Сообщение прямо на экране. Шесть цифр, присланы несколько секунд назад. А поле на сайте остаётся пустым, подсказка над клавиатурой не появляется, и код, который должен был сэкономить пару секунд, теперь нужно прочитать, запомнить и набрать вручную — то есть ровно в тот момент, когда люди меняют местами две цифры и решают, что что-то сломалось.
Коротко: если код виден, сообщение доставлено, и подвёл ввод, а не доставка. Автозаполнение — это удобство, которое телефон или браузер надстраивают поверх уже пришедшего сообщения, и появляется оно только тогда, когда совпадает сразу несколько отдельных условий. На Android Chrome запрашивает разрешение при первом распознавании поля одноразового кода, а затем подставляет код только после нажатия на подсказку. Отсутствие подсказки ничего не решает о подлинности сайта. Прежде чем вводить код, проверьте сервис, аккаунт и текущую задачу подтверждения и не обходите несовпадение между доменом, названным в сообщении, и страницей, на которой вы находитесь.
Автозаполнение — это удобство, а не путь доставки
Полезно чётко понимать, какое именно звено цепочки на самом деле подвело.
Код подтверждения доходит до вас сообщением. Придёт ли это сообщение вообще, зависит от номера, на который его отправили, и от линии, которой этот номер принадлежит, — это другая тема со своими причинами, и она важна, если вы, например, ждёте код на тарифе только для интернета.
Автозаполнение стоит поверх этого. Когда сообщение уже пришло туда, откуда операционная система может его прочитать, система может предложить подставить код в поле за вас. Если это предложение не появляется, с самим сообщением ничего не изменилось, — хотя это и не то же самое, что сказать, будто код по-прежнему годен. Видимое сообщение может оказаться старым, вытесненным более новым или ответом на другую задачу подтверждения, а не на ту, что сейчас на экране. А там, где код привязан к домену, отсутствие подсказки может отражать то, что страница не совпадает с доменом, который код называет, — и это стоит проверить, а не проигнорировать.
Поэтому первое, что нужно установить, — видите ли вы код вообще. Если видите, сообщение было доставлено, и всё дальнейшее — про последние несколько сантиметров между сообщением и полем — после того как вы убедились, что код перед вами относится к тому сервису, аккаунту и подтверждению, которые вы на самом деле проходите.
Что должно совпасть, прежде чем код будет предложен
Одновременно должно выполниться несколько независимых условий, и поэтому эта функция устроена хрупче, чем кажется.
Система должна распознать поле как поле одноразового кода. Поле, которое для вас выглядит очевидным, не обязательно распознаётся как такое. Как сайт это обозначает — часть его собственной реализации, и вы со своей стороны не можете ни добавить её, ни изменить.
Должно быть выдано разрешение. Для Android Google документирует, что Chrome запрашивает разрешение, когда впервые определяет поле одноразового кода подтверждения из SMS. На той же странице Google разбирает и случай, когда в доступе ранее было отказано, — это стоит проверить, прежде чем решать, что функция недоступна.
Вы должны совершить действие. Подстановка не происходит молча. Задокументированное поведение Chrome таково: показывается подсказка, и код попадает в поле, когда вы по ней нажимаете. На iPhone руководство Apple об автоматическом вводе кодов из SMS описывает, что распознанный код предлагается над клавиатурой, чтобы вы по нему нажали. В обоих случаях код именно предлагается, а не вставляется за вас.
Сообщение должно быть там, где эта функция смотрит. Этому условию ниже отведён отдельный раздел.
Для кодов, привязанных к домену, названный в сообщении домен должен совпасть. Apple документирует автозаполнение для кодов из SMS, привязанных к домену: код несёт домен, которому он принадлежит, а автозаполнение сверяет его с текущим доменом в Safari или со связанным доменом приложения. Apple представляет это как защиту от фишинга. Там, где они не соответствуют друг другу, подсказка не предлагается.
Android тоже выносит это в настройки. Страница Google описывает параметры автозаполнения кодов подтверждения, охватывающие коды в приложениях и на сайтах и коды в браузере по умолчанию, — об этом стоит знать, прежде чем решать, что телефон попросту так не умеет.
Где код и где ищет автозаполнение
Это различие не про настройки, и именно поэтому проверить его стоит рано.
Описанные здесь функции для SMS читают сообщения, пришедшие в собственную систему сообщений телефона. Если код попал к вам куда-то ещё, этим конкретным функциям просто не с чем работать. Это утверждение про то автозаполнение SMS, которое описано выше, а не заявление про любую интеграцию: Apple, например, документирует автозаполнение кода подтверждения из Почты в Safari, так что другие каналы не исключены как класс, а возможности различаются у браузеров, менеджеров паролей и устройств.
