Jeden numer nie oznacza jednego zestawu funkcji
Matryca odbioru funkcji, których nie wolno wywodzić z samego faktu aktywowania zagranicznego numeru.
Aktywowany numer może przyjmować połączenia, a jednocześnie nie obsługiwać SMS, nie być akceptowany przez system uwierzytelniania albo nie nadawać się do prezentacji przy połączeniach wychodzących. Funkcje zależą od kategorii, krajowych zasad, trasy, sieci docelowej i umów między podmiotami. Odbiór zaczyna się od rozdzielenia ich w tabeli.
CLI jest deklaracją wymagającą prawa i walidacji
Calling Line Identification to informacja przekazywana przy połączeniu o numerze strony wywołującej. Elastyczna konfiguracja w centrali nie daje prawa do przedstawienia dowolnego numeru. Organizacja powinna używać tylko numeru, do którego ma udokumentowane uprawnienie, w zakresie dopuszczonym przez reguły kraju i zaakceptowanym przez dostawcę.
ECC Report 371 oraz rekomendacje dotyczące użycia nomadycznego podkreślają znaczenie walidacji prawa do CLI na początku i okresowo. Ustal metodę, ważność potwierdzenia, zachowanie po utracie prawa do numeru i odpowiedzialność za blokadę. Nie stosuj instrukcji zmiany nagłówków sygnalizacyjnych po to, by ominąć kontrolę dostawcy.
Widoczność u odbiorcy nie jest gwarantowana
Sieci wdrażają mechanizmy ograniczające podszywanie. ECC Recommendation (23)03 dotyczy podejrzanego krajowego CLI przy ruchu z bram międzynarodowych, a UKE opublikował rekomendacje dla rynku polskiego. Filtr, trasa lub urządzenie odbiorcy mogą ukryć, zmienić albo oznaczyć prezentację. Sprawdź reprezentatywne kierunki i uczciwie opisz ograniczenia użytkownikom.
Głos przychodzący i wychodzący to dwa scenariusze
Dla ruchu przychodzącego przetestuj osiągalność z istotnych sieci, kolejkę, zapowiedź, przekierowanie, nieodebrane połączenie i możliwość oddzwonienia. Dla wychodzącego sprawdź dozwolone kraje i rodzaje numerów docelowych, CLI, sygnalizację błędu, raport oraz zasady blokowania nadużyć. Wynik jednej trasy nie potwierdza wszystkich operatorów.
Zapisuj czas i identyfikator próby bez utrwalania nadmiarowych danych osoby. Jeżeli potrzebne jest nagranie diagnostyczne, określ jego cel, dostęp i szybki termin usunięcia. Nie wykorzystuj rozmów klientów jako wygodnego materiału testowego.
SMS ma kilka odrębnych modeli
Zapytaj osobno o SMS przychodzący na numer, odpowiedź, SMS wychodzący z numeru, wiadomości aplikacyjne A2P i alfanumeryczny identyfikator nadawcy. Kraje i operatorzy mogą wymagać rejestracji, ograniczać treść, kategorię numeru lub nadawcę albo stosować filtry. ECC Recommendation (25)04 pokazuje, że zasady alfanumerycznych nazw nadawcy nie są jednolite i że w łańcuchu A2P działa wiele podmiotów.
Test wiadomości nie kończy się na statusie „wysłano”
Sprawdź doręczenie i odpowiedź na uzgodnionych sieciach, znaki narodowe, podział dłuższej treści, opóźnienie, wygasanie, ponowienie, błędny numer, rezygnację z komunikacji oraz wpisy raportowe. Określ, czy status pochodzi z platformy, czy z dalszego etapu trasy. Nie umieszczaj w próbnej wiadomości danych klienta, hasła ani aktywnego sekretu.
2FA kontroluje także zewnętrzny usługodawca
To, że numer odbiera zwykły SMS, nie znaczy, że bank, platforma lub inny system przyjmie go jako czynnik odzyskania konta. Usługa polegająca na uwierzytelnieniu może wykluczać określone kategorie, numery VoIP, numery współdzielone lub wybrane kraje i zmienić te reguły. Dostawca numeru nie może zagwarantować decyzji wszystkich takich systemów.
Przed zastosowaniem numeru w krytycznym koncie sprawdź aktualny regulamin i rzeczywisty proces. Utrzymuj niezależną metodę odzyskania oraz wyznaczonego właściciela. Nie opieraj ciągłości organizacji na SMS do numeru, którego status abonenta, portowanie lub dostęp po rozwiązaniu umowy są niejasne.
Alarmy zależą od usługi i rzeczywistej lokalizacji
Numer z kodem kraju nie wskazuje, gdzie znajduje się osoba inicjująca połączenie. W rozwiązaniu chmurowym użytkownicy mogą pracować w wielu państwach, a stały adres zapisany przy aktywacji szybko traci aktualność. Europejski kodeks łączności i rozporządzenie 2023/444 opisują dostęp do służb, routing i informacje o lokalizacji w swoim zakresie, ale konkretne obowiązki i wdrożenie zależą od rodzaju usługi oraz państwa.
Zbuduj matrycę dla każdego punktu końcowego
Wiersz powinien zawierać kraj użytkownika, urządzenie lub klienta, możliwość wybierania numeru alarmowego, właściwy punkt odbioru, przekazywaną lokalizację, proces aktualizacji adresu, zależność od internetu i zasilania, ograniczenia oraz alternatywną drogę. Odpowiedzi dostawcy zachowaj w wersji i z datą.
Nie wybieraj 112 ani krajowego numeru alarmowego tylko po to, aby zobaczyć, czy działa. Tryb próby musi zostać uzgodniony z dostawcą i właściwym podmiotem. Jeśli funkcji nie można bezpiecznie potwierdzić, opisz ograniczenie użytkownikom i zapewnij zaakceptowaną alternatywę.
Protokół łączy wynik z zakresem
Dla każdej funkcji zapisz oczekiwany rezultat, kraj, typ numeru, trasę, sieć, datę, dowód, wynik oraz odstępstwo. Wskaż, kto zaakceptował ryzyko i kiedy test trzeba powtórzyć. Zmiana operatora bazowego, platformy, kategorii ruchu albo zasad systemu 2FA może unieważnić wcześniejszy wynik.
Odbiór nie brzmi „numer działa”. Brzmi: określona funkcja zadziałała w opisanym scenariuszu, a pozostałe ograniczenia zostały ujawnione. Taka forma ułatwia późniejszą migrację i nie zmienia testu w obietnicę powszechnej kompatybilności.