Risposta breve: utilizza prima i canali via app e tieni l'SMS come rete di sicurezza. Un codice Telegram costa 0,01 $ per messaggio consegnato tramite la Gateway API ufficiale di Telegram. Un messaggio di autenticazione WhatsApp viene addebitato solo quando viene consegnato, alla tariffa Meta per il paese dell'utente. L'SMS raggiunge ogni numero di cellulare, con o senza un'app, rappresentando quindi il fallback che completa la registrazione quando gli altri due canali non sono disponibili. Nessuno dei tre è a prova di phishing, quindi il lavoro sulla sicurezza è lo stesso per tutti: limiti di frequenza (rate limits), durata limitata dei codici e controlli sui numeri. BroadNet OTP e il nostro marchio gemello MyOTP.App inviano codici tramite questi canali da un'unica API.
Fatti verificati il 23 ottobre 2026 sulla documentazione del gateway e sui termini di Telegram, sulla documentazione relativa ai prezzi e ai template di autenticazione di Meta WhatsApp, su NIST SP 800-63B-4, sull'Internet Crime Complaint Center dell'FBI, su Google e sulla documentazione per sviluppatori di Apple, e su myotp.app. I prezzi e le regole sono soggetti a modifiche; consultare la fonte collegata prima di firmare un contratto.
| Domanda | SMS OTP | WhatsApp OTP | Telegram OTP |
|---|---|---|---|
| Modalità di ricezione del codice | Come SMS dalla rete mobile | Come modello di autenticazione nell'app WhatsApp | Come messaggio nell'app Telegram, opzionalmente firmato dal proprio canale Telegram verificato |
| L'utente ha bisogno di un'app? | No, qualsiasi telefono cellulare è compatibile | Sì, un account WhatsApp associato a quel numero | Sì, un account Telegram associato a quel numero |
| Modalità di fatturazione | Per messaggio inviato alla rete, in base alla tariffa di quel paese e operatore | Per messaggio consegnato, in base alla tariffa di autenticazione di Meta per il paese dell'utente | 0,01 $ per codice consegnato, tariffa identica per ogni paese |
| Compilazione automatica del codice | Android SMS Retriever API; compilazione automatica della password monouso su iOS e web | Copia codice, compilazione con un tocco e pulsanti zero-tap | L'utente legge o copia il codice in Telegram |
| Durata del codice configurabile | Impostata dal proprio sistema | Da 1 a 90 minuti | Da 30 a 3.600 secondi |
| Principale rischio di frode | SMS pumping e SIM swap | Account takeover dell'account WhatsApp | Account takeover dell'account Telegram |
Come funziona ogni canale OTP?
Tutti e tre i canali offrono lo stesso risultato: un codice breve che attesta il controllo del numero di telefono da parte dell'utente. Ciò che cambia è il percorso. SMS OTP viaggia dalla vostra piattaforma all'operatore mobile dell'utente e approda nell'app messaggi del telefono. Non richiede una connessione internet, né un'app o un account, motivo per cui garantisce ancora la massima copertura. WhatsApp OTP è un messaggio inviato tramite la piattaforma WhatsApp Business utilizzando un template approvato nella categoria di autenticazione di Meta. Telegram OTP viene inviato tramite la Gateway API di Telegram e arriva nell'app Telegram sull'account registrato a quel numero di telefono.
Template di autenticazione WhatsApp
Meta consente solo un testo fisso nei template di autenticazione: il codice, una riga di sicurezza facoltativa ("Per la tua sicurezza, non condividere questo codice.") e un avviso di scadenza facoltativo. Non è possibile aggiungere testo di marketing. Ogni template include uno di tre pulsanti. Il pulsante di copia del codice copia il codice negli appunti. Il pulsante di compilazione automatica con un tocco passa il codice direttamente alla tua app Android, e Meta lo definisce "la soluzione preferita". Il template zero-tap, disponibile solo su Android, consente alla tua app di ricevere il codice senza che l'utente esca dall'app. La scadenza del codice può essere impostata da 1 a 90 minuti (Meta, template di autenticazione).
