OTP ควรกำหนดอายุกี่นาทีจึงสมดุลทั้งความปลอดภัยและการใช้งาน

การเข้าสู่ระบบ การสมัครสมาชิก การยืนยันการชำระเงิน และการกู้คืนบัญชีมีผลกระทบต่างกัน จึงไม่ควรใช้ค่าเดียวเพียงเพราะตั้งค่าง่าย

• ✓ประมาณ 2–3 นาที: รายการที่ต้องการตอบสนองเร็วและมีความเสี่ยงสูง
• ✓ประมาณ 3–5 นาที: การยืนยันทั่วไปที่ผู้ใช้รับและกรอกบนอุปกรณ์เดียวกัน
• ✓ประมาณ 5–10 นาที: กระบวนการที่ต้องสลับอุปกรณ์หรือมีขั้นตอนก่อนกรอกรหัส

แม้กำหนดอายุสั้น ระบบยังต้องป้องกันการเดารหัสและการใช้ซ้ำ มาตรฐานด้าน Digital Identity เน้นให้ OTP ใช้ได้เพียงครั้งเดียวในช่วงที่ยังมีผล และควรมี Rate Limiting เมื่อรหัสมี Entropy จำกัด

• ✓รหัสที่ใช้สำเร็จต้องถูกยกเลิกทันที
• ✓การขอรหัสใหม่ควรทำให้รหัสเดิมหมดผล
• ✓จำกัดจำนวนครั้งที่กรอกผิดและความถี่ในการขอใหม่
• ✓ไม่บันทึกรหัสแบบอ่านได้ตรงๆ ใน Log
• ✓ผูก OTP กับผู้ใช้ เหตุการณ์ และ Session ที่ร้องขอ

ผู้รับควรเห็นชื่อบริการ รหัส วัตถุประสงค์ ระยะเวลาที่ใช้ได้ และคำเตือนว่าไม่ควรบอกรหัสให้ผู้อื่น โดยไม่แทรกลิงก์หรือข้อความการตลาดที่ทำให้จุดประสงค์สับสน

วัดเวลาตั้งแต่ผู้ใช้กดขอรหัสจนกรอกสำเร็จ รวมระยะเวลาส่ง เครือข่าย การสลับแอป และผู้ใช้ที่ต้องใช้เครื่องมือช่วยการเข้าถึง จากนั้นเลือกค่า Percentile ที่เหมาะกับกลุ่มผู้ใช้แทนการเดาจากความรู้สึก