短信验证码接口被恶意攻击了该怎么办？

在企业运行的时候，安全意识和风险防范机制一定要做好。在 2019 年 SUBMAIL 短信平台就有几个客户的短信验证码接口遭到了恶意攻击，如果没有做好防范就会造成一定程度的损失。

那么，当短信验证码接口被恶意攻击的时候，该怎么办呢？

所幸的是，SUBMAIL 赛邮云通信有一系列的防范机制，帮助客户及时解决问题。

一、如何防范短信验证码被攻击？

1.图形验证码

大部分短信轰炸脚本基于网页爬虫，图形验证码可以简单粗暴的防御这类刷码行为。

在短信请求之前，让用户输入图形验证码，比对后发起API请求即可，如以下截图:

2.记录、比对IP和手机号码，做频率限制，过滤空 IP 头

用户请求验证码时，记录请求的 IP 和手机号码，并对发送频率做限制，例如每分钟/单个 IP/单个手机号仅能请求一次。如果脚本无法获取用户的真实 IP，请直接过滤这类请求。

3.在 SUBMAIL 设置验证码模板的单日请求上线

设置验证码模板的单日请求上限，设置一个合适的数值，这样每个手机号码单日超过这个上线的数量的验证码请求会被 SUBMAIL 直接过滤。要设置模单日请求上线。

4.设置 IP 白名单

前往 SUBMAIL -> 短信-> 创建/管理 APPID 页面，设置IP白名单，保护您的 APPID 不被非法劫持后滥用。

二、SUBMAIL 短信平台的主动防御机制

SUBMAIL 短信平台为短信验证码接口植入了主动防御的机制，提供了更强大的保护措施。SUBMAIL 主动防御机制会在以下3种情况中被触发：

1.空号率触发安全机制：

当用户请求发送的手机号码空号率达到一定的百分比之后，触发防御机制；

2.手机号码高频率请求触发安全机制：

当单个手机号高频率的请求验证码时，到达一定比例，触发防御机制；

3.历史黑名单命中率触发安全机制：

当命中历史黑名单到达一定比例时，触发防御机制；

SUBMAIL 主动防御机制被触发后，将会自动设置合适的安全级别，防御恶意请求。例如非法请求仅能获取3次验证码，如超过 3 次，将会被列入临时保护黑名单。