er inviare SMS OTP in Indonesia in modo affidabile, è necessario un nome mittente alfanumerico registrato — noto localmente come SMS masking — sulle rotte di ogni operatore mobile, template funzionanti in Bahasa Indonesia e un flusso di verifica progettato per un mercato in cui l'autorità di regolamentazione combatte attivamente le frodi sui numeri. Da gennaio 2026, il Regolamento n. 7 del 2026 del Ministero delle Comunicazioni e degli Affari Digitali (Komdigi) richiede controlli di riconoscimento facciale incrociati con i dati della popolazione per le nuove registrazioni SIM e limita i numeri prepagati a tre per identità per ogni operatore.
Questa guida copre la registrazione dell'ID mittente, le implicazioni delle nuove regole SIM per il rischio OTP, la legge sulla protezione dei dati che disciplina i dati dei propri abbonati e come mantenere sotto controllo il costo per utente verificato. Ultimo aggiornamento: 26 settembre 2026.
Punti chiave
- I nomi mittente (SMS masking) per il traffico A2P vengono registrati tramite le rotte degli operatori; sono necessari da cinque a dieci giorni lavorativi.
- Il Regolamento Komdigi n. 7 del 2026, firmato il 19 gennaio 2026, richiede NIK più la validazione tramite riconoscimento facciale per la registrazione degli abbonati mobili.
- Gli operatori possono registrare non più di tre numeri prepagati per identità, per operatore, con limitate eccezioni per IoT, test e determinate organizzazioni.
- Gli abbonati possono segnalare i numeri utilizzati impropriamente per attività criminali tramite il portale per i reclami del Ministero; gli operatori devono revocare i numeri di cui venga provato l'uso improprio.
- I dati personali nel proprio stack di messaggistica sono regolati dalla Legge n. 27 del 2022 (UU PDP), il cui periodo di adeguamento biennale si è concluso nell'ottobre 2024.
- L'OTP più economico è quello che arriva al primo tentativo: nomi mittente registrati, template brevi e un canale di fallback riducono i tentativi di reinvio.
Come posso registrare un ID mittente SMS (masking) in Indonesia?
In Indonesia, un mittente alfanumerico branded è solitamente chiamato mittente "masking", a differenza di un numero lungo numerico. Per il traffico A2P, il nome del mittente viene registrato tramite le rotte degli operatori — Telkomsel, Indosat Ooredoo Hutchison, XL Axiata e Smartfren (fuse in XLSMART ad aprile 2025) sulla rete di BroadNet — invece di essere scelto liberamente per ogni messaggio. I passaggi pratici:
- Scegli un nome mittente che identifichi chiaramente il tuo brand e verificalo nel nostro validatore ID mittente.
- Descrivi il caso d'uso — OTP, notifiche transazionali o promozioni — poiché gli operatori verificano la finalità di utilizzo del nome.
- Fornisci i documenti aziendali che colleghino il brand alla tua organizzazione; l'elenco esatto varia a seconda dell'operatore, quindi confermalo durante l'onboarding.
- Invia lo stesso nome per ogni operatore che devi raggiungere; un nome approvato su una rete non viene trasferito automaticamente su un'altra.
- Considera dai cinque ai dieci giorni lavorativi, come indicato nella pagina sulla copertura in Indonesia, e testa su ogni operatore prima del lancio.
Sconsigliamo nomi generici come INFO, OTP o VERIFY. Non possono essere associati a un brand, sono esattamente ciò che imitano i truffatori e rendono più difficile per un cliente fidarsi del codice. Per una panoramica completa dei tipi di mittente, consulta cos'è un ID mittente e sender ID spoofing.
Cosa cambia con il Regolamento Komdigi n. 7 del 2026?
