Best practice per gli OTP: come ridurre i costi, migliorare il recapito e fermare le frodi

La maggior parte dei fallimenti con gli OTP non dipende da problemi nel codice, ma da scelte di implementazione poco efficaci: messaggi che costano il doppio del dovuto, strategie di invio che non considerano le specificità degli operatori locali e flussi di verifica privi di protezione dalle frodi finché non arriva il conto.

Dopo aver recapitato centinaia di milioni di OTP in tutto il mondo, Prelude ha mappato ciò che fa davvero la differenza. Questa guida illustra dieci best practice per ridurre i costi, migliorare i tassi di conversione ed evitare i meccanismi di frode che gonfiano silenziosamente la spesa per le verifiche.

Per una panoramica completa sul funzionamento dei sistemi OTP e su quando utilizzarli, consulta la nostra guida completa agli SMS OTP.

Le sfide principali dei sistemi OTP

Prima di passare alle soluzioni, è utile individuare chiaramente i problemi. La maggior parte delle implementazioni OTP si scontra con quattro tipologie ricorrenti di criticità:

Problemi di recapito. SMS non ricevuti a causa di errori di rete, filtri degli operatori, rilevamento spam o dati di contatto errati. Ogni mancata consegna si traduce in un utente che non riesce a completare la verifica.

Costi in aumento. Tariffe degli operatori, margini dei provider, segmentazione dei messaggi e instradamento globale concorrono all'aumento delle spese. Su larga scala i costi salgono rapidamente, spesso passando inosservati fino alla fattura.

Frodi. Fenomeni come SMS pumping e IRSF gonfiano artificialmente il traffico di verifica, generando costi di terminazione telefonica a carico della piattaforma. Nessuno dei due richiede competenze tecniche avanzate per essere eseguito.

Interruzioni nella user experience. Codici scaduti, ritardi prolungati e formati di messaggio poco chiari provocano il fallimento dei primi tentativi e costosi reinvii.

Questi problemi sono strettamente collegati: un messaggio poco ottimizzato fa lievitare i costi e riduce la conversione; una strategia di recapito debole aumenta i tentativi di invio, incrementando l'esposizione alle frodi. Le best practice riportate di seguito affrontano contemporaneamente tutti e quattro gli aspetti.

10 best practice per gli OTP

1. Ottimizza il testo del messaggio OTP per ridurre i costi

Quando componi un messaggio OTP, ogni singolo carattere conta. Un messaggio ben strutturato garantisce una comunicazione chiara e aiuta a tenere sotto controllo i costi. Ecco come ottimizzarlo al meglio:

Sintesi prima di tutto

I costi degli SMS vengono calcolati in base alla lunghezza del testo, con addebiti applicati per segmenti di 160 caratteri. Superare questo limite anche di un solo carattere può raddoppiare la spesa.

Ad esempio:

• "123456 è il tuo OTP per MyApp". Rientra in 1 segmento, mantenendo i costi bassi.

• "La tua password monouso è 123456. Grazie per aver scelto il nostro servizio". Si estende su 2 segmenti, aumentando i costi.

Anche se inserire uno slogan accattivante o dettagli di brand può sembrare una buona idea, ricorda che ogni carattere extra incide sul budget. Mantieni i messaggi concisi e focalizzati sulle informazioni essenziali.

Evita emoji e codifica UCS-2

Le emoji e i caratteri non standard possono rendere il messaggio più visibile, ma comportano costi aggiuntivi.

La codifica degli SMS prevede due formati principali:

• GSM-7: supporta la maggior parte dei caratteri con alfabeto latino e consente 160 caratteri per segmento.

• UCS-2: necessario per emoji e caratteri speciali, riduce il limite a 70 caratteri per segmento, raddoppiando i costi per ogni blocco aggiuntivo di 70 caratteri.

Ad esempio:

• "123456 è il tuo OTP per MyApp" (GSM-7). Rientra in 1 segmento.

• "123456 è il tuo OTP per MyApp 😊" (UCS-2). Richiede 2 segmenti.

Un dettaglio spesso trascurato: alcuni caratteri del set GSM-7 richiedono sequenze di escape. Tra questi vi sono {, }, [, ], ~, |, \ e ^, ognuno dei quali conta come due caratteri. Un messaggio che nell'editor sembra inferiore a 160 caratteri può comunque dividersi in due segmenti se contiene questi simboli estesi.

Per ridurre al minimo i costi, evita le emoji e usa UCS-2 solo se strettamente necessario, ad esempio nei mercati con alfabeti non latini.

In che modo Prelude ti aiuta a risparmiare?

