rima di inviare una password monouso, esegui un'interrogazione sul numero: normalizzalo, verifica il tipo di linea e l'operatore e, se offri più di SMS, controlla quale dei tuoi canali può riceverlo. Invia di default quando la risposta è mobile o sconosciuta, interrompi o offri la voce quando si tratta di una linea fissa o di un numero verde, e aggiungi frizione quando il pattern appare rischioso. Con MobileValidate, un brand BroadNet in anteprima privata, il controllo è una singola richiesta API, e il codice viene poi inviato tramite OTP API o MyOTP.App di BroadNet con fallback tra i canali.
Punti chiave
- Un controllo pre-invio costa un'unica interrogazione e può far risparmiare un messaggio che non arriverebbe mai o uno che alimenterebbe un pattern di frode.
- Il tipo di linea è il segnale singolo più utile: se è mobile si procede, se è linea fissa, numero verde o a tariffa maggiorata ci si ferma, VoIP richiede un'analisi più approfondita.
- Sconosciuto non significa fallimento: invia il codice con i tuoi normali limiti di frequenza. MobileValidate non addebita i risultati sconosciuti.
- Una breve attesa mantiene rapida la registrazione: imposta l'attesa dell'interrogazione a pochi secondi e tratta come sconosciuto tutto ciò che risulta ancora in sospeso.
- I controlli sui canali (ad esempio Telegram) aiutano a scegliere dove inviare il codice per i clienti che hanno fornito il consenso per quel canale.
- Il controllo supporta le tue difese contro le frodi; non sostituisce i limiti di frequenza, il monitoraggio o il fallback.
Cosa controllare prima di inviare un OTP?
| Controllo | Cosa indica | Origine |
|---|---|---|
| Formato e validità | Se l'input è un numero valido, normalizzato secondo E.164 o un duplicato | MobileValidate number_status (valid, invalid_number, duplicate) |
| Tipo di linea | Mobile, linea fissa, VoIP, numero verde, numero a tariffazione speciale e altri | Ricerca operatore MobileValidate (beta) |
| Operatore | La rete attuale e, per un numero portato, quella originale | Ricerca operatore MobileValidate (beta) |
| Registrazione del canale | Se il numero è registrato su un'app su cui invii codici, come Telegram | Controlli app di messaggistica MobileValidate |
| Stato della rete in tempo reale | Se la linea è attualmente raggiungibile sulla sua rete di origine | BroadNet HLR Lookup |
La ricerca dell'operatore di MobileValidate spiega perché il tipo di linea è importante: un numero fisso, un numero verde, a tariffa premium, a costo condiviso o UAN significa "solitamente" che l'SMS fallirà o comporterà costi inutili, e un picco di registrazioni da numeri VoIP o da un singolo piccolo operatore è un modello comune nella creazione di account falsi e nell'SMS pumping.
Come funziona la routine, passo dopo passo?
- Quando l'utente inserisce un numero, prima di premere "Invia codice", chiama POST /v1/lookup con il numero e i controlli necessari, ad esempio l'operatore più i canali app su cui invii i codici.
- Imposta l'attesa a pochi secondi. Di default, l'API attende fino a 10 secondi (massimo 30) e restituisce 202 con controlli in sospeso in caso di timeout; tratta i casi in sospeso come sconosciuti.
- Applica la tabella decisionale sottostante al risultato.
- Invia il codice tramite BroadNet OTP API o MyOTP.App sul canale scelto, con fallback tra i canali.
- Registra il risultato della ricerca insieme al tentativo di verifica, in modo da poter analizzare gli esiti in un secondo momento.
curl https://api.mobilevalidate.com/v1/lookup \ -H "Authorization: Bearer $MOBILEVALIDATE_API_KEY" \ -H "Content-Type: application/json" \ -d '{"numbers": ["+447700900001"], "checks": ["carrier", "telegram"], "wait": 3}'Ogni controllo nella risposta include il flag registered (true, false o null per sconosciuto), lo status, un livello di confidenza e checked_at; il controllo dell'operatore inserisce line_type, l'operatore e il paese negli attributi. Il numero +447700900001 è un numero di test MobileValidate: le chiavi di test rispondono con dati fissi e non vengono mai fatturati. Consulta real-time lookups per la risposta completa.