Il Regolamento n. 7 del 2026 del Ministro delle Comunicazioni e degli Affari Digitali sulla registrazione dei clienti dei servizi di telecomunicazione tramite reti mobili cellulari ha sostituito gli articoli sulla registrazione del regolamento sulle telecomunicazioni del 2021. È stato firmato a Jakarta il 19 gennaio 2026 ed entra in vigore al momento della promulgazione. I suoi obiettivi dichiarati sono l'ottenimento di dati demografici validi per la registrazione SIM e l'applicazione del principio know-your-customer per gli abbonati mobili.
| Regola | A chi si applica | In vigore | Fonte |
|---|---|---|---|
| Registrazione convalidata tramite NIK e dati biometrici della popolazione (riconoscimento facciale) | Operatori mobili e nuovi abbonati | Alla promulgazione, gennaio 2026 | Permen Komdigi 7/2026 |
| L'auto-registrazione tramite l'app o il sito web dell'operatore deve confermare il numero tramite un codice di autorizzazione, che può essere un OTP, inviato tramite SMS, e-mail o USSD | Registrazione self-service prepagata | All'entrata in vigore | Art. 7 |
| Massimo 3 numeri prepagati per identità per operatore (eccezioni: M2M/IoT, test, determinate organizzazioni — tramite i canali dell'operatore) | Operatori mobili | All'entrata in vigore | Art. 14 |
| I numeri utilizzati per attività criminali possono essere segnalati tramite il portale del Ministero; gli operatori devono revocare i numeri di cui sia provato l'uso improprio | Abbonati e operatori | All'entrata in vigore | Art. 17 |
| Gli operatori devono possedere almeno la certificazione ISO 27001 per i dati degli abbonati | Operatori mobili | All'entrata in vigore | Art. 13(5) |
| Gli operatori devono adeguare l'auto-registrazione entro 6 mesi; i numeri registrati precedentemente rimangono validi | Operatori mobili e abbonati esistenti | Transizione entro la metà del 2026 | Art. 32 |
| I dati personali sono trattati legalmente, con il consenso come base principale; i titolari del trattamento hanno avuto 2 anni per adeguarsi | Ogni azienda che detiene dati di abbonati indonesiani | Entrata in vigore il 17 ott 2022 | UU No. 27 del 2022 (PDP), Art. 74 |
Cosa significa la registrazione biometrica SIM per OTP?
L'OTP SMS dimostra che qualcuno ha il controllo di un numero di telefono. Il suo punto debole è sempre stato quanto fosse facile ottenere o sottrarre quel numero: una SIM registrata con l'identità di un altro, o una nuova SIM acquistata in massa per una campagna di truffa. La validazione tramite riconoscimento facciale, un limite di tre numeri per identità per ogni operatore e un canale formale per revocare i numeri usati impropriamente rendono tutto ciò più difficile.
Questo non rende gli OTP SMS privi di rischi. Il SIM swap e l'ingegneria sociale colpiscono la persona, non la registrazione. Mantieni i messaggi OTP brevi ed espliciti ("Non condividere questo codice"), vincola i codici a una sessione, limita i tentativi di nuovo invio e associa le operazioni ad alto valore a un segnale che non dipenda esclusivamente dall'SMS. Le nostre OTP best practice e l'approfondimento sulla difesa dal SIM-swap forniscono ulteriori dettagli.
Cosa sta facendo Komdigi contro le truffe SMS?
Lo strumento più chiaro finora messo a disposizione dal regolatore è il Regolamento n. 7 del 2026: registrazione con identità verificata, meno numeri usa e getta e l'obbligo per gli operatori di revocare i numeri che si dimostri essere utilizzati per attività criminali una volta che gli abbonati li segnalano tramite il portale di reclamo del Ministero. Per i mittenti, la conseguenza è pratica: gli operatori hanno ogni motivo per esaminare con attenzione gli ID mittente non registrati, generici o simili a quelli reali; pertanto, un nome del brand pulito e registrato è parte integrante della deliverability, non solo della compliance.
Perché le OTP verso l'Indonesia sono costose e come si può ridurre il costo?
