Come usare WhatsApp OTP per login e verifica
Migliora la sicurezza degli accessi, previeni le frodi e riduci i costi utilizzando WhatsApp per la consegna degli OTP
Nam Hing Chau
Content & SEO Manager
Riepilogo
WhatsApp OTP recapita i codici di verifica tramite WhatsApp invece degli SMS, offrendo tassi di recapito più elevati, un'interfaccia familiare e costi inferiori in regioni come l'India, dove gli SMS sono costosi o inaffidabili. L'articolo illustra anche l'implementazione e distingue i miti dalla realtà riguardo ai bot OTP illimitati e alle affermazioni sulla sicurezza della crittografia end-to-end.
WhatsApp OTP sfrutta le API di WhatsApp Business per recapitare password monouso agli utenti tramite WhatsApp invece che via SMS. L'obiettivo della verifica è identico: confermare un numero di telefono durante il login, la registrazione o un'azione sensibile. Tuttavia, i meccanismi di recapito, i requisiti di conformità e i controlli di sicurezza differiscono notevolmente rispetto agli SMS.
Questa guida rappresenta un punto di riferimento tecnico per sviluppatori e team di prodotto che desiderano integrare WhatsApp OTP nei propri sistemi. Approfondisce il funzionamento del flusso dietro le quinte, i requisiti di configurazione, gli standard di conformità, le misure di sicurezza e la gestione dell'instradamento di fallback.
Se stai ancora valutando se WhatsApp OTP sia il canale adatto per il tuo prodotto, inizia consultando la nostra guida su come e perché inviare OTP via WhatsApp. Per una panoramica più ampia sulla scelta dei canali di verifica, scopri la nostra guida ai migliori provider OTP.
WhatsApp OTP vs SMS OTP: un confronto diretto
WhatsApp OTP | SMS OTP | |
Infrastruttura di recapito | Dati Internet (Wi-Fi o rete mobile) | Rete degli operatori telefonici |
Rischio di filtri dell'operatore | Nessuno | Elevato in alcuni mercati |
Crittografia end-to-end | Sì | No |
Velocità di recapito | Meno di 2 secondi (tipico) | 5-30 secondi; può fallire del tutto |
Costi | Tariffe basate sulla categoria, non sulla destinazione; più convenienti sui mercati internazionali | Più elevati, specialmente per le destinazioni internazionali |
Obbligo di template | Obbligatorio (approvazione Meta) | No |
Consenso (opt-in) dell'utente richiesto | Sì | No (per messaggi transazionali) |
Funzionamento senza segnale cellulare | Sì (solo Wi-Fi) | No |
Vulnerabilità a SIM swap | No | Sì |
Mercati ideali | India, Brasile, Indonesia, America Latina, Europa occidentale | Fallback globale, Nord America, mercati a bassa penetrazione di WhatsApp |
Come funziona WhatsApp OTP
A livello strutturale, il flusso di verifica è molto simile a quello degli SMS OTP, ma presenta tre differenze fondamentali: WhatsApp richiede la verifica della registrazione del numero prima dell'invio, tutti i messaggi devono utilizzare template pre-approvati ed è indispensabile l'opt-in esplicito da parte dell'utente.
Fase 1: Inserimento del numero di telefono L'utente inserisce il proprio numero di telefono. Il backend controlla tramite API se il numero è attivo su WhatsApp. Se non risulta registrato, l'API restituisce un callback di mancata consegna e il sistema attiva automaticamente il fallback verso gli SMS.
Fase 2: Generazione dell'OTP Il backend genera un codice a 6 cifre e lo memorizza temporaneamente associandovi un timestamp di scadenza. Di norma la validità è compresa tra 5 e 10 minuti, con finestre più brevi per operazioni finanziarie ad alto rischio.
Fase 3: Invio del messaggio tramite template L'OTP viene inviato tramite le Cloud API di WhatsApp impiegando un template di messaggio preventivamente approvato. Il template ha una struttura fissa: il codice viene inserito come variabile dinamica al momento della spedizione. Un classico template OTP segue questo schema:
"Il tuo codice di verifica è {{1}}. Scade tra 5 minuti. Non condividerlo con nessuno."