Prelude fattura i messaggi al costo dell'operatore senza alcun ricarico, oltre a una tariffa di verifica di 0,032 € sul piano Pay As You Go: in questo modo il costo di ogni segmento extra corrisponde esattamente alla tariffa dell'operatore, senza costi nascosti.

2. Struttura il messaggio OTP per una leggibilità immediata

Il recapito è solo metà del lavoro. Un OTP consegnato che l'utente non trova o legge male genera una richiesta di reinvio. E i reinvii aumentano i costi e creano attrito.

Dopo aver gestito centinaia di milioni di invii OTP, Prelude ha riscontrato che un formato offre costantemente risultati migliori rispetto agli altri:

"{{Code}} è il tuo codice di verifica per {{App Name}}"

Posizionare il codice all'inizio lo rende subito visibile nell'anteprima delle notifiche SMS. Gli utenti possono leggerlo e inserirlo senza aprire il messaggio né cambiare app, riducendo sensibilmente i fallimenti al primo tentativo.

Il caso BeReal. Il cliente di Prelude BeReal adotta una leggera variazione di questo formato: 

"7860 è il tuo codice di verifica per BeReal. Your friends for real." 

Il payoff è breve, coerente con il brand e non sposta il codice fuori dall'anteprima della notifica. Questa struttura ha aiutato BeReal a raggiungere un tasso di conversione globale del 90% per la verifica degli utenti.

Perché questo approccio funziona così bene? 

1. Visibilità del codice: posizionarlo all'inizio garantisce che sia subito visibile nelle notifiche SMS. Gli utenti possono leggerlo e inserirlo senza doverlo cercare o uscire dall'app.
   
   

2. Chiarezza e brevità: un messaggio sintetico e lineare previene la confusione e riduce il rischio di errori. L'utente capisce al volo cosa fare appena lo visualizza.

   
   

3. Coerenza con il brand: aggiungere un breve slogan rafforza l'identità del brand e valorizza l'esperienza utente. È fondamentale però che sia molto sintetico, per non distogliere l'attenzione dallo scopo principale: la consegna del codice di verifica.

Abilita il riempimento automatico su mobile e web

Aggiungi una riga finale che colleghi il codice al tuo dominio, nel formato @iltuodominio.com #123456. Su Android, Chrome rileva questa riga tramite la WebOTP API e propone la compilazione automatica nel form web. Le app Android possono recuperare il codice in automatico tramite la SMS Retriever API di Google, che utilizza un hash dell'app di 11 caratteri anziché il dominio. Su Safari per iOS, iPadOS e macOS, aggiungendo autocomplete="one-time-code" al campo di input, gli utenti possono inserire il codice direttamente dal suggerimento mostrato sopra la tastiera.

Esempio:
“123456 è il tuo codice di verifica per Acme.

@acme.com #123456"

Prelude Verify supporta entrambi i metodi tramite l'opzione app_realm: imposta la piattaforma su web per WebOTP o android per la SMS Retriever API, così gli utenti non dovranno copiare il codice manualmente.

3. Ottimizza la tua strategia di recapito

Affidarsi a un unico provider SMS crea un singolo punto di vulnerabilità (single point of failure). I provider possono subire interruzioni di servizio, gli operatori possono filtrare determinati profili mittente e le tariffe variano notevolmente in base all'area geografica e ai volumi. Il multi-routing risolve tutti e tre i problemi.

Come funziona il multi-routing 

Distribuire il traffico su più provider garantisce che, se una rotta non funziona, i messaggi vengano reindirizzati automaticamente tramite un'altra, senza ritardi per l'utente. Inoltre, i provider hanno punti di forza differenti a seconda dell'area geografica: chi vanta ottimi accordi con gli operatori europei potrebbe avere un recapito discontinuo in alcune parti del Sud-est asiatico. Indirizzare il traffico verso il provider più performante per ogni destinazione migliora contemporaneamente tassi di recapito e costi.

In pratica, un'azienda che invia OTP in Europa, America Latina e Sud-est asiatico potrebbe utilizzare il Provider A per il traffico europeo dove ha accordi diretti, e il Provider B per i mercati APAC dove l'instradamento locale è più efficiente. Nessuno dei due, da solo, coprirebbe entrambe le aree con gli stessi livelli di qualità e costo.

Il multi-routing non serve solo ad aumentare l'affidabilità: è una vera strategia di ottimizzazione dei costi. Il livello di instradamento di Prelude gestisce tutto questo in automatico, selezionando il percorso migliore per ciascuna destinazione in base ai dati di performance in tempo reale.