Il prezzo di un singolo SMS è solo una parte del costo. Ciò che si paga realmente è il costo per utente verificato: il prezzo di ogni messaggio moltiplicato per il numero di messaggi necessari per ottenere un unico login riuscito. Ogni codice non consegnato, ogni nuovo invio e ogni utente che rinuncia aumenta questo valore. Ecco perché i maggiori risparmi derivano solitamente dalla consegna e dal design, non dalla riduzione della tariffa per singolo messaggio.
| Leva | Perché è importante | Cosa fare |
|---|---|---|
| Nome del mittente registrato | I mittenti non registrati o generici hanno maggiori probabilità di essere filtrati o non ritenuti affidabili | Registrare un nome del brand per ogni caso d'uso su ogni operatore |
| Lunghezza e codifica del template | I caratteri non GSM forzano UCS-2 e possono raddoppiare i segmenti | Mantenere gli OTP brevi; verificarli nello strumento di verifica GSM-7 / Unicode |
| Politica di reinvio | I reinvii aggressivi moltiplicano i costi e l'esposizione alle frodi | Attendere prima del primo reinvio; limitare i tentativi per sessione |
| Mix di canali | Gli utenti che hanno WhatsApp possono autenticarsi lì; l'OTP vocale aiuta dove l'SMS fallisce | Percorso per utente con fallback automatico su SMS |
| Misurazione | Ciò che si paga è il costo per utente verificato, non per messaggio | Simula il modello nel preventivatore costi OTP |
Le tariffe attuali per messaggio sono disponibili sulla pagina dei prezzi SMS per l'Indonesia e sulla pagina dei prezzi WhatsApp. MyOTP gestisce routing, fallback e controlli anti-frode in un'unica API, quindi spostare parte del proprio volume su un altro canale non significa dover ricostruire l'intero flusso di login.
L'autenticazione WhatsApp è più economica della OTP SMS in Indonesia?
A volte, e solo per gli utenti che dispongono di WhatsApp. I prezzi degli authentication-template sono stabiliti da Meta per mercato e variano nel tempo, pertanto si consiglia di confrontare i listini attuali piuttosto che fare riferimento a cifre dell'anno precedente. Il vantaggio maggiore è solitamente il tasso di conversione: un codice che arriva in un'app già aperta dall'utente tende a essere inserito più rapidamente. Utilizza SMS come fallback universale, poiché non tutti gli utenti avranno installato WhatsApp sul telefono che stanno verificando.
Cosa richiede UU PDP per i dati SMS?
La Legge n. 27 del 2022 sulla protezione dei dati personali (UU PDP) è entrata in vigore il 17 ottobre 2022, concedendo ai titolari del trattamento due anni per adeguarsi. Essa disciplina le modalità di raccolta e trattamento dei numeri di telefono, dei nomi e dei log dei messaggi nel proprio stack di messaggistica. Il consenso è una delle basi giuridiche principali, gli interessati hanno diritti sui propri dati e sono previste regole sui trasferimenti e sulla gestione delle violazioni. Conserva solo i dati necessari per la verifica, stabilisci periodi di conservazione per i log dei messaggi e assicurati che i contratti con i fornitori coprano il trattamento effettuato per tuo conto.
Checklist di conformità per OTP e SMS in Indonesia
- Registra un ID mittente specifico per il brand presso ogni operatore necessario, separatamente per l'uso OTP e per quello promozionale.
- Scrivi i template OTP in Bahasa Indonesia e in inglese, abbastanza brevi da rientrare in un singolo segmento.
- Non aggiungere mai contenuti promozionali a un messaggio OTP o transazionale.
- Imposta una policy di reinvio con un tempo di attesa prima del primo tentativo e un limite massimo per sessione.
- Aggiungi un canale di fallback (autenticazione WhatsApp o voce OTP) e misura il costo per utente verificato.
- Mappa il trattamento dei dati personali rispetto a UU PDP: base giuridica, conservazione, contratti con i responsabili del trattamento.
- Analizzare i flussi ad alto rischio per l'esposizione al SIM-swap; non fare affidamento esclusivamente su SMS per il recupero dell'account o per trasferimenti di grandi dimensioni.