Fase 4: Ricezione e inserimento del codice In condizioni normali, l'utente riceve il messaggio nella chat di WhatsApp entro uno o due secondi. Può quindi copiare il codice nell'app o cliccare su un deep link, se configurato.
Fase 5: Validazione Il backend confronta il codice inserito con quello archiviato, si assicura che non sia scaduto e verifica che il numero di tentativi rientri nella soglia consentita. Se la verifica ha esito positivo, la sessione viene aperta regolarmente.
Requisiti tecnici
Per inviare codici WhatsApp OTP, hai bisogno di:
Un account Meta Business verificato
Un numero di telefono WhatsApp Business registrato su Meta
Almeno un template di messaggio approvato che contenga la variabile per l'OTP
Accesso alle Cloud API di WhatsApp (direttamente tramite Meta oppure attraverso un provider come Prelude)
Un backend sicuro per gestire generazione, memorizzazione, scadenza e convalida del codice
Il processo di approvazione dei template da parte di Meta richiede di solito tra le 24 e le 48 ore al primo invio. I modelli dedicati all'autenticazione ricevono l'approvazione più rapidamente rispetto a quelli di marketing. Una volta approvato, il template può essere utilizzato a tempo indeterminato, a meno che non vengano apportate modifiche al testo.
Affidarsi a un provider come Prelude semplifica notevolmente questo percorso. In quanto Meta Business Solution Provider (BSP), Prelude gestisce WhatsApp come canale nativo anziché come integrazione di terze parti.
La Verify API supervisiona l'intero ciclo di vita della verifica: dall'avvio della sessione e l'inoltro del messaggio, fino alla gestione dei tentativi successivi, al controllo di validità del codice e alla restituzione del risultato, integrando una selezione automatica dei canali e un instradamento di fallback tra più di 30 provider. I clienti collegano direttamente il proprio account WhatsApp Business a Prelude tramite la procedura di Embedded Signup di Meta, consentendo l'invio dei messaggi da un numero con il proprio brand. Prelude supporta inoltre la messaggistica bidirezionale su WhatsApp, permettendo all'applicazione di ricevere e gestire risposte in entrata all'interno della finestra di conversazione di 24 ore.
Requisiti di conformità per WhatsApp OTP
Per il recapito di OTP, WhatsApp adotta normative di conformità più rigide rispetto a quelle degli SMS. Tali requisiti sono vincolanti e il mancato rispetto può portare alla sospensione dell'account.
Consenso esplicito dell'utente. Prima di inviare qualsiasi messaggio WhatsApp, inclusi gli OTP transazionali, è obbligatorio ottenere l'opt-in. Il consenso deve essere chiaro e contestualizzato: l'utente deve essere consapevole che sta accettando di ricevere comunicazioni su WhatsApp dalla tua azienda. Una casella preselezionata in fase di registrazione non è sufficiente; l'azione deve essere volontaria e inequivocabile.
Solo template approvati. Tutti i messaggi in uscita devono conformarsi a modelli preventivamente autorizzati. Al di fuori delle finestre dedicate al supporto clienti in tempo reale, non è consentito l'invio di testo libero. Ciascun template OTP deve essere esaminato e approvato da Meta prima dell'uso effettivo.
Limiti di frequenza (rate limit). WhatsApp applica restrizioni sul volume di invio per numero e per account. Superare tali soglie comporta il rischio di limitazioni di banda o sospensioni temporanee. Sebbene per la maggior parte dei prodotti i limiti consentiti superino ampiamente i normali volumi di OTP, è opportuno conoscerli a fondo prima di passare a volumi di scala.
Linee guida sui contenuti del template. I modelli per OTP devono mantenere un tono neutro e transazionale, senza alcun richiamo promozionale. Il testo deve contenere esclusivamente il codice, l'indicazione dei tempi di scadenza e la raccomandazione a non condividerlo. Niente di più.
Controlli di sicurezza e limitazione della frequenza
I requisiti previsti da WhatsApp e le best practice di sicurezza per gli OTP coincidono ampiamente. Entrambi gli ambiti richiedono le medesime misure di controllo.