Cosa fare con ogni risultato?
| Risultato | Azione suggerita |
|---|---|
| line_type mobile | Invia il codice sul canale scelto dall'utente |
| line_type fixed_line, toll_free, premium_rate, shared_cost o uan | Non inviare un SMS; offri un codice vocale dove supportato, oppure richiedi un numero di cellulare |
| line_type voip | Applica la tua policy di rischio: verifica aggiuntiva, un limite di tentativi inferiore o revisione manuale |
| number_status invalid_number | Richiedi all'utente di correggere il numero; nessun invio o addebito effettuato |
| Controllo operatore sconosciuto o in sospeso | Invia il codice con i tuoi normali limiti di frequenza |
| Registrato su Telegram e l'utente ha scelto Telegram | Invia tramite il canale Telegram di MyOTP.App, con SMS come fallback |
| Molte nuove registrazioni su un singolo piccolo operatore o intervallo di numeri | Limita quell'intervallo e procedi con la revisione; consulta le difese contro l'SMS pumping |
Mantieni le regole nel tuo motore di policy per poterle regolare; la ricerca fornisce segnali, non verdetti. Un numero VoIP può appartenere a un cliente reale, quindi una verifica di livello superiore è solitamente preferibile a un blocco netto.
La ricerca rallenta la registrazione?
Solo finché lo permetti. Esegui la ricerca mentre l'utente è ancora sul campo del numero di telefono, limita il tempo con il parametro wait e tratta una risposta in sospeso come sconosciuta, in modo che il codice non venga mai trattenuto. MobileValidate memorizza le risposte per account all'interno della finestra di freschezza di ogni servizio; una risposta in cache è gratuita, quindi un utente che richiede un secondo codice non attiva una seconda verifica fatturata.
Inserisci la ricerca prima dell'invio, non prima dell'intero modulo di registrazione: se il servizio di ricerca non è raggiungibile, procedi con l'invio del codice utilizzando i tuoi limiti standard.
Come si integra con il pumping di SMS e le difese contro le frodi?
Il pumping di SMS (traffico artificialmente gonfiato) abusa dei moduli OTP per inviare messaggi a numeri che garantiscono all'attaccante una quota della tariffa. Un controllo preventivo del tipo di linea e dell'operatore elimina i numeri che non dovrebbero mai ricevere un SMS e rende visibili i cluster, ma si tratta di un solo livello. Mantieni limiti di frequenza per numero, indirizzo IP e dispositivo, limita i tentativi per sessione, monitora la varietà delle destinazioni e imposta avvisi di spesa. La nostra guida al pumping di SMS e alla frode AIT copre gli altri livelli, e cos'è il pumping di SMS spiega brevemente lo schema.
MobileValidate non offre controlli di SIM-swap. Per il rischio di account takeover su operazioni ad alto valore, BroadNet copre le API delle reti degli operatori in SIM swap e Number Verify in Medio Oriente.
Come si sceglie il canale OTP?
Offri i canali di cui i tuoi utenti si fidano e registra la loro scelta. MyOTP.App invia i codici tramite SMS, WhatsApp o Telegram da un unico account con fallback automatico, e l'API OTP di BroadNet effettua il fallback tra SMS, WhatsApp, voce e Flash Call. Un controllo di registrazione Telegram ti aiuta a mostrare l'opzione Telegram solo agli utenti in grado di riceverla; l'SMS rimane il fallback che raggiunge qualsiasi numero mobile. Per un confronto più approfondito tra i canali, leggi la nostra guida alla verifica multichannel OTP.