Gateway API di Telegram
La Gateway API di Telegram è il metodo ufficiale per consentire a un'azienda di inviare codici di verifica agli utenti Telegram. Si effettua una chiamata sendVerificationMessage utilizzando il numero di telefono dell'utente e Telegram genera un codice di 4-8 cifre o invia uno fornito da voi. Il codice è valido per 30-3.600 secondi. I report di consegna (inviato, consegnato, letto, scaduto o revocato) vengono inviati a un indirizzo callback HTTPS da voi fornito. È inoltre possibile far firmare i messaggi tramite un canale Telegram verificato di vostra proprietà, in modo che gli utenti vedano il vostro brand. Prima dell'invio, checkSendAbility indica se il numero può effettivamente ricevere un codice. Un controllo positivo viene addebitato come un singolo messaggio, mentre l'invio successivo è gratuito. Un controllo negativo non ha costi (Telegram, riferimento della Gateway API).
Qual è il costo di ogni canale?
I tre canali vengono fatturati in modi differenti, pertanto si consiglia di confrontare il costo per verifica completata e non il prezzo per singolo messaggio.
- Telegram: La pagina prodotto di Telegram indica 0,01 $ per codice consegnato, con rimborsi automatici per i codici non consegnati entro la durata impostata. Il pagamento avviene tramite crediti prepagati e Telegram indica di accettare pagamenti in TON. I termini specificano che gli acquisti di crediti sono definitivi e che gli addebiti sono confermati al momento dell'invio del messaggio; si consiglia di consultare entrambe le pagine prima di pianificare il budget (Telegram, Termini del Gateway).
- WhatsApp: Meta applica la tariffa per messaggio consegnato dal 1 luglio 2025. La tariffa dipende dalla categoria del template e dal prefisso internazionale del numero dell'utente; inoltre, i livelli di volume mensile riducono la tariffa di autenticazione all'aumentare degli invii. L'addebito per i messaggi di servizio introdotto da Meta il 1 ottobre 2026 non si applica ai template di autenticazione (Meta, prezzi).
- WhatsApp per mittenti esteri: se la vostra azienda ha sede in un paese diverso da quello dell'utente e invia più di 750.000 messaggi al di fuori della finestra di assistenza clienti verso utenti di quel mercato in un periodo mobile di 30 giorni, Meta applica una tariffa di autenticazione internazionale più elevata. Dal 1 ottobre 2026, questa tariffa copre 18 mercati, tra cui Arabia Saudita, Emirati Arabi Uniti, Egitto, Iraq, Kuwait e Oman (Meta, tariffe di autenticazione internazionale).
- SMS: si paga per ogni messaggio inoltrato alla rete, in base alla tariffa del paese di destinazione e dell'operatore. I prezzi variano significativamente tra i diversi paesi, pertanto si prega di consultare la pagina dei prezzi OTP e le tariffe SMS per paese per i mercati serviti.
L'esempio pratico riportato di seguito è ipotetico. Utilizza prezzi arrotondati per mostrare il calcolo matematico, non tariffe reali per alcun paese: SMS a 0,040 $ per messaggio, WhatsApp a 0,0135 $ per messaggio consegnato (tariffa di listino WhatsApp di BroadNet) e Telegram a 0,01 $ per codice consegnato. Ogni strategia invia 1.000 codici e ogni utente che il canale dell'app non riesce a raggiungere riceve un SMS in alternativa.
| Strategia (ipotetica) | Codici inviati tramite canale app | Codici inviati tramite SMS | Costo totale per 1.000 utenti |
|---|---|---|---|
| Solo SMS | 0 | 1.000 × 0,040 $ = 40,00 $ | 40,00 $ |
| WhatsApp inizialmente, 60% consegnati su WhatsApp | 600 × 0,0135 $ = 8,10 $ | 400 × 0,040 $ = 16,00 $ | 24,10 $ |
| Telegram inizialmente, 50% dei numeri raggiungibili su Telegram | 500 × 0,01 $ = 5,00 $ | 500 × 0,040 $ = 20,00 $ | 25,00 $ |
Due fattori determinano il risultato reale: la quota di utenti raggiungibili su ogni app in ogni paese e la velocità con cui si passa all'SMS. La nostra guida ai costi WhatsApp vs SMS OTP fornisce la formula di pareggio paese per paese, mentre il calcolatore dei costi OTP elabora i dati in base ai propri volumi.
