Presentazione di Prelude Auth: cos'è l'autenticazione e come la stiamo ripensando

Cos'è l'autenticazione, in parole povere?

L'autenticazione risponde ripetutamente a un'unica domanda: questa persona è la stessa che era qui prima?

È facile confondere l'autenticazione con la verifica, perché di solito avvengono a pochi minuti di distanza e l'utente le vive come un unico flusso continuo. Tuttavia, risolvono problemi diversi, con tempistiche differenti: 

• La Verification avviene una sola volta, di solito al momento della registrazione. Conferma che un'informazione, come un numero di telefono, un'email o un documento, sia reale e appartenga alla persona che la sta fornendo.

• L'autenticazione avviene ogni volta successiva. Conferma che chiunque sia attualmente nella sessione sia la stessa persona che ha effettuato la verifica iniziale.

La Verification è un controllo unico all'ingresso. L'autenticazione è una domanda costante, riproposta a ogni login, a ogni azione sensibile, a ogni visita successiva. Un'app bancaria non verifica il tuo numero di telefono ogni volta che controlli il saldo, ma ti autentica ogni volta che apri l'applicazione.

La maggior parte dei metodi di autenticazione rientra in tre categorie: qualcosa che sai (una password), qualcosa che hai (un telefono, una chiave di sicurezza) o qualcosa che sei (un'impronta digitale, il riconoscimento facciale). I moderni sistemi di auth di solito combinano almeno due di questi fattori — l'autenticazione a più fattori — perché un singolo fattore è a un solo database violato di distanza dal diventare inutile.

Questo aspetto è ormai ben chiaro. Ciò che lo è meno, e che spesso crea problemi in produzione, è quello che succede tra la verifica e l'autenticazione, e quello che succede dopo il primo login.

Dove la maggior parte dei sistemi di auth presenta punti ciechi

Se hai già creato o acquistato sistemi di autenticazione in passato, questo scenario ti suonerà familiare. Una tipica architettura si presenta così: un provider di verifica gestisce gli OTP, un fornitore di soluzioni antifrode valuta il rischio separatamente, un provider di identità gestisce le sessioni di login e un SDK per il fingerprinting dei dispositivi si sovrappone a tutto, per lo più scollegato dagli altri tre. 

Ogni componente fa il suo lavoro. Nessuno di loro comunica con gli altri. Questo crea tre punti ciechi ben precisi:

Le sessioni vivono in isolamento. Un utente verifica il proprio numero di telefono, conferma un dispositivo e supera un controllo antifrode durante la registrazione. Poi effettua il login e la sessione creata non sa nulla di tutto ciò. Tutti quei segnali, raccolti pochi secondi prima, svaniscono nel momento stesso in cui inizia l'autenticazione.

Il rilevamento delle frodi avviene troppo tardi. La valutazione del rischio è solitamente un livello separato, che non ha visibilità su ciò che è accaduto durante l'onboarding e la verifica del telefono. Un utente che sembrava rischioso al momento della registrazione può accedere liberamente in seguito, perché nulla ha trasmesso quel punteggio di rischio.

L'AI non trova risposte nei sistemi di auth tradizionali. La maggior parte dei sistemi di autenticazione è stata progettata partendo da un presupposto semplice: ogni sessione appartiene a un essere umano. Questo presupposto è ormai superato. 

I dati di Cloudflare Radar, condivisi dal CEO Matthew Prince nel giugno 2026, hanno mostrato che le richieste automatizzate rappresentavano il 57,5% del traffico HTTP verso contenuti HTML, a fronte del 42,5% proveniente da esseri umani. Per la prima volta nella storia di internet, i bot hanno superato le persone online, con circa diciotto mesi di anticipo rispetto alle previsioni di Cloudflare. I sistemi di auth tradizionali non hanno meccanismi per distinguere un agente legittimo da uno dannoso, perché non sono mai stati progettati per porsi questa domanda.

Non si tratta di un problema ipotetico. Il dirottamento delle sessioni (session hijacking), in particolare, è diventato il metodo preferito per aggirare le difese di login tradizionali: lo SpyCloud's 2026 Identity Exposure Report ha registrato 8,6 miliardi di cookie di sessione e credenziali rubate recuperati dal mercato nero in un solo anno, ed entro luglio 2026 l'azienda ha superato i mille miliardi di asset di identità totali recuperati, indicando i dati di sessione rubati come il bersaglio principale degli aggressori, superando persino le password. Un cookie di sessione rubato salta completamente il modulo di login. E nessuno dei punti ciechi menzionati sopra è attrezzato per accorgersene.

Perché abbiamo creato Prelude Auth

Il prodotto Prelude non è iniziato con l'autenticazione. Prelude è nato come un'API di verifica telefonica per instradare, consegnare e valutare gli OTP per aziende come BeReal, Sunday, Suno e Voodoo. 

Da lì, la lacuna è apparsa evidente: la maggior parte delle aziende non ha un solo strumento con un punto cieco, ne ha tre. Di solito si tratta di: uno strumento di verifica, uno strumento antifrode e uno strumento di auth, e nessuno di essi comunica con gli altri. L'autenticazione era il tassello mancante: l'elemento che decide se una sessione di ritorno è attendibile, utilizzando gli stessi segnali già raccolti al momento della registrazione.