Scadenza del codice: imposta una scadenza tra 5 e 10 minuti. Per transazioni bancarie o procedure di recupero account, una finestra di 2-3 minuti è più indicata. Inserisci sempre la durata di validità nel messaggio, così l'utente saprà perché il codice ha smesso di funzionare.
Tentativi massimi consentiti: limita i tentativi errati di inserimento a un massimo di 3-5 per codice, invalidandolo subito una volta raggiunta la soglia. Evita di consentire tentativi illimitati su un codice attivo.
Limitazione delle richieste di rinvio: definisci un tempo minimo di attesa tra due richieste consecutive (30-60 secondi è la prassi). Fissa un tetto massimo di OTP inviabili allo stesso utente in un'ora (5 è un valore consigliato). Questa misura previene abusi e protegge dai limiti di invio imposti da WhatsApp sull'account.
Verifica preventiva del numero: controlla che il numero sia abilitato su WhatsApp prima di far partire l'invio. Questo passaggio azzera i costi dei messaggi non recapitabili e funge da utile indicatore preventivo contro le frodi, poiché i numeri VoIP o generati in massa spesso non dispongono di un account WhatsApp associato.
Per un'analisi dettagliata di tutte le misure di sicurezza legate agli OTP su ciascun canale, consulta la nostra guida alle best practice per OTP.
Quando scegliere WhatsApp OTP
WhatsApp OTP non è un sostituto universale degli SMS. Il modello più adatto dipende dall'area geografica degli utenti e dal contesto operativo.
Usa WhatsApp OTP quando: | Usa SMS OTP quando: |
Gli utenti si trovano in India, Brasile, Indonesia, America Latina o Europa occidentale | Gli utenti si trovano in Nord America o in mercati con scarsa diffusione di WhatsApp |
Il tasso di recapito degli SMS è inferiore al 90% in un determinato mercato | Non è stato ancora raccolto l'opt-in a WhatsApp dagli utenti attuali |
I costi degli SMS internazionali incidono sensibilmente sui tuoi volumi di spesa | Gli utenti si trovano in aree con connettività dati debole ma con rete cellulare stabile |
Desideri disporre della crittografia end-to-end come standard | I quadri normativi locali prescrivono espressamente l'uso degli SMS per la tua attività |
WhatsApp è il canale primario di comunicazione per i tuoi utenti | La tua utenza opera in ambiti dove l'SMS rimane lo standard di riferimento (B2B, enterprise) |
Scegli WhatsApp come canale primario se: la maggioranza dei tuoi utenti risiede in paesi con altissima penetrazione di WhatsApp, come India, Brasile, Indonesia, Messico o gran parte dell'Europa occidentale. Se in un dato paese la percentuale di recapito via SMS scende sotto il 90%, WhatsApp dovrebbe diventare la tua scelta di elezione per quell'area.
Scegli WhatsApp come canale di fallback se: utilizzi l'SMS come canale principale e hai bisogno di un sistema automatico di recupero in caso di mancata consegna. Un instradamento alternativo ben impostato abbatte i fallimenti nei processi di verifica senza costringerti a implementare WhatsApp da zero come canale principale. Prelude gestisce questi passaggi in totale autonomia: se l'invio via SMS fallisce, la richiesta viene deviata su WhatsApp senza interventi sul codice.
Mantieni l'SMS come primario se: operi in mercati dotati di un'eccellente copertura SMS e un uso più contenuto di WhatsApp, oppure se raccogliere il consenso per WhatsApp rischia di appesantire il flusso di registrazione. Le piattaforme B2B e i servizi enterprise si trovano frequentemente in questa situazione.
Non utilizzare WhatsApp OTP se: non disponi del consenso esplicito degli utenti. L'invio di OTP su WhatsApp senza opt-in viola i requisiti di conformità e può comportare la sospensione dell'account. Se gli utenti già registrati non hanno approvato la ricezione di messaggi WhatsApp, non è consentito contattarli su questo canale retroattivamente.
Architettura di fallback
Nessun canale garantisce una percentuale di recapito del 100% in tutti i contesti geografici. Un'architettura OTP affidabile si basa su meccanismi automatici di fallback capaci di recuperare le verifiche non andate a buon fine senza richiedere azioni all'utente.
