assinatura eletrônica avançada, o envio de uma OTP por e-mail ou SMS cria um vínculo verificável entre o documento assinado e a identidade do signatário via seu canal de comunicação (telefone ou e-mail). A OTP é registrada na trilha de auditoria do documento (timestamp, IP, identificador do canal) — prova oponível em caso de contestação.
Implementação Certyneo : OTP SMS via Twilio Verify nos envelopes AES — acionada logo antes da assinatura, validade de 5 minutos, 3 tentativas. TOTP disponível para contas administrativas como alternativa à OTP SMS. Veja também MFA e autenticação forte. Saiba mais sobre a autenticação do signatário →
Perguntas frequentes
O que é um código OTP?
Um código OTP (One-Time Password) é uma senha de uso único, geralmente composta de 4 a 8 dígitos, enviada por SMS ou por email no momento de uma operação sensível. É válida por apenas alguns minutos e só pode ser usada uma única vez: mesmo interceptada após o uso, é inutilizável. É o mecanismo mais difundido para verificar que uma pessoa realmente detém seu telefone ou sua caixa de email.
Para que serve o código OTP em uma assinatura eletrônica?
O código OTP vincula o ato de assinatura a uma pessoa identificada: no momento de assinar, o signatário recebe um código de uso único por SMS ou por email e deve digitá-lo para validar a assinatura. Essa verificação constitui a autenticação forte exigida para a assinatura eletrônica avançada (AES) no sentido do regulamento eIDAS. Na Certyneo, a entrada do código é registrada com data e hora e consta no rastro de auditoria, o que reforça o valor probatório do documento assinado.
Como receber seu código OTP e o que fazer se ele não chegar?
O código OTP é enviado automaticamente por SMS para o número de celular ou por email para o endereço declarado do signatário. Se não chegar: verifique o número ou endereço digitado, aguarde um a dois minutos (os SMS podem sofrer atrasos nos horários de pico), verifique a pasta de spam para um OTP por email, depois solicite um reenvio. Um código expirado nunca é reutilizável — o reenvio sempre gera um novo código.
Qual é a diferença entre OTP, TOTP e MFA?
A OTP é o código de uso único em si mesmo, independentemente de seu canal de envio (SMS, email). O TOTP (OTP baseado em tempo) é uma variante gerada localmente por um aplicativo de autenticação e renovada a cada 30 segundos, sem rede. A MFA (autenticação multifator) é a estratégia geral que combina vários fatores — senha, OTP, biometria — para verificar uma identidade: a OTP é, portanto, um dos possíveis componentes de uma MFA.
A OTP por SMS é suficientemente segura para assinar um documento?
Sim, para a imensa maioria dos usos contratuais: a OTP por SMS materializa o controle exclusivo do signatário sobre seu telefone e se insere em um conjunto de provas (email, carimbo de data/hora, trilha de auditoria, impressão do documento). Para limitar os riscos residuais do tipo SIM swapping, Certyneo combina OTP por email e por SMS para a assinatura avançada. Para atos mais sensíveis, a assinatura qualificada (QES) com verificação de identidade permanece o nível recomendado.
Guias associados
Termos relacionados
Pronto para colocar esses conceitos em prática?
Certyneo permite que você crie envelopes de assinatura em conformidade com eIDAS em poucos cliques, sem instalação.