為什麼有的簡訊驗證碼是四碼，有的是六碼？

Question

Weirdo · Accepted Answer

長度是服務端自己選的安全與體驗取捨；現代指南多半要求至少六位數字。 四碼對使用者好打，但猜測空間只有一萬種；六碼到一百萬種，再搭配嘗試次數限制，才比較扛得住線上暴力嘗試。

簡訊一次性密碼（OTP）沒有全球統一的「必須四碼／六碼」法規；各銀行、電商、政府系統各自決定。你會同時看到四碼與六碼，是因為產品年代、風險等級與輸入體驗不同，不是電信公司規定碼長。

NIST SP 800-63B 對驗證器產生的帶外密語要求至少六位十進位數字（或等價熵），並對失敗嘗試做速率限制；產生新碼也不能重置失敗計數。六碼成了許多合規與新系統的下限，舊系統或低風險流程仍可能留四碼。

四碼像 PIN，好記也好打；六碼接近常見硬體／軟體 OTP（如 TOTP）慣例。無論幾碼，簡訊通道本身仍有 SIM 交換、攔截等風險，所以高風險帳戶會再疊加驗證器 App、通行密鑰等。

沒有全球統一的碼長