Quale canale garantisce una maggiore affidabilità?
L'SMS raggiunge il maggior numero di persone perché richiede solo un numero di cellulare attivo, ma la consegna dipende dalla rotta. I codici inviati tramite connessioni dirette con l'operatore e un ID mittente registrato arrivano rapidamente e restituiscono una ricevuta di consegna; i codici su grey route possono essere filtrati senza preavviso. WhatsApp e Telegram effettuano la consegna tramite internet, quindi funzionano anche in Wi-Fi quando l'utente non ha segnale mobile, ad esempio durante un viaggio all'estero. La consegna fallisce se l'utente non ha un account su quel numero, ha rimosso l'app o rimane offline fino alla scadenza del codice.
Ecco perché lo stato di consegna è più importante del canale stesso. Meta riporta gli stati di invio, consegna e lettura per i messaggi WhatsApp, e Telegram invia lo stesso tipo di stato al proprio indirizzo di callback. Utilizzi questi segnali per decidere quando inviare l'SMS, invece di aspettare che l'utente richieda un nuovo codice.
Quale canale è il più sicuro?
Nessun canale OTP è resistente al phishing: se un sito web falso convince un utente a digitare il codice, l'attaccante può utilizzarlo. Le differenze risiedono nel modo in cui un attaccante può intercettare il codice.
- SMS e SIM swap. Un attaccante che convince un operatore a spostare il numero della vittima su una nuova scheda SIM riceve i messaggi di testo della vittima. L'Internet Crime Complaint Center dell'FBI ha registrato 1.611 reclami per SIM swap con perdite aggiustate superiori a 68 milioni di dollari nel 2021 (FBI IC3). Il National Institute of Standards and Technology degli Stati Uniti classifica l'autenticazione OTP tramite rete telefonica come "limitata": i servizi possono ancora utilizzarla, ma devono offrire agli utenti un'alternativa non limitata e spiegare i rischi (NIST SP 800-63B-4).
- WhatsApp e Telegram. I codici viaggiano all'interno dell'app piuttosto che sulla rete mobile, quindi un semplice SIM swap non espone una sessione esistente. Il rischio si sposta sull'account dell'app stessa: se un attaccante registra o prende il controllo dell'account WhatsApp o Telegram dell'utente, i codici verranno inviati all'attaccante. Si consiglia agli utenti di attivare la verifica in due passaggi offerta da entrambe le app.
- L'autocompletamento riduce il phishing su ogni canale. La funzione SMS Retriever API di Android legge un codice che contiene l'hash di 11 caratteri della propria app, e i codici legati al dominio di Apple terminano con una riga come "@example.com #123456", pertanto il codice viene suggerito solo sul proprio sito web o sulla propria app reale (Google, Apple). I pulsanti one-tap e zero-tap di WhatsApp offrono lo stesso vantaggio all'interno della propria app Android.
Per operazioni ad alto valore, come la modifica di un conto per i pagamenti, aggiungi un controllo che non dipenda esclusivamente dal codice. Il NIST suggerisce di monitorare segnali di rischio come un recente cambiamento di SIM o la portabilità del numero prima di inviare un codice. Le nostre guide sulla frode da SIM swap e sugli standard di sicurezza OTP approfondiscono questi controlli.
E per quanto riguarda la frode da SMS pumping?