Ecco la tipica sequenza di instradamento di Prelude per i mercati in cui WhatsApp è il canale principale:
Tentativo con WhatsApp OTP: recapito immediato per gli utenti con account WhatsApp attivo
In caso di mancato recapito, fallback su SMS: copre gli utenti non registrati su WhatsApp
Se l'SMS fallisce, fallback su chiamata vocale: raggiunge gli utenti in aree in cui la ricezione degli SMS è incerta
Per i mercati dove l'SMS è invece il canale primario:
Tentativo con SMS OTP
In caso di errore o timeout nel recapito, fallback su WhatsApp
Se WhatsApp non va a buon fine, fallback su chiamata vocale
La decisione di deviare il traffico viene presa a livello di routing, non nel codice della tua applicazione. La Verify API di Prelude governa la selezione del canale e le logiche di fallback in maniera automatizzata, valutando paese di destinazione, segnali di recapito e preferenze configurate. Non occorre scrivere codice supplementare per gestire l'instradamento: la logica è integrata direttamente nell'infrastruttura di instradamento.
Per approfondire le architetture di fallback multicanale, leggi la nostra guida sui tassi di recapito degli SMS.
Passi successivi
La Verify API di Prelude presidia ogni fase della verifica su WhatsApp, SMS, RCS e Silent Network Authentication, offrendo selezione automatica del canale, instradamento di fallback tra più di 30 provider, prevenzione delle frodi e strumenti integrati di analisi del recapito. Chi sceglie questa soluzione riscontra in media una crescita delle conversioni del 20-30% e una riduzione dei costi mensili tra il 30% e il 40%. Scopri come funziona o inizia gratuitamente.
Approfondimenti consigliati:
Perché e come inviare OTP su WhatsApp, se stai ancora decidendo se implementarlo per il tuo prodotto
Domande frequenti (FAQ)
È possibile automatizzare l'invio di OTP su WhatsApp?
Certamente, ed è la scelta consigliata. L'obiettivo primario delle API di WhatsApp Business è proprio abilitare l'invio e la verifica su larga scala di OTP in modo programmatico. Detto questo, "automatizzato" non significa "privo di regole": occorre sempre rispettare le policy di WhatsApp relative ai modelli approvati e all'opt-in degli utenti.
Cosa succede se un utente non ha WhatsApp?
È buona norma verificare in anticipo se il numero è attivo su WhatsApp prima di spedire il codice. In caso negativo, attiva un fallback su SMS o su un altro canale. I migliori provider gestiscono questa logica in automatico, evitandoti di dover sviluppare soluzioni su misura.
Si possono inviare OTP senza un template preventivamente approvato?
No. WhatsApp non ammette messaggi in uscita a testo libero al di fuori delle sessioni di assistenza ai clienti. Qualsiasi messaggio contenente un OTP deve basarsi su un modello approvato da Meta. L'iter di convalida per un nuovo template dura in genere tra le 24 e le 48 ore.
È possibile usare lo stesso messaggio OTP per tutti gli utenti?
Sì, a patto di impiegare un template già validato. WhatsApp non permette l'invio di messaggi con testo libero a meno che non sia aperta una finestra di conversazione per il supporto clienti. Il testo dell'OTP deve quindi avere una struttura standardizzata, in cui i dati dinamici (come {{1}}) vengono popolati al momento della trasmissione.
WhatsApp OTP è più economico degli SMS?
In molti mercati sì. I costi per i messaggi di autenticazione su WhatsApp dipendono dalla tipologia di messaggio e non dal paese di arrivo. Questo elimina i costi aggiuntivi dei gestori telefonici che rendono gli SMS particolarmente cari in nazioni come India, Brasile, Francia e Germania. Su volumi significativi, il risparmio può essere notevole.
Come comportarsi con gli utenti che non scelgono di ricevere messaggi su WhatsApp?
Imposta l'SMS come opzione predefinita e proponi WhatsApp come alternativa durante l'onboarding. Chi rilascia l'opt-in potrà ricevere l'OTP via WhatsApp; per gli altri si utilizzerà l'SMS. Evita categoricamente l'invio di codici via WhatsApp a utenti che non abbiano dato un consenso esplicito.
