# OTP e verifica del numero - URL canonico: https://www.broadnet.me/it/academy/otp-and-number-verification - Lingua: it - Ultimo aggiornamento: 2026-07-18 - Editore: BroadNet (https://www.broadnet.me) - Versione Markdown della pagina, generata dalla pagina pubblicata. Verifica Intermedio Come funzionano le password monouso e la verifica del numero — TOTP/HOTP, canali di consegna e fallback, convenzioni di autocompilazione e difesa contro l'AIT. 5 lezioni 4 min di lettura Basato su standard · a ritmo personalizzato Cosa imparerai - Cos'è un OTP e come HOTP e TOTP generano i codici - Canali di verifica: SMS, voce, flash call, WhatsApp - Il fallback tra canali e come definire i tempi di una cascata (waterfall) - Convenzioni di autocompilazione e progettazione dei messaggi che convertono - Difendersi dall'SMS pumping / traffico gonfiato artificialmente Schema del corso 1. 01Cos'è un OTP 2. 02Come vengono generati i codici: HOTP e TOTP 3. 03Canali di consegna e fallback 4. 04Autocompilazione, progettazione del messaggio e latenza 5. 05Difendersi dall'AIT / SMS pumping 6. ★Punti chiave [Tutti i corsi](https://www.broadnet.me/it/academy) Diagramma Il percorso OTP, con fallback del canale 1. L'utente richiede un codice Accesso, pagamento o registrazione 2. La tua app chiama l’API di verifica Una richiesta per codice 3. BroadNet consegna il codice Sul miglior canale disponibile Fallback in caso di mancata consegna SMS WhatsApp Voce 4. L'utente inserisce il codice Verifica rispetto al codice emesso 5. Verificato Accesso consentito Lezione 01 ## Cos'è un OTP Una password monouso (OTP) è un codice valido per un singolo accesso o transazione. È il secondo fattore nell'autenticazione a due fattori: qualcosa che l'utente riceve, dimostrando il controllo di un numero di telefono o di un autenticatore, in aggiunta a una password che conosce. Gli OTP sono i messaggi più critici che la maggior parte delle aziende invia. Un codice in ritardo o mancante equivale a un accesso fallito, una registrazione abbandonata o una vendita persa, quindi il traffico OTP viene trattato come una classe distinta, con budget di latenza rigorosi e finestre di validità brevi. La verifica del numero è il compito correlato di dimostrare che un utente controlla effettivamente un dato numero di telefono — il fondamento della sicurezza dell'account, della riduzione delle frodi e di dati di contatto puliti. Lezione 02 ## Come vengono generati i codici: HOTP e TOTP L'HOTP (RFC 4226) genera un codice a partire da un segreto condiviso e un contatore usando HMAC. Ogni utilizzo incrementa il contatore, così i codici non si ripetono. È alla base dei token basati su eventi. Il TOTP (RFC 6238) sostituisce il contatore con l'ora corrente suddivisa in intervalli fissi (comunemente 30 secondi), così che entrambe le parti derivino lo stesso codice dallo stesso segreto e dallo stesso orologio. È ciò che usano le app di autenticazione, e funziona offline perché non serve consegnare alcun messaggio. Per gli OTP consegnati via SMS, il codice è solitamente un breve valore numerico casuale generato lato server, associato alla sessione o al dispositivo, e scaduto dopo il primo utilizzo o un timeout. Sei cifre sono il valore predefinito comune, che bilancia usabilità e resistenza al tentativo casuale. Lezione 03 ## Canali di consegna e fallback L'SMS è il canale OTP predefinito grazie alla sua portata universale, ma non è l'unico. La voce OTP legge il codice ad alta voce e aiuta in mercati con scarsa capacità di consegna via SMS o per l'accessibilità. WhatsApp e RCS possono consegnare i codici in modo ricco dove l'utente è raggiungibile. La verifica tramite flash call è un'alternativa efficiente in termini di costo: la piattaforma effettua una chiamata che l'app rileva ed elimina automaticamente, verificando il numero dalle ultime cifre del numero chiamante senza che l'utente risponda. Elimina del tutto il costo dell'SMS e l'inserimento manuale del codice. Una cascata (waterfall) di canali combina questi elementi: prova il canale uno, e se la consegna non è confermata entro pochi secondi, passa al successivo. La cascata deve avere tempi definiti e deve evitare di inviare lo stesso codice su due canali contemporaneamente, il che raddoppia costo ed esposizione alla frode. Lezione 04 ## Autocompilazione, progettazione del messaggio e latenza I messaggi OTP