Lo SMS pumping, noto anche come traffico artificialmente gonfiato, avviene quando i bot compilano il modulo di registrazione con numeri controllati da un malintenzionato, spesso in destinazioni costose. Ogni codice inviato garantisce al frodatore una quota della fee di terminazione. I canali app cambiano questo scenario: le commissioni WhatsApp e Telegram vengono pagate a Meta e Telegram, quindi quel modello di pagamento non si applica lì, e la funzione checkSendAbility di Telegram indica se un numero è un account Telegram reale prima di pagare l'invio. Tuttavia, ogni codice inviato ha comunque un costo, quindi un bot può comunque far lievitare la fattura. Mantieni gli stessi controlli su ogni canale: limiti di frequenza per numero, per indirizzo IP e per paese, una sfida bot sul modulo, la validazione del numero tramite un lookup HLR e avvisi quando il traffico verso un paese aumenta improvvisamente. La nostra guida allo SMS pumping spiega l'attacco nel dettaglio.
Come si costruisce un sistema di fallback che non paghi mai due volte?
- Scegli il primo canale per paese. Inizia con il canale utilizzato dalla maggior parte dei tuoi utenti in quel paese, al minor costo per verifica completata. Laddove WhatsApp costa più di un SMS locale, inizia con l'SMS.
- Controlla prima di inviare. Per Telegram, chiama checkSendAbility e passa il suo ID richiesta all'invio, in modo che il controllo e il messaggio comportino un'unica commissione complessiva. Per WhatsApp, Meta addebita solo per i messaggi consegnati, quindi provare prima WhatsApp non costa nulla per gli utenti che non hanno un account WhatsApp.
- Attendi lo stato di consegna, non un timer fisso. Se il canale dell'app non ha segnalato "consegnato" entro una breve finestra temporale da te impostata, ad esempio da 10 a 20 secondi, invia l'SMS.
- Usa un unico codice su tutti i canali. Invia lo stesso codice, con la stessa scadenza, tramite il canale di fallback, in modo che sia un messaggio WhatsApp o Telegram ritardato, sia l'SMS funzionino, evitando che l'utente si confonda con due codici diversi.
- Interrompi l'altro canale una volta utilizzato il codice. Telegram ti consente di revocare un messaggio che non è ancora stato consegnato, anche se i codici revocati non vengono rimborsati. Segna il codice come utilizzato nel tuo sistema per evitare che venga inserito due volte.
- Offri la voce come ultimo passaggio. Per gli utenti che non possono ricevere messaggi di testo, una chiamata OTP vocale legge il codice ad alta voce.
Come si inseriscono MyOTP e BroadNet OTP?
MyOTP.App è l'API OTP self-service del Gruppo BroadNet. Secondo myotp.app, invia codici tramite SMS, WhatsApp e Telegram con un'unica chiave API e un unico saldo di crediti; è possibile scegliere il canale per ogni richiesta tramite un singolo campo. I codici Telegram passano attraverso la Telegram Gateway API e possono passare automaticamente all'SMS quando l'utente non è su Telegram. La pagina dei prezzi di MyOTP indica un piano Starter a $20 al mese e un piano Business a $25 al mese, mentre la verifica di un codice è gratuita. Per saperne di più, visita la nostra pagina prodotto MyOTP.
BroadNet OTP è il servizio enterprise per mittenti ad alto volume. Invia SMS tramite connessioni dirette con l'operatore e aggiunge fallback automatico, validazione del numero e controlli anti-frode, come i limiti di frequenza per numero e per indirizzo IP. Per i codici WhatsApp, BroadNet è un Meta Business Solution Provider ufficiale e la nostra WhatsApp Business API gestisce i template di autenticazione e la loro approvazione.
Domande frequenti
WhatsApp OTP è più economico di SMS OTP?
Spesso, ma non ovunque. Meta addebita ogni messaggio di autenticazione consegnato a una tariffa stabilita per ogni paese, mentre i prezzi degli SMS variano in base al paese e all'operatore. Confronta le due tariffe per ogni mercato, includendo poi il costo dell'invio di un SMS agli utenti che non ricevono il messaggio WhatsApp.
Quanto costa Telegram OTP?