Come BroadNet gestisce il traffico in Indonesia
BroadNet effettua la terminazione direttamente verso Telkomsel, Indosat Ooredoo Hutchison, XL Axiata e Smartfren (fuse in XLSMART ad aprile 2025) con registrazione dell'ID mittente tramite le rotte degli operatori, e supporta Bahasa Indonesia e inglese alla pari. La guida alle normative indonesiane copre l'intero set di regole.
Domande frequenti
Come posso registrare un ID mittente SMS (masking) in Indonesia?
Attraverso le rotte degli operatori mobili. È necessario scegliere un nome specifico per il brand, descrivere il caso d'uso, fornire i documenti aziendali e inviare lo stesso nome a ogni operatore che si desidera raggiungere. Considerare un tempo di elaborazione di cinque-dieci giorni lavorativi e testare su ogni rete prima del lancio.
Perché gli SMS OTP verso l'Indonesia sono costosi?
Perché il costo corrisponde all'utente verificato e non al singolo messaggio. I codici non consegnati, i reinvii e i tentativi di login abbandonati moltiplicano i costi. L'utilizzo di nomi mittente registrati, template brevi a segmento singolo, una politica di reinvio ragionevole e un canale di fallback solitamente garantiscono un risparmio maggiore rispetto alla negoziazione della tariffa per messaggio.
L'autenticazione WhatsApp è più economica di SMS OTP in Indonesia?
Può esserlo per gli utenti che dispongono di WhatsApp, ma Meta stabilisce i prezzi dell'autenticazione per mercato e li modifica periodicamente, pertanto si consiglia di confrontare i listini attuali. Mantenere SMS come fallback, poiché non tutti gli utenti avranno WhatsApp sul numero che stanno verificando.
Sono consentiti ID mittente generici in Indonesia?
Gli operatori verificano gli ID mittente rispetto al brand e al caso d'uso; sconsigliamo l'uso di nomi generici come INFO o OTP. Non possono essere associati a un brand, sono quelli che gli scammer imitano e riducono la fiducia del cliente nel codice.
Ogni brand o caso d'uso necessita di una propria registrazione del mittente?
Registra ogni nome di brand separatamente e mantieni il traffico OTP e quello promozionale su registrazioni distinte. La separazione protegge il tuo traffico di verifica qualora una campagna di marketing generi reclami, e rispecchia il modo in cui gli operatori esaminano i casi d'uso.
Cos'è il Regolamento Komdigi n. 7 del 2026?
È il regolamento del Ministero delle Comunicazioni e degli Affari Digitali sulla registrazione degli abbonati mobili, firmato il 19 gennaio 2026. Richiede NIK unita alla validazione tramite riconoscimento facciale, limita i numeri prepagati a tre per identità per operatore e obbliga gli operatori a revocare i numeri che si dimostri essere stati utilizzati impropriamente per attività criminali.
Cosa significa la registrazione biometrica SIM per SMS OTP?
Rende più difficile ottenere numeri sotto l'identità di terzi o in massa, rafforzando il legame tra un numero e una persona reale. Non impedisce lo SIM swap o l'ingegneria sociale, pertanto è necessario mantenere attivi gli avvisi di non condivisione, il session binding e i limiti di nuovo invio.
Cosa richiede UU PDP per i dati SMS?
La Legge n. 27 del 2022 richiede una base giuridica, solitamente il consenso, per il trattamento dei dati personali come i numeri di telefono, conferisce agli individui diritti sui propri dati e stabilisce regole sui trasferimenti e sulle violazioni. Il periodo di adeguamento di due anni è terminato nell'ottobre 2024, pertanto la legge è pienamente applicabile.
Fonti
- Regolamento del Ministro delle Comunicazioni e Digitali n. 7 del 2026 — JDIH Kemkomdigi — consultato il 26 set 2026
- Legge n. 27 del 2022 sulla protezione dei dati personali — JDIH Kemkomdigi — consultato il 26 set 2026
- Ministero delle Comunicazioni e Digitali (Komdigi) — consultato il 26 set 2026