Per approfondire i fattori che incidono sul successo di invio, consulta la nostra guida ai tassi di recapito SMS.

Perché è fondamentale per la tua attività?

Una strategia di recapito ottimizzata non è solo una scelta tecnica. È il modo migliore per garantire ai tuoi utenti un'esperienza fluida, ovunque si trovino. Il multi-routing riduce i rischi legati a disservizi o problemi di rete, aiutandoti al contempo a rispettare il budget.

4. Utilizza più canali

L'SMS resta il canale predefinito per gli OTP, ma a seconda della posizione geografica dei tuoi utenti non è sempre il più affidabile o conveniente. Non tutti gli utenti hanno una copertura cellulare costante e l'affidabilità degli SMS varia da paese a paese.

I canali di messaggistica online come WhatsApp OTP, RCS, Telegram OTP o Viber offrono vantaggi concreti in determinati contesti:

• Costo. I prezzi dei canali cambiano in base al paese, quindi è consigliabile confrontare i costi per singola destinazione. In alcuni mercati WhatsApp o RCS costano meno degli SMS, in altri di più. Prelude mostra le tariffe per paese per ciascun canale, permettendoti di verificare i costi prima di scegliere una soluzione di fallback.

• Copertura. Nelle aree in cui la copertura di rete mobile è instabile, i canali basati su app registrano spesso tassi di recapito superiori rispetto agli SMS.

• Preferenze dell'utente. Nei mercati in cui WhatsApp è la principale app di messaggistica, come Brasile e India, gli utenti tendono a visualizzare e utilizzare un codice inviato su WhatsApp molto più rapidamente.

L'implementazione più efficace non consiste nello scegliere un canale a discapito di un altro, ma nell'impostare logiche di fallback automatiche: SMS come canale principale, con WhatsApp o chiamata vocale come riserva se la consegna dell'SMS fallisce. Prelude permette di instradare messaggi tramite SMS, WhatsApp, RCS, Telegram, Viber, Zalo, email e Silent Network Authentication con una sola chiamata API, con il canale vocale disponibile su attivazione e fallback automatico configurabile per ogni destinazione.

L'utilizzo di più canali amplia la copertura, riduce i costi e assicura una consegna tempestiva degli OTP, anche nei contesti più complessi. Diversificando i metodi di recapito, puoi offrire un'esperienza impeccabile a tutti gli utenti, a prescindere dalla loro posizione o dalle condizioni di rete.

5. Blocca le frodi prima che incidano sui costi

Quando i volumi crescono, la prevenzione delle frodi diventa imprescindibile. Due tipologie di attacco generano la maggior parte delle perdite legate alle frodi su OTP: l'SMS pumping e l'IRSF.

L'SMS pumping si verifica quando bot prendono di mira i tuoi endpoint OTP per innescare volumi elevati di messaggi verso numerazioni a tariffa maggiorata controllate o collegate ai truffatori. Ogni messaggio consegnato genera costi di terminazione; l'autore dell'attacco incassa una quota tramite accordi di revenue-sharing con operatori o aggregatori. L'attacco sembra traffico legittimo finché non arriva la fattura. Nel 2025, l'11,83% delle richieste di autenticazione analizzate da Prelude è risultato fraudolento (Prelude 2025 SMS Pumping Fraud Report).

L'IRSF (International Revenue Share Fraud) si basa su un modello economico analogo: i truffatori collaborano con operatori su intervalli di numerazione ad alta tariffazione o ne assumono il controllo, indirizzandovi il traffico OTP e trattenendo una percentuale sui costi di terminazione generati. Spesso l'IRSF non presenta comportamenti utente anomali evidenti, risultando particolarmente difficile da individuare tramite i normali sistemi di monitoraggio.

I segnali tipici da monitorare. Entrambi gli attacchi presentano schemi riconoscibili: picchi insoliti di traffico da determinati paesi o prefissi, tassi di completamento della verifica molto bassi a fronte di elevati volumi di invio, sessioni estremamente brevi e raffiche di richieste generate da infrastrutture automatizzate.

Una protezione efficace richiede il rilevamento preventivo (pre-send). Il rate limiting e il filtraggio geografico sono utili, ma da soli non bastano. I sistemi che valutano i segnali di frode solo dopo l'invio dell'OTP stanno già sostenendo costi prima che scatti il blocco.

