Kode OTP Adalah Apa? Cara Kerjanya dari Server ke HP

Kode OTP adalah deretan angka, biasanya 4 sampai 8 digit, yang hanya berlaku untuk satu kali login atau satu transaksi, lalu hangus dalam hitungan menit. OTP singkatan dari one-time password. Gunanya membuktikan bahwa orang yang sedang masuk benar-benar memegang nomor, email, atau aplikasi yang terdaftar, bukan sekadar tahu kata sandinya.

Definisi itu baru separuh jawaban. Kenapa kode yang benar kadang ditolak, kenapa petugas bank tidak pernah butuh kode Anda, dan kenapa nomor sekali pakai bisa menerima OTP, semuanya bisa Anda jawab sendiri setelah melihat apa yang terjadi di server.

Baca juga: Aplikasi Kode OTP SMS: Cara Pakai & Atasi Kode Ditolak

Kode OTP adalah kode apa, dan dari mana asalnya?

Ada dua cara utama sebuah layanan membuat kode OTP. Keduanya menghasilkan angka yang mirip di layar, tetapi perilakunya berbeda.

Cara 1: server membuat angka acak lalu mengirimkannya

Ini yang dipakai hampir semua OTP lewat SMS, WhatsApp, dan email. Urutannya:

1. Anda memasukkan nomor atau menekan tombol login.
2. Server membuat angka acak, lalu menyimpannya bersama tiga catatan: untuk sesi siapa, kapan kedaluwarsa, dan sudah berapa kali dicoba.
3. Angka itu dikirim lewat penyedia SMS, WhatsApp, atau server email.
4. Anda mengetik kode. Server mencocokkan. Kalau cocok, belum kedaluwarsa, dan batas percobaan belum habis, akses diberikan dan kode langsung dihapus.

Analogi yang paling dekat: penjaga gedung menelepon Anda dan membisikkan kata sandi sementara. Siapa pun yang mengucapkan kata itu di pintu dalam lima menit ke depan akan dibukakan. Penjaga tidak memeriksa wajah, hanya kata sandinya.

Baca juga: Kode OTP Motorku X untuk Apa? Fungsi dan Batas Amannya

Dari urutan ini ada beberapa hal yang bisa disimpulkan. Kode terikat pada satu sesi, jadi kode yang diminta dari aplikasi di HP tidak berlaku untuk percobaan login di laptop. Banyak layanan membatalkan kode lama begitu Anda menekan "kirim ulang", sehingga kode pertama yang diketik setelah kode kedua terkirim akan ditolak. Dan kode dari satu layanan tidak punya arti apa pun di layanan lain.

Cara 2: kode dihitung dari waktu, tanpa dikirim

Aplikasi authenticator dan sebagian token bank memakai metode lain yang disebut TOTP. Saat pertama kali diatur, biasanya lewat pindai kode QR, server dan aplikasi di HP Anda menyimpan satu kunci rahasia yang sama. Setelah itu, setiap 30 detik keduanya menghitung angka 6 digit dari kunci rahasia dan jam saat itu. Tidak ada yang dikirim; server hanya menghitung ulang dan membandingkan.

Bayangkan dua orang memegang buku kode identik dan jam yang disetel sama. Tiap 30 detik keduanya membuka halaman berikutnya. Mereka tidak perlu saling menelepon untuk tahu angka yang benar. Akibatnya, metode ini tetap jalan tanpa sinyal, tetapi kalau jam di HP meleset beberapa menit, kodenya akan ditolak meski angkanya "benar" menurut HP. Solusinya: aktifkan pengaturan waktu otomatis di HP.

Kenapa server percaya pada siapa pun yang memegang kode

Server hanya melihat angka yang diketik, bukan siapa yang mengetiknya. Begitu angka yang benar masuk dalam masa berlakunya, sistem menganggap pemilik akun yang sedang memakainya. Itulah sebabnya petugas bank atau CS aplikasi tidak pernah perlu tahu kode Anda: kode itu dirancang untuk diketik pemilik di aplikasinya sendiri, bukan untuk diperiksa petugas. Siapa pun yang meminta kode sebenarnya sedang meminta izin untuk menjadi Anda selama beberapa menit.

Baca juga isi pesannya, bukan hanya angkanya. OTP bank sering mencantumkan jenis tindakan atau nominal transaksi. Kalau isi pesan tidak sesuai dengan apa yang sedang Anda lakukan, misalnya muncul OTP aktivasi padahal Anda tidak sedang login di HP baru, berarti ada orang lain yang memicu permintaan kode itu. Jangan masukkan kodenya, lalu ganti kata sandi atau PIN akun tersebut.

Kode OTP WA, email, bank, dan e-wallet: apa bedanya?

Mekanismenya sama, yang berbeda adalah apa yang dibuka oleh kode tersebut.

Kode OTP WA

WhatsApp mengirim kode 6 digit lewat SMS atau panggilan saat nomor didaftarkan di sebuah HP. Memasukkan kode itu memindahkan akun ke HP tersebut, dan HP lama otomatis keluar. Jadi orang yang mendapat kode WA Anda bisa mengambil alih akun, kecuali Anda sudah mengaktifkan verifikasi dua langkah (PIN 6 digit) di Setelan → Akun.

Kode OTP email

Kode dikirim ke kotak masuk dan biasanya dipakai untuk login dari perangkat baru atau reset kata sandi. Keamanannya setara dengan keamanan akun email itu sendiri: kalau email dibobol, kodenya ikut terbaca. Kalau tidak ada di kotak masuk, periksa folder Spam atau Promosi.