Самый наглядный случай — арендованный номер для подтверждения. Когда вы заказываете номер у нас, сообщения по этому заказу появляются во входящих самого заказа в вашем аккаунте, на том экране, который у вас открыт. Это веб-страница, показывающая содержимое сообщения, полученного арендованным номером, а не сообщение в приложении сообщений вашего аппарата. Описанное здесь автозаполнение SMS читает сообщения телефона, поэтому работать ему там не с чем, и перенос кода — копирование, которое вы делаете сами. Это утверждение про эту функцию, а не про любую интеграцию, которую может предложить браузер или менеджер паролей.
Похожее происходит, когда код приходит в собственное приложение сервиса или в мессенджер, а не по SMS. Функция смотрит в одно конкретное место, и если кода там нет, её молчание ничего не сообщает о самом коде. Почта — не чистый пример этого, поскольку Apple документирует автозаполнение кода из Почты в Safari; что поддерживает посторонний канал, зависит от сочетания приложения, браузера и системы.
На что указывает симптом
| Что вы видите | С чем это согласуется | Что проверить первым |
|---|---|---|
| Код виден в сообщениях телефона, подсказки нет вообще | Разрешение не выдано или когда-то было отклонено, либо поле не распознано | Включено ли автозаполнение кодов подтверждения для приложений и для вашего браузера |
| Подсказка появляется, но поле остаётся пустым | Фокус стоит в другом поле или страница изменилась в момент нажатия | Нажмите прямо в поле для кода, а дальше следуйте тому, что предлагает процесс |
| Код находится на странице заказа арендованного номера | Так и должно быть — это сообщение не приходило в приложение сообщений телефона | Скопируйте его со страницы заказа сами |
| Появляется подсказка со старым кодом | Кодов больше одного, и предложен может быть не самый новый | Прочитайте код в самом сообщении и сравните, прежде чем нажимать |
| На одном сайте подсказки нет, на других есть | Возможно, код привязан к домену, которому страница не соответствует, либо поле не размечено | Дошли ли вы до этого сайта сами, а не по ссылке |
С последней строкой стоит быть осторожным в обе стороны. Отсутствие подсказки не устанавливает, что сайт мошеннический, а её появление не устанавливает, что он безопасен. То, что процесс начали вы сами, необходимо, но вопроса тоже не закрывает. Привязка к домену — настоящая защита, поэтому там, где код называет домен, не совпадающий со страницей, на которой вы находитесь, именно это несовпадение стоит воспринять всерьёз, а не обойти.
Два разобранных случая
Оба случая гипотетические и написаны, чтобы показать ход рассуждения, а не рассказать о реальном происшествии.
Код, который никогда не касался телефона. Человек арендует номер, чтобы зарегистрироваться в сервисе, держит страницу заказа открытой на ноутбуке и проходит регистрацию на том же ноутбуке. Код приходит и виден во входящих заказа. После этого он какое-то время выясняет, почему телефон не предлагает его подставить. Аппарат этого сообщения не получал: оно было доставлено на арендованный номер и показано на веб-странице. Описанному здесь автозаполнению SMS нечего читать, поэтому прямой ответ — скопировать код со страницы заказа. Если же кода там вообще не появилось, это вопрос доставки, а не автозаполнения, и уместное чтение — что временный номер может и чего не может сделать со вторым кодом.
Отсутствующая подсказка, которую прочитали как предупреждение. Человек открывает знакомый сервис, запрашивает код, получает его и замечает, что привычная подсказка над клавиатурой в этот раз не появилась. Первая мысль — что сайт может быть поддельным. Такой вывод не обоснован: подсказки может не быть потому, что поле не размечено как поле кода, потому что разрешение когда-то было отклонено, или потому, что код привязан к домену, которому страница не соответствует, — и ни одно из этого не отличает настоящий сайт от мошеннического. То, как он сюда попал, всё же важно: переход по ссылке из сообщения или письма — повод остановиться, уйти со страницы и добраться до сервиса привычным путём, а потом начать заново. Но набранный вручную адрес или открытая закладка сами по себе не доказывают, что адресат настоящий, так что и они вопроса не закрывают. Прежде чем вводить код, стоит убедиться в том, что он называет ожидаемые сервис и аккаунт, что он отвечает на то подтверждение, которое перед ним, и что страница — та, для которой код был выпущен. Несовпадение домена — не то, что обходят на том основании, что процесс начали вы сами.
Как ввести код вручную и не создать новую проблему
Ввести код руками — нормальное действие, и связанная с ним осторожность узкая и конкретная.
Вводите его в процессе, который начали вы, предварительно проверив, что код называет ожидаемые сервис и аккаунт и отвечает на подтверждение, которое на экране. То, что вы сами дошли до сайта, необходимо, но само по себе недостаточно. Не читайте код никому вслух, не пересылайте его, не вставляйте в переписку и не вводите на странице, на которую вас направил кто-то другой, — подробнее об этом в материале о коде подтверждения, который вы не запрашивали.