Prelude Verify valuta ogni richiesta di verifica con modelli di machine learning basati su parametri quali indirizzo IP, ID del dispositivo e piattaforma, bloccando le richieste sospette prima ancora che il codice venga spedito. Per un'analisi più approfondita prima della registrazione o delle procedure KYC, l'API Watch esamina decine di indicatori, come lo storico di portabilità del numero, l'uso di proxy residenziali e i numeri usa e getta.

Per un quadro dettagliato sulle tipologie di frode e sulle strategie di rilevamento, consulta La guida completa alle frodi OTP e SMS Pumping: cos'è e come prevenirlo.

6. Scegli il provider OTP giusto

La qualità dell'implementazione è essenziale, ma i suoi effetti possono essere amplificati o vanificati dal provider scelto. Anche un messaggio perfettamente ottimizzato non renderà al meglio se instradato da un provider poco efficiente.

I criteri decisivi per i flussi OTP differiscono da quelli impiegati per scegliere una generica API SMS:

• Rilevamento delle frodi pre-invio. Le frodi vengono bloccate prima che il messaggio parta, o segnalate solo a costi già sostenuti?

• Dati analitici di conversione. È possibile visualizzare il costo per utente verificato e il tasso di conversione OTP per paese e canale, oltre al semplice stato di recapito?

• Fallback multicanale. La piattaforma effettua il passaggio automatico a WhatsApp o chiamata vocale se l'SMS non va a buon fine, o serve una seconda integrazione?

• Nessun ricarico sui costi degli operatori. Alcuni provider applicano un margine sulle tariffe degli operatori che incide pesantemente sui grandi volumi.

• API dedicata per la verifica. La piattaforma gestisce generazione, recapito e convalida del codice tramite un unico endpoint, o tocca al tuo team implementare questa logica?

Prelude è progettato espressamente attorno a questi cinque criteri: rilevamento preventivo delle frodi, metriche di conversione per paese, fallback multicanale automatico, zero ricarichi sulle tariffe degli operatori e un unico endpoint dedicato alla verifica.

Per un confronto approfondito tra provider specializzati in OTP valutati su questi requisiti, consulta la nostra guida ai migliori provider OTP.

Se devi ancora decidere se sviluppare internamente il tuo sistema OTP o affidarti a un fornitore, leggi la nostra guida build vs. buy per la verifica OTP.

7. Imposta finestre di scadenza e limiti di tentativi

La sicurezza degli OTP dipende in larga misura dal tempo di validità del codice e dal numero di tentativi concessi all'utente. Entrambe le scelte implicano un bilanciamento tra sicurezza e conversione.

Finestre di scadenza. Una durata tra i 5 e i 10 minuti rappresenta lo standard ideale per conciliare usabilità e sicurezza. Meno di 2 minuti crea troppe frizioni: il passaggio da un'app all'altra, una connessione lenta o una digitazione poco veloce possono far scadere un codice legittimo prima del suo inserimento. Oltre i 15 minuti, la finestra di esposizione diventa eccessiva in caso di intercettazione del codice.

Per operazioni finanziarie o modifiche sensibili all'account, è opportuno adottare intervalli più brevi (da 2 a 3 minuti). La scadenza dovrebbe essere sempre indicata nel messaggio o nell'interfaccia, così che l'utente sappia quanto tempo ha a disposizione. Una barra di avanzamento temporizzata o un conto alla rovescia nella schermata di verifica riduce nettamente gli errori.

Limiti di reinvio. Poni un tetto massimo alle richieste di nuovo invio per numero di telefono all'interno di un determinato arco temporale. Consentire tre reinvii in 10 minuti è un buon punto di partenza. Superata questa soglia, prevedere un tempo di attesa (cool-down) evita sia i tentativi compulsivi di utenti impazienti sia i test automatizzati dei bot. Informa chiaramente l'utente quando raggiunge il limite e tra quanto potrà riprovare.

Limiti di digitazione. Limita il numero di volte in cui un utente può provare a digitare un codice prima che la sessione sia invalidata. Lo standard varia tra tre e cinque tentativi per codice. Disattiva il codice non appena viene raggiunta la soglia: non permettere tentativi illimitati su un codice attivo.

Con Prelude Verify, la finestra di validità e il numero massimo di tentativi si configurano direttamente dalla dashboard, mentre le richieste per singolo numero telefonico sono sottoposte a rate limiting automatico.

8. Convalida i numeri di telefono prima dell'invio

Inviare un OTP a un numero non valido, non raggiungibile o VoIP comporta costi inutili e non fornisce alcuna indicazione sull'affidabilità dell'utente. La convalida preliminare del numero è una delle misure più semplici ed efficaci per limitare costi e frodi.