Quanto costa il controllo ed è conforme alle normative?
MobileValidate addebita un costo per ogni controllo e solo per i risultati conclusivi: i risultati sconosciuti, i paesi non supportati, i timeout, i risultati non validi o duplicati sono gratuiti, così come le corrispondenze in cache e le chiavi di test. I prezzi attuali, che potrebbero variare durante la private preview, sono disponibili sulla pagina dei prezzi. Controlla solo ciò su cui agisci: ogni controllo extra su un numero può essere fatturato separatamente.
Effettuare lo screening di un numero appena fornito dall'utente per inviargli un codice è prevenzione delle frodi, cosa consentita dalla policy di utilizzo accettabile di MobileValidate. Ai sensi del GDPR, il Considerando 47 afferma che "il trattamento dei dati personali strettamente necessari ai fini della prevenzione delle frodi costituisce inoltre un legittimo interesse del titolare del trattamento interessato". Altre leggi possono differire, pertanto conferma la tua base giuridica per ogni mercato; queste sono informazioni generali, non consulenza legale.
Domande frequenti
Perché controllare un numero prima di inviare un OTP?
Per evitare di pagare per codici che non possono arrivare, come verso numeri fissi o toll-free, per individuare pattern legati a registrazioni false e SMS pumping, e per scegliere un canale che l'utente possa ricevere.
Quale controllo è il più importante?
Tipo di linea. Un numero mobile può ricevere il codice; i numeri fissi, a numero verde e a tariffa maggiorata solitamente non possono ricevere SMS; i numeri VoIP richiedono un'analisi più approfondita.
Cosa succede se la ricerca restituisce un risultato sconosciuto?
Invia il codice con i tuoi normali limiti di frequenza. Le risposte sconosciute non vengono addebitate da MobileValidate e il blocco in caso di risultati sconosciuti danneggerebbe gli utenti reali.
La ricerca rallenterà la fase di registrazione?
Non necessariamente. Eseguila al momento dell'inserimento del numero, applica un limite con il parametro wait e tratta le risposte in sospeso come sconosciute.
Dovrei bloccare i numeri VoIP?
Solitamente no, non in modo diretto. Usa VoIP come segnale di rischio per richiedere una verifica supplementare, un limite di tentativi inferiore o una revisione manuale.
MobileValidate controlla i SIM swap?
No. MobileValidate dichiara di non offrire un controllo SIM swap; le API di rete degli operatori coprono tale funzionalità.
Il controllo invia qualcosa all'utente?
No. Un controllo MobileValidate non invia mai un messaggio, una chiamata o un'e-mail al numero.
Quali prodotti BroadNet inviano il codice?
L'API OTP di BroadNet, con fallback su SMS, WhatsApp, voce e Flash Call, e MyOTP.App, che invia tramite SMS, WhatsApp o Telegram da un unico account.
Abbiamo consultato ogni fonte riportata di seguito il 27 settembre 2026. Consulta i nostri standard editoriali.
Fonti
- MobileValidate — lookup in tempo reale (richiesta campi, attesa, risultati, caching), aggiornato l'ultima volta il 25 settembre 2026: mobilevalidate.com/docs/lookups.
- MobileValidate — lookup di operatore e tipo di linea, aggiornato l'ultima volta il 25 settembre 2026: mobilevalidate.com/services/carrier-lookup.
- MobileValidate — caso d'uso per la prevenzione delle frodi OTP e di registrazione, consultato il 27 settembre 2026: mobilevalidate.com/use-cases/otp-and-signup-fraud.
- MobileValidate — fatti (cosa non offre, fatturazione), consultato il 27 settembre 2026: mobilevalidate.com/facts.
- MobileValidate — policy sull'uso accettabile, consultato il 27 settembre 2026: mobilevalidate.com/legal/acceptable-use.
- GDPR Considerando 47 (interessi legittimi; prevenzione delle frodi), consultato il 27 settembre 2026: gdpr-info.eu.