Kode OTP BCA, BRI, dan BNI

Bank memakai OTP untuk mengaktifkan mobile banking di HP baru dan untuk mengesahkan transaksi tertentu. Kode itu umumnya terikat pada satu tindakan, sehingga kode untuk aktivasi tidak bisa dipakai untuk transfer. Bank tidak meminta Anda membacakan kode lewat telepon, chat, atau media sosial, termasuk dari akun yang memakai logo bank.

Kode OTP DANA dan Shopee

E-wallet dan marketplace biasanya meminta OTP saat login dari perangkat baru, mengubah PIN atau nomor HP, dan mengaktifkan fitur pembayaran seperti paylater. Karena ada saldo dan data pembayaran yang menempel di akun, perlakukan kodenya seperti OTP bank: hanya diketik sendiri di aplikasi resmi.

"Kode Sejahtera OTP" dan pesan sejenis

Pesan yang menjanjikan bantuan, hadiah, atau program kesejahteraan lalu meminta Anda meneruskan kode OTP adalah pola penipuan yang umum. Dari mekanisme di atas jelas alasannya: tidak ada pencairan bantuan yang membutuhkan kode login akun Anda. Yang terjadi justru akun WhatsApp atau e-wallet Anda berpindah ke perangkat orang lain.

"Kode OTP saya adalah...?" Di mana mencarinya

Kode Anda ada di SMS, notifikasi WhatsApp, email, atau aplikasi authenticator terbaru dari layanan yang Anda minta. Tidak ada pihak lain yang bisa memberitahukannya, termasuk CS, karena server umumnya tidak menampilkan kode itu kepada petugas. Kalau belum masuk, cek langkahnya di panduan kode OTP tidak masuk. Untuk memastikan Anda melihat di saluran yang benar, baca juga jenis-jenis aplikasi OTP dan batasannya.

Apa artinya bagi pemakai nomor virtual

Kembali ke Cara 1: server hanya memastikan bahwa seseorang bisa menerima SMS di nomor itu pada saat itu. Server tidak tahu nomor tersebut kartu SIM di HP Anda atau nomor sewaan. Itulah sebabnya nomor virtual bisa dipakai untuk verifikasi pendaftaran.

Logika yang sama menunjukkan risikonya. Nanti, layanan akan mengirim OTP login baru atau reset kata sandi ke nomor yang sama. Nomor sekali pakai tidak bisa Anda akses lagi setelah masa aktifnya habis, dan suatu saat bisa dipakai orang lain. Jadi kode OTP di nomor sewaan adalah kunci yang Anda pinjam sebentar, bukan kunci yang Anda miliki. Pakai nomor virtual untuk akun yang tidak perlu dipulihkan lewat SMS, atau segera tambahkan email dan authenticator setelah akun jadi.

Di AdaOTP, alurnya: Create Order, pilih layanan, pilih negara, Confirm, lalu kode muncul di Active Orders. Per 25 Oktober 2026, nomor Indonesia untuk Telegram mulai Rp 1.594 dan untuk WhatsApp mulai Rp 4.422. Harga berubah mengikuti stok, jadi cek daftar harga OTP terbaru sebelum membeli nomor OTP. Saldo diisi lewat QRIS atau kripto (USDT/BTC), minimal Rp 10.000.

Kalau kode tidak masuk, tekan Cancel atau tunggu masa aktif habis, dan saldo kembali otomatis. Kalau aplikasi meminta kode kedua di nomor yang sama, gunakan tombol Get another SMS di Active Orders. Ingat juga soal kode yang dibatalkan tadi: ketik kode terbaru, bukan yang pertama.

Kalau kode masuk tetapi ditolak aplikasi, buka Completed Orders, pilih "Report a problem", dan lampirkan screenshot. Pengajuan refund manual paling lambat 3 hari setelah order, dibatasi 1 pengajuan per hari dan 5 per 30 hari, dan diputuskan dalam 72 jam. Penyebab penolakan dan cara mencegahnya dibahas di artikel kode OTP masuk tapi ditolak aplikasi.

Pertanyaan yang Sering Diajukan

Berapa lama kode OTP berlaku?

Ditentukan oleh masing-masing layanan, biasanya beberapa menit untuk OTP lewat SMS, WhatsApp, atau email. Kode dari aplikasi authenticator berganti setiap 30 detik.

Bisakah satu kode OTP dipakai dua kali?

Tidak. Server menghapus atau menandai kode sebagai terpakai begitu berhasil dicocokkan. Untuk tindakan berikutnya, layanan akan membuat kode baru.

Kenapa kode OTP yang benar ditolak?

Penyebab paling umum: kode sudah kedaluwarsa, Anda sudah meminta kode baru sehingga kode lama dibatalkan, kode diketik di sesi atau perangkat lain, atau jam HP meleset untuk kode authenticator.

Apakah aman menerima OTP di nomor virtual?

Aman untuk verifikasi pendaftaran, dengan catatan nomor itu tidak bisa dipakai lagi untuk memulihkan akun. Tambahkan email atau authenticator sebagai cadangan, dan jangan pakai nomor sekali pakai untuk akun bank atau e-wallet.

Bolehkah petugas bank meminta kode OTP?

Tidak. Kode itu untuk Anda ketik sendiri di aplikasi resmi. Permintaan kode lewat telepon, chat, atau tautan adalah tanda penipuan.