Tutto ciò che vale la pena sapere, niente di superfluo.
Come funziona la verifica del numero
Il flusso classico: la tua app richiede un codice monouso, la piattaforma lo genera e lo invia al numero tramite un canale (SMS, chiamata vocale, WhatsApp) e l'utente lo digita per dimostrare di essere in possesso della SIM. I metodi più recenti eliminano completamente il codice: la verifica tramite chiamata flash legge il codice di accesso dall'ID chiamante di una chiamata senza risposta, mentre l'autenticazione silenziosa di rete verifica la SIM con l'operatore tramite una sessione dati in modo invisibile. Vedi /products/otp, /products/myotp e /answers/what-is-otp.
I metodi di verifica
OTP via SMS (copertura universale, il metodo più comune); OTP vocale (raggiunge le linee fisse e i mercati con scarsa copertura SMS, lettura ad alta voce); OTP via WhatsApp (disponibile a lungo termine, economico dove l'app è installata); chiamata flash (veloce, economica, senza corpo del messaggio, compatibile con Android); e autenticazione silenziosa di rete (nessun attrito per l'utente, la più resistente alle intercettazioni). Un robusto servizio di verifica gestisce automaticamente il passaggio tra questi metodi in base al paese e all'esito della consegna. Vedi /answers/what-is-2fa e /answers/what-is-flash-call-verification.
Autenticazione di rete silenziosa e GSMA Open Gateway
L'autenticazione silenziosa di rete (SNA) apre una connessione dati che l'operatore di telefonia mobile autentica sulla SIM, confermando il possesso del numero senza che l'utente debba digitare nulla e senza che un malintenzionato possa effettuare phishing o intercettare alcuna informazione. È disponibile tramite GSMA Open Gateway e l'API di verifica del numero CAMARA ed è l'opzione più semplice e affidabile laddove la copertura dell'operatore sia presente. Vedi /answers/silent-network-authentication e /answers/gsma-open-gateway.
Il problema delle frodi: AIT e SMS pumping
Il traffico OTP è l'obiettivo principale del traffico artificialmente gonfiato (AIT), noto anche come SMS pumping: i truffatori inviano un flusso massiccio di codici OTP a intervalli di numeri a tariffa maggiorata da cui traggono profitto, esaurendo il budget di verifica. Le difese includono la convalida HLR/intervallo di numeri prima dell'invio, limiti di frequenza per numero e per IP e lo spostamento delle aree geografiche ad alto rischio verso la chiamata flash o l'autenticazione silenziosa. Vedi /answers/what-is-ait e /answers/what-is-sms-pumping.
Vantaggi e scelta del metodo
La verifica del numero impedisce l'appropriazione indebita degli account, le registrazioni da parte di bot e le frodi sui pagamenti, garantendo al contempo che il cliente sia reale e raggiungibile. Scegli in base al mercato: SMS per una copertura universale, autenticazione silenziosa o chiamata flash per ridurre costi e complessità nelle aree coperte, chiamata vocale come soluzione di ripiego e convalida sempre prima i numeri per contrastare l'AIT (Advanced Incident Taxpayers). Lo stack di verifica di BroadNet supporta tutte queste opzioni. Vedi /products/hlr-lookup e /operators/flash-call.
Quale metodo di verifica del numero è il più sicuro?
L'autenticazione silenziosa di rete è la più sicura: poiché verifica la SIM rispetto all'operatore sul piano dati, non c'è codice da estorcere tramite phishing, intercettazione tramite SS7 o ingegneria sociale. La chiamata flash è la seconda più sicura. L'OTP via SMS è il metodo più universale ma anche il più vulnerabile, quindi è consigliabile abbinarlo alla convalida del numero e ai limiti di frequenza. La soluzione pratica è una policy che effettua il failover tra i metodi in base al rischio e alla copertura. Vedi /answers/what-is-2fa.