Quanto richiede l'approvazione di un template da parte di Meta?
In genere servono dalle 24 alle 48 ore per la prima richiesta. I template finalizzati all'autenticazione tendono a essere autorizzati con tempi più rapidi rispetto a quelli promozionali. Una volta ottenuto il via libera, non sono necessarie ulteriori approvazioni a meno di modifiche ai contenuti.
WhatsApp OTP sfrutta le API di WhatsApp Business per recapitare password monouso agli utenti tramite WhatsApp invece che via SMS. L'obiettivo della verifica è identico: confermare un numero di telefono durante il login, la registrazione o un'azione sensibile. Tuttavia, i meccanismi di recapito, i requisiti di conformità e i controlli di sicurezza differiscono notevolmente rispetto agli SMS.
Questa guida rappresenta un punto di riferimento tecnico per sviluppatori e team di prodotto che desiderano integrare WhatsApp OTP nei propri sistemi. Approfondisce il funzionamento del flusso dietro le quinte, i requisiti di configurazione, gli standard di conformità, le misure di sicurezza e la gestione dell'instradamento di fallback.
Se stai ancora valutando se WhatsApp OTP sia il canale adatto per il tuo prodotto, inizia consultando la nostra guida su come e perché inviare OTP via WhatsApp. Per una panoramica più ampia sulla scelta dei canali di verifica, scopri la nostra guida ai migliori provider OTP.
WhatsApp OTP vs SMS OTP: un confronto diretto
WhatsApp OTP | SMS OTP | |
Infrastruttura di recapito | Dati Internet (Wi-Fi o rete mobile) | Rete degli operatori telefonici |
Rischio di filtri dell'operatore | Nessuno | Elevato in alcuni mercati |
Crittografia end-to-end | Sì | No |
Velocità di recapito | Meno di 2 secondi (tipico) | 5-30 secondi; può fallire del tutto |
Costi | Tariffe basate sulla categoria, non sulla destinazione; più convenienti sui mercati internazionali | Più elevati, specialmente per le destinazioni internazionali |
Obbligo di template | Obbligatorio (approvazione Meta) | No |
Consenso (opt-in) dell'utente richiesto | Sì | No (per messaggi transazionali) |
Funzionamento senza segnale cellulare | Sì (solo Wi-Fi) | No |
Vulnerabilità a SIM swap | No | Sì |
Mercati ideali | India, Brasile, Indonesia, America Latina, Europa occidentale | Fallback globale, Nord America, mercati a bassa penetrazione di WhatsApp |
Come funziona WhatsApp OTP
A livello strutturale, il flusso di verifica è molto simile a quello degli SMS OTP, ma presenta tre differenze fondamentali: WhatsApp richiede la verifica della registrazione del numero prima dell'invio, tutti i messaggi devono utilizzare template pre-approvati ed è indispensabile l'opt-in esplicito da parte dell'utente.
Fase 1: Inserimento del numero di telefono L'utente inserisce il proprio numero di telefono. Il backend controlla tramite API se il numero è attivo su WhatsApp. Se non risulta registrato, l'API restituisce un callback di mancata consegna e il sistema attiva automaticamente il fallback verso gli SMS.
Fase 2: Generazione dell'OTP Il backend genera un codice a 6 cifre e lo memorizza temporaneamente associandovi un timestamp di scadenza. Di norma la validità è compresa tra 5 e 10 minuti, con finestre più brevi per operazioni finanziarie ad alto rischio.
Fase 3: Invio del messaggio tramite template L'OTP viene inviato tramite le Cloud API di WhatsApp impiegando un template di messaggio preventivamente approvato. Il template ha una struttura fissa: il codice viene inserito come variabile dinamica al momento della spedizione. Un classico template OTP segue questo schema:
"Il tuo codice di verifica è {{1}}. Scade tra 5 minuti. Non condividerlo con nessuno."
Fase 4: Ricezione e inserimento del codice In condizioni normali, l'utente riceve il messaggio nella chat di WhatsApp entro uno o due secondi. Può quindi copiare il codice nell'app o cliccare su un deep link, se configurato.
