盗刷防范指南

一、盗刷释义

盗刷常见于验证码短信，指客户端短信接口被恶意访问调用，出现远远大于正常发送范围值的请求数量的异常情况，导致短信下发量激增、客户端成本大幅上涨。

盗刷不仅会导致客户端费用异常增加，短时间内同样内容的大批量提交也有可能带来运营商侧的投诉和警告。

二、客户端操作建议

除了发送接口外，建议客户在如下几个方面进行盗刷的防范：

（一）与创蓝对接合作时

1. 使用 HTTPS 加密接口 在调用我方接口时，使用最新的 https 接口，保证数据传输的加密性：

2. 配置 IP 白名单 接入前期，可提供主用的 IP 地址，由创蓝添加至 IP 白名单，避免异常 IP 调用。

3. 限制发送国家范围 正式开始发送前，明确目标发送国家地区，建议仅开通当前目标国家地区的发送能力。如有新增国家地区，再做开启，避免非目标发送国家地区的盗刷风险。

4. 设置发送量上限 由于盗刷常见于验证码短信，客户可根据当前业务量预估大概的短信使用量并同步我方相关人员，进行账号消耗限制的配置（日消耗上限，日发送上限及月发送上限），避免盗刷可能产生的额外消耗。

（二）客户端安全加固建议（APP/H5/小程序等）

1. 增加行为验证 发短信发送请求前增加行为验证校验机制，如图形验证码等。

2. APP 安全加固 APP 端可对应用进行安全加固，采用混淆编译，防止被反编译，提高 APP 应用的安全保护。

3. 服务端防护 服务侧防护：如记录 C 端用户 IP 等，同时建议客户在系统内增加用户的 IP 白名单机制、对用户进行 IP 风险行为特征收集并做针对性防控等。