Cosa verificare. Come requisiti minimi: correttezza della formattazione E.164, tipologia mobile (escludendo linee fisse o VoIP) e stato di attività su una rete reale. Controlli più avanzati verificano l'operatore, la data dell'ultimo cambio SIM (SIM swap) e l'eventuale associazione del numero a schemi fraudolenti.

Perché i numeri VoIP sono a rischio frode. I numeri VoIP vengono impiegati massicciamente negli attacchi di SMS pumping poiché sono economici da creare su larga scala e possono essere associati a rotte con revenue sharing. Bloccare o segnalare i numeri VoIP in fase di convalida elimina gran parte del traffico fraudolento prima ancora che raggiunga il provider.

Come implementare la convalida. La maggior parte dei provider OTP e delle API di number intelligence mette a disposizione un endpoint di lookup che restituisce tipo di numerazione, operatore, paese e stato di attività. Il costo di questa verifica preliminare è in genere una frazione rispetto a quello di un SMS non consegnato. La Intel Lookup API di Prelude individua operatore, tipo di linea e stato di portabilità prima dell'invio.

9. Applica il rate limiting a livello applicativo

I controlli antifrode lato provider sono indispensabili, ma rappresentano l'ultima linea difensiva. Applicare il rate limiting a livello applicativo, prima che la richiesta raggiunga il provider OTP, riduce l'esposizione alle frodi e protegge da errori di configurazione o eventuali lacune esterne.

Cosa sottoporre a rate limiting:

• Per numero di telefono: limita le richieste di OTP a un numero fisso all'interno di una finestra temporale scorrevole (ad es. 5 richieste all'ora per numero).

• Per indirizzo IP: segnala o blocca gli IP che generano volumi anomali di richieste.

• Per sessione utente: limita i tentativi all'interno del singolo flusso di autenticazione.

• Per impronta del dispositivo (device fingerprint): nelle app mobile, il rate limiting sul dispositivo permette di individuare i bot che alternano numeri di telefono diversi.

Attrito progressivo. Per gli utenti che raggiungono le soglie limite, introduci passaggi graduali prima del blocco definitivo: un test CAPTCHA, un breve ritardo o un'autenticazione rafforzata. In questo modo tuteli gli utenti reali che hanno raggiunto il limite per sbaglio, rendendo al contempo gli attacchi automatizzati molto più onerosi.

Monitoraggio. Tieni traccia dei blocchi da rate limiting e analizzali costantemente. Un aumento improvviso di eventi da un paese specifico, da un prefisso operatore o da un intervallo di IP è spesso il primo campanello d'allarme di una campagna fraudolenta in corso.

Prelude Verify applica automaticamente il rate limiting per numero di telefono e integra indicatori basati su IP e dispositivo nel suo punteggio di rischio antifrode.

10. Valuta la Silent Network Authentication per le app mobile

Per le app mobile, la Silent Network Authentication (SNA) garantisce un'esperienza di verifica nettamente superiore rispetto ai codici OTP tradizionali. Inoltre, azzera un'intera categoria di rischi di frode.

Come funziona: anziché inviare un codice che l'utente deve digitare, la tecnologia SNA convalida il numero in background, verificando che il dispositivo che invia la richiesta sia autenticato sulla rete cellulare associata al numero fornito. L'operatore conferma o nega la corrispondenza direttamente, senza alcun passaggio richiesto all'utente.

I vantaggi: eliminare la digitazione del codice rimuove la principale causa di insuccesso al primo tentativo. Non essendoci codici, si escludono rischi di intercettazione o phishing, sebbene la sola SNA non protegga dal SIM swapping.

Quando utilizzarla: la SNA dà il meglio di sé come canale principale per le app mobile quando l'utente naviga su rete dati cellulare. Per chi è connesso tramite Wi-Fi o si trova in mercati con supporto SNA limitato da parte degli operatori, impostare un fallback su SMS o WhatsApp garantisce una copertura totale. L'approccio ideale consiste nel tentare prima la verifica SNA e passare all'SMS qualora il controllo tramite operatore non vada a buon fine.

Prelude gestisce l'instradamento SNA insieme a SMS, WhatsApp, RCS, Telegram, Viber, Zalo, email e canale vocale (previa attivazione) tramite un'unica chiamata API. Per ulteriori informazioni sulla scelta del canale più adatto al tuo caso d'uso, consulta la nostra guida completa agli SMS OTP.

Vuoi ottimizzare i tuoi flussi di verifica? L'API Verify di Prelude gestisce instradamento, rilevamento delle frodi e fallback multicanale con una sola integrazione. Scopri come funziona o inizia gratis.