一、盗刷释义 盗刷常见于验证码短信，指客户端短信接口被恶意访问调用，出现远远大于正常发送范围值的请求数量的异常情况，导致短信下发量激增、客户端成本大幅上涨。盗刷不仅会导致客户端费用异常增加，短时间内同样内容的大批量提交也有可能带来运营商侧的投诉和警告。 二、创蓝端盗刷防范 为帮助客户防范盗刷行为，创蓝国际短信进行了发送接口的升级更新。新的发送接口为签名和验签机制版本接口，通过以下方式，最大程度实现防篡改隐患：

1. 短信发送接口增加签名，为客户账号分配appId和appSecret，appSecret用于对短信发送请求参数生成签名signature，国际短信发送接口接收到短信发送请求后，使用appSecret对请求参数生成一个签名，并与客户提交过来的签名作对比，如果发现签名不一致，则判定短信发送请求数据遭篡改，终止发送。 
2. 发送时限校验：根据timestamp参数与当前时间对比，不是5分钟内的发送，视为无效请求，终止
3. 发送重复提交判断：客户端传入nonce（临时流水号）参数，不能与之前请求过相同，如相同，视为重复发送，终止发送。 

![](https://cdn.nlark.com/yuque/0/2023/png/26098759/1678951149424-5ecef249-5cf2-4fcb-81b4-c6d0f9054dbd.png#averageHue=%23f6f6f6&id=Iradm&originHeight=646&originWidth=817&originalType=binary&ratio=1&rotation=0&showTitle=false&status=done&style=none&title=)

目前验签版接口已更新到国际短信对接文档中供与新客户的对接使用。在发送短信的老客户建议同样对接我方国际短信验签版发送接口，降低盗刷风险。 三、客户端操作建议 除了发送接口外，建议客户在如下几个方面进行盗刷的防范： （一）与创蓝对接合作时 1. 在调用我方接口时，使用最新的https接口，保证数据传输的加密性： 上海节点https接口地址:https://intapi.253.com/send/json 新加坡节点https接口地址:https://sgap.253.com/send/json 

2. 接入前期，可提供主用的IP地址，由创蓝添加至IP白名单，避免异常IP调用； 3. 正式开始发送前，明确目标发送国家地区，建议仅开通当前目标国家地区的发送能力。如有新增国家地区，再做开启，避免非目标发送国家地区的盗刷风险；

1. 由于盗刷常见于验证码短信，客户可根据当前业务量预估大概的短信使用量并同步我方相关人员，进行账号消耗限制的配置（日消耗上限，日发送上限及月发送上限），避免盗刷可能产生的额外消耗；

（二）客户端的安全加固建议（APP/H5/小程序等） 1. 发短信发送请求前增加行为验证校验机制，如图形验证码等； 2. APP端可对应用进行安全加固，采用混淆编译，防止被反编译，提高APP应用的安全保护； 3. 服务测防护：如记录C端用户IP等，同时建议客户在系统内增加用户的IP白名单机制、对用户进行IP风险行为特征收集并做针对性防控等；

<!doctype html><div class="lake-content" typography="classic">一、盗刷释义盗刷常见于验证码短信，指客户端短信接口被恶意访问调用，出现远远大于正常发送范围值的请求数量的异常情况，导致短信下发量激增、客户端成本大幅上涨。盗刷不仅会导致客户端费用异常增加，短时间内同样内容的大批量提交也有可能带来运营商侧的投诉和警告。二、创蓝端盗刷防范为帮助客户防范盗刷行为，创蓝国际短信进行了发送接口的升级更新。新的发送接口为签名和验签机制版本接口，通过以下方式，最大程度实现防篡改隐患：<ol class="ne-ol"><li id="610637be051b44100b3e55de7e3e094f">短信发送接口增加签名，为客户账号分配appId和appSecret，appSecret用于对短信发送请求参数生成签名signature，国际短信发送接口接收到短信发送请求后，使用appSecret对请求参数生成一个签名，并与客户提交过来的签名作对比，如果发现签名不一致，则判定短信发送请求数据遭篡改，终止发送。 </li><li id="1664cd1816afb99797264ae7f64cb15e">发送时限校验：根据timestamp参数与当前时间对比，不是5分钟内的发送，视为无效请求，终止</li><li id="1f1c35b08969cb980a910248592972c9">发送重复提交判断：客户端传入nonce（临时流水号）参数，不能与之前请求过相同，如相同，视为重复发送，终止发送。 </li></ol> <img src="https://cdn.nlark.com/yuque/0/2023/png/26098759/1678951149424-5ecef249-5cf2-4fcb-81b4-c6d0f9054dbd.png" width="817" id="Iradm" class="ne-image" style="font-size: 13px"> 目前验签版接口已更新到国际短信对接文档中供与新客户的对接使用。在发送短信的老客户建议同样对接我方国际短信验签版发送接口，降低盗刷风险。三、客户端操作建议除了发送接口外，建议客户在如下几个方面进行盗刷的防范：（一）与创蓝对接合作时1. 在调用我方接口时，使用最新的https接口，保证数据传输的加密性：上海节点https接口地址:https://intapi.253.com/send/json 新加坡节点https接口地址:https://sgap.253.com/send/json 2. 接入前期，可提供主用的IP地址，由创蓝添加至IP白名单，避免异常IP调用；3. 正式开始发送前，明确目标发送国家地区，建议仅开通当前目标国家地区的发送能力。如有新增国家地区，再做开启，避免非目标发送国家地区的盗刷风险； <ol class="ne-ol"><li id="2431e612e0bf197d001ec4e43e2249b4">由于盗刷常见于验证码短信，客户可根据当前业务量预估大概的短信使用量并同步我方相关人员，进行账号消耗限制的配置（日消耗上限，日发送上限及月发送上限），避免盗刷可能产生的额外消耗；</li></ol> （二）客户端的安全加固建议（APP/H5/小程序等）1. 发短信发送请求前增加行为验证校验机制，如图形验证码等；2. APP端可对应用进行安全加固，采用混淆编译，防止被反编译，提高APP应用的安全保护；3. 服务测防护：如记录C端用户IP等，同时建议客户在系统内增加用户的IP白名单机制、对用户进行IP风险行为特征收集并做针对性防控等；</div>

国际短信盗刷防范方案-0316

产品使用说明

签名模板的创建规范

签名管理

模板管理

短信发送

余额查询

上行明细推送

状态报告推送

获取上行明细

获取状态报告

子账号管理

接口文档

短信状态码字典

国内短信

产品介绍

操作手册

开发文档

常见问题

视频短信

操作指南

对接文档

5G消息

功能介绍

国际短信盗刷防范方案

国际验证码短信

国际营销短信

数据中心

设置中心

云通讯管理中心

云通讯

创蓝云智，为企业提供全面的数据接口API/SDK。免费试用，满意为止。致力于让企业更高效高质量的获得用户及触达用户。

创蓝云智-全面的API数据接口

注册登录

新客获客

老客激活

金融行业

游戏行业

电商行业

餐饮行业

私有云

国际短信盗刷防范方案-0316