Questo è il problema che Prelude Auth risolve. 

Non si tratta di un gestore di sessioni aggiunto a posteriori alla nostra API di verifica. È integrato nello stesso grafico dei segnali. L'ID del dispositivo, il fingerprint di rete e il punteggio di frode generati durante la verifica telefonica confluiscono direttamente in ogni decisione di autenticazione, in ogni trigger di step-up e in ogni successivo punteggio di attendibilità della sessione. La domanda smette di essere "questo numero di telefono è valido?" alla registrazione e "questa password è valida?" al login, posta da due sistemi che non si scambiano mai informazioni. Diventa un'unica domanda continua, a cui risponde una sola piattaforma: questo utente è reale e attendibile?

Cosa fa concretamente Prelude Auth

Prelude Auth è un'API di autenticazione completa: gestione degli utenti, login multi-metodo, tracciamento delle sessioni e gestione dei profili, tutto attraverso un'unica interfaccia REST.

Tutti i metodi di login che i tuoi utenti si aspettano. Accesso tramite OTP via SMS o email, email e password con regole configurabili, e login social tramite Google, Apple, Microsoft, GitHub e Okta. Il protocollo SSO su SAML è pronto fin dal primo giorno, così la chiusura di un accordo aziendale non richiederà la creazione da zero di un'infrastruttura di auth.

Segnali che durano nel tempo, non solo al login. Gli OTP via SMS ed email trasmettono i segnali dell'API Verify direttamente nella sessione. Ogni altro metodo di login alimenta lo stesso grafico di attendibilità del dispositivo, così un utente che si è verificato una volta tramite OTP non deve ripetere la verifica per cambiare password. Auth traccia lo stato di verifica per sessione e lo porta con sé in qualsiasi azione successiva.

Autenticazione step-up, alle tue condizioni. Per azioni sensibili come pagamenti, modifiche della password o esportazioni di dati, Auth richiama un webhook sul tuo backend fornendo il contesto completo, e sarai tu a decidere cosa fare dopo. Combina liberamente diversi tipi di passaggi: verify_sms, verify_email, biometric_check, kyc_review, document_scan, security_question.

Rilevamento di bot e agenti all'edge. Il fingerprinting di rete identifica i client prima ancora che entrino nel flusso di auth, che si tratti di un browser, di un'app mobile o di un agente AI. La correlazione dell'ID del dispositivo blocca gli account sintetici e gli attacchi automatizzati senza aggiungere attriti per gli utenti reali. Questo è ancora più importante se si considera la diffusione delle passkey in tutto il settore: il report State of Passkeys 2026 della FIDO Alliance stima l'adozione globale delle passkey a circa 5 miliardi in uso attivo, con una consapevolezza dei consumatori al 90% e il 68% delle aziende che ora implementano o stanno attivamente introducendo le passkey per l'accesso dei dipendenti. Con il tramonto delle password, il segnale cruciale si sposta da ciò che l'utente sa al dispositivo e alla sessione da cui sta effettivamente operando, ed è proprio per rispondere a questo che è stata creata la correlazione dei dispositivi.

Sicurezza garantita a livello di protocollo. Ogni sessione utilizza token DPoP RFC 9449 basati su prove di possesso associati alla coppia di chiavi del client, con revoca automatica su tutte le sessioni in caso di riutilizzo del token. Ogni login social passa attraverso PKCE, quindi un token rubato è inutile senza un verifikator che non lascia mai il browser.

Progettato per migrare facilmente, senza compromessi. REST pulito, JWT standard e SDK per iOS, Android e React Native che seguono pattern familiari. Importa gli utenti esistenti e i campi personalizzati tramite la Management API, senza forzare una nuova autenticazione. Un intero flusso di auth — avvia OTP, verifica OTP, ottieni sessione — richiede meno di 15 righe di codice.

E alla base di tutto: certificazioni SOC 2 Type II e ISO 27001, dati crittografati a riposo e in transito, hosting nell'UE, senza che vengano mai venduti o condivisi.

Perché i team stanno cambiando

I team che scelgono Prelude Auth di solito non cercano una singola funzionalità. Stanno consolidando: sostituiscono un provider di verifica, un fornitore di soluzioni antifrode e un provider di identità con un'unica piattaforma che condivide un grafico dei segnali, invece di tre che non comunicano tra loro. 

I clienti hanno risparmiato oltre il 50% rispetto al loro provider precedente pagando solo per le funzionalità che utilizzano effettivamente. Anche il resto dei vantaggi si nota rapidamente: i dispositivi attendibili che ritornano saltano del tutto la seconda verifica, i numeri usa e getta e i pattern di frode noti vengono bloccati prima di raggiungere il prodotto, e c'è un'unica integrazione da mantenere anziché tre.

Da dove iniziare

Se utilizzi già Prelude Verify, Auth è il naturale livello successivo, integrato sugli stessi segnali che stai già raccogliendo. Se stai partendo da zero, Auth, Verify e Notify funzionano come un'unica piattaforma, un'unica fattura e un unico profilo di attendibilità per utente.

Leggi la documentazione completa per consultare la guida all'integrazione, oppure inizia gratuitamente per provarlo direttamente sul tuo flusso di registrazione.