OTP Gmail là gì? Mã xác minh qua email hoạt động ra sao

Cập nhật 13/10/2026 · 6 phút đọc

OTP là viết tắt của one-time password, mật khẩu dùng một lần. OTP Gmail là cách người dùng Việt gọi mã dùng một lần mà một trang web hay ứng dụng gửi tới địa chỉ @gmail.com, để chứng minh bạn đang đọc được hộp thư đó. Bạn nhận mã, gõ lại vào trang, mã hết tác dụng ngay sau lần dùng đó.

Cụm từ này hay bị hiểu theo hai nghĩa. Một là mã Google hỏi khi bạn tạo hoặc bảo vệ chính tài khoản Gmail của mình, thường gửi về số điện thoại. Hai là mã một dịch vụ khác (GitHub, Instagram, ChatGPT…) gửi tới địa chỉ Gmail bạn dùng để đăng ký. Phần lớn bài này nói về nghĩa thứ hai.

OTP qua email khác gì OTP qua SMS và ứng dụng xác thực

Loại	Mã đi đâu	Ai đọc được
OTP qua SMS	Một số điện thoại	Người cầm chiếc điện thoại đó
OTP qua email	Một hộp thư	Bất kỳ ai đọc được hộp thư đó
Ứng dụng xác thực	Không gửi đi đâu: ứng dụng tự sinh mã trên máy bạn	Chỉ người cầm thiết bị

Email là loại dễ nhận nhất, vì chỉ cần một hộp thư. Mặt trái cũng từ đó mà ra: ai vào được hộp thư thì đọc được mã. Đó là lý do tài khoản quan trọng nên bật thêm ứng dụng xác thực thay vì chỉ dựa vào email.

Mã số hay đường link: hai dạng của OTP email

Thư xác minh thường có tiêu đề kiểu "Your verification code" hay "Confirm your email", và chứa một trong ba thứ:

Một dãy số, thường từ 4 đến 8 chữ số. Ví dụ thật: GitHub gửi "launch code" 8 số khi đăng ký; Instagram gửi 6 số và đặt luôn mã lên đầu tiêu đề thư.
Chữ lẫn số, kiểu K7Q2PX.
Một nút hay đường link như "Verify email", "Confirm your account". Bấm link làm đúng việc của việc gõ mã. Một số dịch vụ không dùng mật khẩu và coi link là cách đăng nhập: Vercel gửi link đăng nhập một lần kèm một mã an ninh để bạn đối chiếu với mã hiện trên trình duyệt.

Trang web quyết định mọi chi tiết: gửi mã hay link, dài mấy ký tự, hiệu lực bao lâu.

Mã hết hạn và chuyện dùng lại

Ba quy tắc gần như dịch vụ nào cũng áp dụng:

Mã có hạn ngắn, thường tính bằng phút. Thấy mã là nhập ngay.
Mã chỉ dùng được một lần. Gõ lại mã cũ cho lần đăng nhập sau sẽ bị từ chối.
Mã mới thường vô hiệu mã cũ. Mỗi lần bấm "Gửi lại", dịch vụ phát một mã khác; luôn dùng thư mới nhất. Bấm gửi lại quá nhiều, một số dịch vụ còn tạm ngừng gửi mã.

Với link, có thêm một điều: vài dịch vụ yêu cầu mở link trên đúng trình duyệt bạn đã bắt đầu đăng ký, mở ở trình duyệt khác sẽ không vào được.

Vì sao dịch vụ gửi mã về email

Dịch vụ gửi OTP qua email ở ba thời điểm:

Khi tạo tài khoản, để chắc địa chỉ có thật và bạn đang đọc được nó.
Khi đăng nhập từ thiết bị lạ. Ví dụ GitHub gửi mã thiết bị 6 số khi bạn đăng nhập máy mới mà tài khoản chưa bật xác thực hai lớp.
Khi bạn đổi thứ quan trọng, như mật khẩu hay địa chỉ email.

Vì email còn là đường khôi phục về sau, địa chỉ bạn dùng lúc đăng ký nên là địa chỉ bạn còn vào được khi cần lấy lại mật khẩu.

Giữ an toàn: mã là của bạn, không đọc cho ai

Không chuyển tiếp, không chụp màn hình gửi đi, không đọc mã cho bất kỳ ai gọi điện hay nhắn tin xin mã. Doanh nghiệp thật không bao giờ hỏi mã của bạn.
Thư lạ báo "mã xác minh" cho một dịch vụ bạn không hề đăng ký có thể là dấu hiệu ai đó đang thử vào tài khoản dùng email của bạn: đừng bấm link trong thư, hãy tự vào trang chính thức để đổi mật khẩu.
Tài khoản quan trọng: bật ứng dụng xác thực, để email chỉ còn là đường dự phòng.

Nếu mã không về trong hộp thư Gmail của chính bạn, bài cách lấy mã OTP trong Gmail khi không thấy thư chỉ các thư mục và bộ lọc cần xem.

Gmail thuê hiện mã cho bạn thế nào

Khi bạn chỉ cần một địa chỉ cho một lần đăng ký (tài khoản test, tài khoản tách cho dự án khách), có thể thuê một hộp thư @gmail.com hoặc @icloud.com thật. Hệ thống nhận thư gửi tới địa chỉ đó, tách lấy mã hoặc link rồi hiện ngay trên đơn của bạn và qua API; bạn không có mật khẩu và không đăng nhập hộp thư. Ở một số nguồn hàng, thư không tách được mã vẫn được giao nguyên văn để bạn tự đọc. Không có mã trong tối đa 25 phút thì đơn tự hủy và hoàn 100% vào số dư.

Giá, tỷ lệ nhận mã theo dịch vụ và các luật nhận thêm mã nằm ở trang tổng quan thuê OTP Gmail; còn khi mã của một đơn thuê không về, xem 7 nguyên nhân không nhận được mã.

Câu hỏi thường gặp

Mã OTP có phải mật khẩu Gmail không?

Không. Mã OTP chỉ xác nhận một thao tác ở trang đã gửi nó, dùng một lần rồi hết. Nó không cho ai quyền vào hộp thư Gmail; mật khẩu Gmail là thứ hoàn toàn khác và không bao giờ nằm trong thư OTP.

Muốn nhận OTP qua Gmail có bắt buộc phải có tài khoản Google không?

Nếu dùng địa chỉ của chính bạn thì có. Nếu thuê một địa chỉ để nhận mã, bạn chỉ cần tài khoản OTPGmail; mã hiện trên trang đơn, không cần tài khoản Google riêng.

Ngân hàng có gửi OTP về Gmail để người khác nhận hộ không?

Không. OTP của ngân hàng, ví điện tử hay dịch vụ công chỉ đi tới số điện thoại hoặc email bạn đã đăng ký với chính nơi đó. Không dịch vụ nào nhận hộ được; gặp khó thì liên hệ thẳng nhà cung cấp.

Thuê Gmail có dùng để nhận mã đăng nhập Google được không?

Không. Hộp thư thuê không đăng nhập Google được. Cần một tài khoản Gmail đăng nhập được cho việc ngắn hạn thì đó là sản phẩm khác, mua Gmail live ngắn.

Cần một địa chỉ để nhận mã ngay? Mở trang thuê, xem bảng giá, hoặc đọc tài liệu API nếu bạn lấy mã bằng code.