Fase 5: Validazione Il backend confronta il codice inserito con quello archiviato, si assicura che non sia scaduto e verifica che il numero di tentativi rientri nella soglia consentita. Se la verifica ha esito positivo, la sessione viene aperta regolarmente.
Requisiti tecnici
Per inviare codici WhatsApp OTP, hai bisogno di:
Un account Meta Business verificato
Un numero di telefono WhatsApp Business registrato su Meta
Almeno un template di messaggio approvato che contenga la variabile per l'OTP
Accesso alle Cloud API di WhatsApp (direttamente tramite Meta oppure attraverso un provider come Prelude)
Un backend sicuro per gestire generazione, memorizzazione, scadenza e convalida del codice
Il processo di approvazione dei template da parte di Meta richiede di solito tra le 24 e le 48 ore al primo invio. I modelli dedicati all'autenticazione ricevono l'approvazione più rapidamente rispetto a quelli di marketing. Una volta approvato, il template può essere utilizzato a tempo indeterminato, a meno che non vengano apportate modifiche al testo.
Affidarsi a un provider come Prelude semplifica notevolmente questo percorso. In quanto Meta Business Solution Provider (BSP), Prelude gestisce WhatsApp come canale nativo anziché come integrazione di terze parti.
La Verify API supervisiona l'intero ciclo di vita della verifica: dall'avvio della sessione e l'inoltro del messaggio, fino alla gestione dei tentativi successivi, al controllo di validità del codice e alla restituzione del risultato, integrando una selezione automatica dei canali e un instradamento di fallback tra più di 30 provider. I clienti collegano direttamente il proprio account WhatsApp Business a Prelude tramite la procedura di Embedded Signup di Meta, consentendo l'invio dei messaggi da un numero con il proprio brand. Prelude supporta inoltre la messaggistica bidirezionale su WhatsApp, permettendo all'applicazione di ricevere e gestire risposte in entrata all'interno della finestra di conversazione di 24 ore.
Requisiti di conformità per WhatsApp OTP
Per il recapito di OTP, WhatsApp adotta normative di conformità più rigide rispetto a quelle degli SMS. Tali requisiti sono vincolanti e il mancato rispetto può portare alla sospensione dell'account.
Consenso esplicito dell'utente. Prima di inviare qualsiasi messaggio WhatsApp, inclusi gli OTP transazionali, è obbligatorio ottenere l'opt-in. Il consenso deve essere chiaro e contestualizzato: l'utente deve essere consapevole che sta accettando di ricevere comunicazioni su WhatsApp dalla tua azienda. Una casella preselezionata in fase di registrazione non è sufficiente; l'azione deve essere volontaria e inequivocabile.
Solo template approvati. Tutti i messaggi in uscita devono conformarsi a modelli preventivamente autorizzati. Al di fuori delle finestre dedicate al supporto clienti in tempo reale, non è consentito l'invio di testo libero. Ciascun template OTP deve essere esaminato e approvato da Meta prima dell'uso effettivo.
Limiti di frequenza (rate limit). WhatsApp applica restrizioni sul volume di invio per numero e per account. Superare tali soglie comporta il rischio di limitazioni di banda o sospensioni temporanee. Sebbene per la maggior parte dei prodotti i limiti consentiti superino ampiamente i normali volumi di OTP, è opportuno conoscerli a fondo prima di passare a volumi di scala.
Linee guida sui contenuti del template. I modelli per OTP devono mantenere un tono neutro e transazionale, senza alcun richiamo promozionale. Il testo deve contenere esclusivamente il codice, l'indicazione dei tempi di scadenza e la raccomandazione a non condividerlo. Niente di più.
Controlli di sicurezza e limitazione della frequenza
I requisiti previsti da WhatsApp e le best practice di sicurezza per gli OTP coincidono ampiamente. Entrambi gli ambiti richiedono le medesime misure di controllo.
Scadenza del codice: imposta una scadenza tra 5 e 10 minuti. Per transazioni bancarie o procedure di recupero account, una finestra di 2-3 minuti è più indicata. Inserisci sempre la durata di validità nel messaggio, così l'utente saprà perché il codice ha smesso di funzionare.