Читайте код из самого сообщения, а не из превью уведомления, если сообщений пришло несколько: самое свежее уведомление не всегда содержит самый свежий код.
Если код отклонён после аккуратного повторного ввода, проверьте, что он относится к тому сервису и аккаунту, в которые вы входите, что он отвечает на подтверждение, которое сейчас на экране, и не истёк ли заявленный сервисом срок его действия. Следуйте указаниям, которые показывает сам процесс; запросить ещё один код можно только там, где процесс это предлагает. Если на каком-то более раннем шаге номер мог быть введён неверно, стоит проверить формат номера и то, как он был введён.
Чего делать не стоит: не выдавайте постороннему приложению широкий доступ к вашим сообщениям в надежде, что так заработает автозаполнение. Функции это не нужно, а обмен получается невыгодный.
Ограничения этого руководства
Здесь описаны условия, при которых телефон или браузер предлагает код, на основе документации Google для Chrome на Android и материалов Apple для iPhone. Здесь охвачены не все устройства, оболочки и клавиатуры, а экраны настроек различаются у производителей даже там, где базовое поведение совпадает.
Распознаётся ли поле конкретного сайта — часть собственной реализации этого сервиса. Читатель может это наблюдать, но не может изменить, и настройки на вашем устройстве её не заменяют.
Это руководство ограничено теми функциями автозаполнения SMS, которые в нём названы. Существуют и другие интеграции — Apple документирует автозаполнение кода из Почты в Safari, — и что поддерживает конкретное сочетание браузера, менеджера паролей и устройства, выходит за рамки описанного.
Поведение автозаполнения само по себе не является надёжным способом отличить настоящий сайт от мошеннического, и это руководство его в таком качестве не предлагает. Привязка к домену — настоящая защита, поэтому несовпадение заслуживает внимания, а не обхода; чего она не даёт — это приговора, который можно было бы вычитать из отсутствующей подсказки.
Наши ответы на вопросы закрывают сторону заказа, а тикет в поддержку — путь для всего, что относится к конкретному заказу, оформленному у нас.
FAQ
Код есть в сообщениях, но ничего не предлагается. Код сломан?
Отсутствие подсказки ничего определённого о коде не говорит. Видимое сообщение было доставлено, и сбой удобной надстройки этого не меняет. Но это и не устанавливает, что код всё ещё актуален: он может быть более ранним или ответом на другое подтверждение. Проверьте, к какому сервису, аккаунту и подтверждению он относится, и введите его вручную.
Почему автозаполнение работает на одних сайтах и не работает на других?
Потому что часть требований относится к сайту, а не к вашему телефону. Поле должно быть распознано как поле одноразового кода, а код, привязанный к домену, сверяется с доменом, названным в сообщении. И то и другое зависит от собственной реализации сервиса — поэтому один и тот же телефон ведёт себя в разных местах по-разному.
Значит ли отсутствие подсказки, что страница поддельная?
Само по себе — нет, и обратное тоже небезопасно: появление подсказки ничего не гарантирует. Подсказки может не быть потому, что разрешение было отклонено, потому что поле не распознано, или потому, что код привязан к домену, которому страница не соответствует. Apple представляет сверку домена как защиту от фишинга, поэтому несовпадение стоит воспринять всерьёз, а не обойти. Считайте отсутствие подсказки поводом проверить, к какому сервису и аккаунту относится код и совпадает ли страница, а не приговором в ту или иную сторону.
Почему телефон никогда не предлагает коды, приходящие на арендованный номер?
Потому что это сообщение не приходит в приложение сообщений вашего аппарата. Код, отправленный на арендованный номер, получает этот номер, и показывается он во входящих заказа в вашем аккаунте, то есть на веб-странице. Описанная здесь функция автозаполнения SMS читает собственные сообщения телефона, поэтому предложить со страницы ей нечего, и перенос кода — отдельное действие, которое вы делаете сами.
Безопасно ли вводить код подтверждения вручную?
Да, в рамках процесса, который начали вы, и после того как вы проверили, что код называет ожидаемые сервис и аккаунт и отвечает на подтверждение перед вами. То, что вы сами начали процесс, необходимо, но само по себе не устанавливает, что адресат настоящий. Никогда не передавайте код человеку, который сам с вами связался по этому поводу, каким бы правдоподобным ни звучал повод.
Стоит ли дать приложению разрешение читать все сообщения, чтобы автозаполнение заработало?
Нет. Предложение кода не требует выдачи широкого доступа к сообщениям постороннему приложению, а такая выдача раскрывает куда больше, чем тот один код, который вы пытались ввести. Если встроенная функция код не предлагает, ввести его вручную — более выгодный обмен.