La Gateway API di Telegram costa 0,01 $ per ogni codice consegnato, con lo stesso prezzo in ogni paese, pagato tramite crediti prepagati. Un controllo di inviabilità viene addebitato solo quando il numero è in grado di ricevere codici, e l'invio successivo sarà quindi gratuito. La documentazione di Telegram indica che i codici non consegnati entro la loro validità vengono rimborsati automaticamente.
La Gateway API di Telegram è ufficiale?
Sì. Telegram pubblica e gestisce la Gateway API stessa su core.telegram.org/gateway. I codici arrivano all'interno dell'app Telegram e puoi farli firmare da un canale Telegram verificato di tua proprietà, in modo che gli utenti vedano il tuo brand.
L'uso di SMS OTP è ancora consentito secondo le linee guida NIST?
Sì. NIST SP 800-63B-4, pubblicato a luglio 2025, classifica l'OTP sulla rete telefonica come un autenticatore limitato. Un servizio che lo utilizza deve offrire almeno un'alternativa non limitata, informare gli utenti sui rischi e pianificare un futuro in cui l'uso potrebbe non essere più accettabile.
WhatsApp OTP può compilare il codice automaticamente?
Sì, su Android. L'autocompletamento con un tocco inserisce il codice nella tua app con un solo tocco, mentre i template zero-tap lo consegnano alla tua app senza alcun tocco. Su iPhone, la documentazione di Meta indica che iOS 26 e versioni successive possono suggerire il codice dalla tastiera; per le versioni precedenti di iOS, utilizza il pulsante copia codice.
Cosa succede se l'utente non dispone di WhatsApp o Telegram?
Il messaggio non può essere consegnato, quindi invia il codice tramite SMS in alternativa. La funzione checkSendAbility di Telegram ti indica in anticipo se il numero può ricevere un codice, senza costi nel caso in cui non possa. Con WhatsApp, un messaggio non consegnato non viene addebitato, quindi puoi passare all'SMS non appena non arriva alcun rapporto di consegna.
Gli OTP via WhatsApp e Telegram bloccano lo SMS pumping?
Rimuovono il pagamento della commissione di terminazione che alimenta il pumping su SMS, ma non ti rendono immune. I bot possono comunque richiedere codici per account reali e far lievitare la fattura, e il tuo fallback SMS può ancora essere preso di mira. Mantieni limiti di frequenza, sfide per i bot e avvisi per paese su ogni canale.
Quale canale OTP dovrebbe utilizzare una banca?
Le banche solitamente necessitano della massima portata e di una chiara tracciabilità, quindi l'SMS tramite rotte dirette dell'operatore rimane il canale principale, con WhatsApp come opzione laddove i clienti lo preferiscano. Consulta prima le regole della tua banca centrale: alcuni regolatori richiedono fattori aggiuntivi per i pagamenti, e la nostra guida alle regole OTP per le banche copre diversi mercati.
Fonti
- Telegram, panoramica su Gateway API, riferimento API e termini di servizio, consultati il 23 ottobre 2026.
- Meta per gli sviluppatori, modelli di autenticazione, prezzi e tariffe internazionali di autenticazione, consultati il 23 ottobre 2026.
- NIST, SP 800-63B-4, Linee guida sull'identità digitale: autenticazione e gestione dell'autenticatore, luglio 2025.
- FBI Internet Crime Complaint Center, avviso di pubblica utilità sul SIM swapping, 8 febbraio 2022.
- Google, SMS Retriever API: come costruire un messaggio di verifica; Apple, abilitare l'AutoFill per i codici SMS legati al dominio, consultati il 23 ottobre 2026.
- MyOTP.App, home page, prezzi e Telegram OTP, consultati il 23 ottobre 2026.
Vuoi ridurre i costi di verifica senza perdere copertura? Parla con BroadNet riguardo a OTP tramite SMS e WhatsApp con fallback automatico, oppure inizia su MyOTP.App per inviare i tuoi primi codici tramite SMS, WhatsApp e Telegram oggi stesso.