ben progettati convertono meglio. Mantenga il corpo minimo, riconoscibile per il brand e coerente, così da superare i filtri sui contenuti, e supporti le convenzioni di autocompilazione della piattaforma — come il formato del codice monouso legato all'origine sull'ultima riga — così che il codice venga inserito automaticamente. Non inserisca mai il codice all'interno di un link cliccabile che potrebbe essere oggetto di phishing; lo mantenga solo copiabile o digitabile. Localizzi il testo circostante mantenendo stabili il codice e il token del brand, così che l'autocompilazione e il riconoscimento da parte dell'utente continuino a funzionare. Misuri la latenza end-to-end fino al telefono (dall'invio al DLR), non solo il tempo di accettazione dell'invio, e imposti un periodo di validità breve così che un codice ritardato scada invece di arrivare non più valido. Attivi il fallback in caso di DLR mancante entro il suo budget di latenza, non solo in caso di errore esplicito. Lezione 05 ## Difendersi dall'AIT / SMS pumping Il traffico gonfiato artificialmente (AIT), detto anche SMS pumping, è una frode in cui gli aggressori attivano invii OTP apparentemente genuini verso numeri che controllano, gonfiando la sua fattura senza che vi sia un vero utente. È l'area a più alto ritorno sull'investimento da difendere per la maggior parte dei mittenti. I controlli principali sono i limiti di frequenza — per numero di telefono, per IP, per impronta del dispositivo, per account — oltre a un limite massimo di reinvii per sessione e a un attrito aggiuntivo (una sfida o un CAPTCHA) quando la velocità aumenta bruscamente da un'unica fonte. Osservi il tasso di conversione per destinazione: il traffico gonfiato mostra un'ondata di richieste con inserimento del codice quasi nullo, e un picco improvviso verso un intervallo di paesi insolito è la firma classica. Validare i numeri con una ricerca HLR / di number intelligence prima dell'invio respinge in anticipo numeri non validi e ad alto rischio. Punti chiave - Gli OTP sono una classe di traffico distinta e sensibile alla latenza; l'HOTP è basato su contatore e il TOTP (RFC 6238) è basato sul tempo. - I canali includono SMS, voce, WhatsApp/RCS e flash call; li combini in una cascata di fallback con tempi definiti. - Supporti l'autocompilazione, tenga i codici fuori dai link, usi una validità breve e misuri la latenza di consegna end-to-end. - L'AIT / SMS pumping si difende con limiti di frequenza, limiti sui reinvii, monitoraggio della conversione e controlli sul numero prima dell'invio. Continuare ### Risposte, prodotti e strumenti correlati - [Cos'è un OTP?](https://www.broadnet.me/it/answers/what-is-otp) - [Verifica tramite flash call](https://www.broadnet.me/it/answers/what-is-flash-call-verification) - [Cos'è l'SMS pumping (AIT)?](https://www.broadnet.me/it/answers/what-is-sms-pumping) - [Cos'è la ricerca HLR?](https://www.broadnet.me/it/answers/what-is-hlr-lookup) - [Prodotto OTP / Verify](https://www.broadnet.me/it/products/otp) - [Stimatore di costo OTP (strumento gratuito)](https://www.broadnet.me/it/tools/otp-cost-estimator) Riferimenti - [RFC 6238 · TOTP](https://datatracker.ietf.org/doc/html/rfc6238) - [RFC 4226 · HOTP](https://datatracker.ietf.org/doc/html/rfc4226) Prossimamente nel programma di studi [Intermedio · Canali Messaggistica omnicanale Orchestrare SMS, WhatsApp, RCS, voce ed email come un'unica conversazione — capacità dei canali, la finestra di 24 ore di WhatsApp e la progettazione del fallback.](https://www.broadnet.me/it/academy/omnichannel-messaging) [Avanzato · Sicurezza dell'operatore Firewall SMS e sicurezza dell'operatore Come gli operatori mobili proteggono i ricavi della messaggistica e gli abbonati: modalità di distribuzione del firewall, rilevamento delle minacce, home-routing e monetizzazione dell'A2P.](https://www.broadnet.me/it/academy/sms-firewall-and-operator-security) Mettilo in pratica ## Metti in pratica ciò che hai appena imparato. Parla con un vero ingegnere del tuo caso d'uso, oppure apri la documentazione per sviluppatori e invia un messaggio attraverso i canali descritti in questo corso. [Rivolgiti al team di ingegneria.](https://www.broadnet.me/it/contact) [Documentazione per sviluppatori](https://www.broadnet.me/it/developers) Perché imparare da BroadNet - Da 2003 - Paesi 200+ - Collegamenti dell'operatore 1,000+