telkit
Kom i gang

Bruksområde

Tofaktor med SMS: engangskoder som kommer fram

Du har et innloggingsskjema og trenger en andre faktor brukerne klarer å bruke. SMS kan alle. Her er flyten, hva telkit gjør i den, og hvorfor SMS ikke bør stå alene.

Kom i gangAlle bruksområder

Sist gjennomgått 14. oktober 2026

Problemet

Koden må komme fram i løpet av sekunder, ellers gir brukeren opp. Og en kode du ikke vet om ble levert, er en henvendelse til kundeservice som venter.

telkit lager ikke koden og sjekker den ikke. Det gjør backenden din, der hemmeligheten hører hjemme. telkit sender meldingen fra navnet ditt og sier fra om den ble levert eller feilet.

Tjenestene som gjør jobben

Alt under er en del av SMS-tjenesten.
  • AvsendernavnKoden kommer fra navnet på tjenesten din, 3 til 11 tegn. Vi godkjenner hvert navn før det tas i bruk.
  • Status per meldingsms.status sier om koden ble sendt, levert eller feilet, med operatørens grunn når den feilet.
  • Grenser mot misbrukSett en månedsgrense i kroner på profilen. Bedriften har også en grense for SMS-enheter per døgn, og limit.reached sier fra når den er nådd.
  • TestnøkkelMed en testnøkkel kan du teste innloggingen fra ende til ende. Ingenting blir sendt, og ingenting koster noe.

Eksempler på flyten

telkit er bare med i ett av trinnene. Resten hører hjemme i din egen backend.

Innlogging med kode

  1. Backenden lager seks siffer fra en kryptografisk tilfeldig kilde, og lagrer en hash av koden med utløpstid og en teller for forsøk.
  2. Backenden sender koden med telkit, med innloggingsforsøkets id som Idempotency-Key.
  3. Brukeren skriver inn koden. Backenden sammenligner, teller forsøket og sletter koden etter første riktige bruk.

Koden kom ikke fram

  1. sms.status kommer med state failed og operatørens grunn.
  2. Innloggingssiden tilbyr å sende en ny kode, eller en annen metode.
  3. Backenden teller nye koder per nummer, så ingen kan be om hundre koder til samme mobil.

Bekreft et nytt mobilnummer

  1. Brukeren legger inn et nytt nummer på profilen sin.
  2. Backenden sender en kode til nummeret.
  3. Når koden er riktig, merker du nummeret som bekreftet. Først da brukes det til innlogging.

Slik ser forespørselen ut

Koden går ut fra et godkjent avsendernavn. Hendelsen under er det du får når en kode ikke kom fram.
POST /v1/smsbash
curl https://api.telkit.no/v1/sms \  -H "Authorization: Bearer $TELKIT_API_KEY" \  -H "Idempotency-Key: otp-login-8f3a2c" \  -H "Content-Type: application/json" \  -d '{    "profile": "minside",    "to": "+4791234567",    "text": "123456 er koden din til Minside. Den gjelder i 5 minutter.",    "sender": {      "kind": "text",      "name": "Minside"    }  }'
Skriv koden først i teksten, så ser brukeren den i varselet uten å åpne meldingen.
Webhook: sms.statusjson
{  "object": "event",  "id": "evt_…",  "type": "sms.status",  "api_version": "1",  "occurred_at": "2026-10-14T08:00:03Z",  "data": {    "eventId": "evt_…",    "mode": "live",    "profileId": "…",    "messageId": "…",    "to": "+4791234567",    "state": "failed",    "units": 1,    "priceOre": 75,    "errorDesc": "…"  }}
errorDesc er operatørens grunn. Bruk den i loggen din, ikke i teksten til brukeren.

Hva du må passe på

Engangskoder på SMS har to svakheter: én du løser i koden, og én du bare kan begrense.
  • Legg aldri en lenke i en kodemelding. En bruker som er vant til å trykke på lenker i slike meldinger, er halvveis lurt neste gang noen sender en falsk.
  • SMS er den svakeste av de vanlige andre faktorene. Et SIM-bytte flytter nummeret til angriperen, og en falsk innloggingsside kan be om koden og bruke den med en gang. Passkeys og autentiseringsapper har ikke det problemet.
  • Behandler du penger eller sensitive personopplysninger, bør SMS være reserven og ikke hovedveien.
  • Sett en grense per nummer og per IP-adresse. Uten den betaler du for hver kode en angriper ber om.
  • Skriv tjenestens navn i meldingen, og la koden gjelde i kort tid, for eksempel fem minutter.Les guiden: Avsender-ID på SMS i Norge

Hva det koster

En kodemelding er kort og bruker én SMS-enhet.
SMS sendt, per enhet
0,75 kr

10 000 innlogginger med kode i måneden koster 7 500 kr uten mva.

Prisene er uten mva.

Se hele prislisten

Spørsmål om tofaktor med SMS

Lager telkit koden for meg?

Nei. Backenden din lager og sjekker koden. telkit sender meldingen og sier fra om den ble levert.

Er SMS trygt nok som andre faktor?

Det er bedre enn bare et passord, men svakere enn passkeys og autentiseringsapper. Bruk SMS for brukerne som ikke kommer i mål med de andre.

Hvor lenge bør koden gjelde?

Fem minutter er vanlig. Koden skal slutte å virke etter første riktige bruk, og etter tre feil forsøk.

Kan jeg sende koden til et utenlandsk nummer?

Nei. telkit sender SMS til norske mobilnumre.

Hva gjør jeg med brukere som ikke får koden?

Se på sms.status for meldingen. Feilet den, tilby en ny kode eller en annen metode. Kom den fram, ligger feilen et annet sted, for eksempel i et feil nummer.

Les mer om tjenestene

Andre bruksområder

Send den første koden

Registrer bedriften, søk om avsendernavnet og test hele innloggingen med en testnøkkel.

Kom i gangSe prisene