Tentativi massimi consentiti: limita i tentativi errati di inserimento a un massimo di 3-5 per codice, invalidandolo subito una volta raggiunta la soglia. Evita di consentire tentativi illimitati su un codice attivo.
Limitazione delle richieste di rinvio: definisci un tempo minimo di attesa tra due richieste consecutive (30-60 secondi è la prassi). Fissa un tetto massimo di OTP inviabili allo stesso utente in un'ora (5 è un valore consigliato). Questa misura previene abusi e protegge dai limiti di invio imposti da WhatsApp sull'account.
Verifica preventiva del numero: controlla che il numero sia abilitato su WhatsApp prima di far partire l'invio. Questo passaggio azzera i costi dei messaggi non recapitabili e funge da utile indicatore preventivo contro le frodi, poiché i numeri VoIP o generati in massa spesso non dispongono di un account WhatsApp associato.
Per un'analisi dettagliata di tutte le misure di sicurezza legate agli OTP su ciascun canale, consulta la nostra guida alle best practice per OTP.
Quando scegliere WhatsApp OTP
WhatsApp OTP non è un sostituto universale degli SMS. Il modello più adatto dipende dall'area geografica degli utenti e dal contesto operativo.
Usa WhatsApp OTP quando: | Usa SMS OTP quando: |
Gli utenti si trovano in India, Brasile, Indonesia, America Latina o Europa occidentale | Gli utenti si trovano in Nord America o in mercati con scarsa diffusione di WhatsApp |
Il tasso di recapito degli SMS è inferiore al 90% in un determinato mercato | Non è stato ancora raccolto l'opt-in a WhatsApp dagli utenti attuali |
I costi degli SMS internazionali incidono sensibilmente sui tuoi volumi di spesa | Gli utenti si trovano in aree con connettività dati debole ma con rete cellulare stabile |
Desideri disporre della crittografia end-to-end come standard | I quadri normativi locali prescrivono espressamente l'uso degli SMS per la tua attività |
WhatsApp è il canale primario di comunicazione per i tuoi utenti | La tua utenza opera in ambiti dove l'SMS rimane lo standard di riferimento (B2B, enterprise) |
Scegli WhatsApp come canale primario se: la maggioranza dei tuoi utenti risiede in paesi con altissima penetrazione di WhatsApp, come India, Brasile, Indonesia, Messico o gran parte dell'Europa occidentale. Se in un dato paese la percentuale di recapito via SMS scende sotto il 90%, WhatsApp dovrebbe diventare la tua scelta di elezione per quell'area.
Scegli WhatsApp come canale di fallback se: utilizzi l'SMS come canale principale e hai bisogno di un sistema automatico di recupero in caso di mancata consegna. Un instradamento alternativo ben impostato abbatte i fallimenti nei processi di verifica senza costringerti a implementare WhatsApp da zero come canale principale. Prelude gestisce questi passaggi in totale autonomia: se l'invio via SMS fallisce, la richiesta viene deviata su WhatsApp senza interventi sul codice.
Mantieni l'SMS come primario se: operi in mercati dotati di un'eccellente copertura SMS e un uso più contenuto di WhatsApp, oppure se raccogliere il consenso per WhatsApp rischia di appesantire il flusso di registrazione. Le piattaforme B2B e i servizi enterprise si trovano frequentemente in questa situazione.
Non utilizzare WhatsApp OTP se: non disponi del consenso esplicito degli utenti. L'invio di OTP su WhatsApp senza opt-in viola i requisiti di conformità e può comportare la sospensione dell'account. Se gli utenti già registrati non hanno approvato la ricezione di messaggi WhatsApp, non è consentito contattarli su questo canale retroattivamente.
Architettura di fallback
Nessun canale garantisce una percentuale di recapito del 100% in tutti i contesti geografici. Un'architettura OTP affidabile si basa su meccanismi automatici di fallback capaci di recuperare le verifiche non andate a buon fine senza richiedere azioni all'utente.
Ecco la tipica sequenza di instradamento di Prelude per i mercati in cui WhatsApp è il canale principale:
Tentativo con WhatsApp OTP: recapito immediato per gli utenti con account WhatsApp attivo
In caso di mancato recapito, fallback su SMS: copre gli utenti non registrati su WhatsApp
Se l'SMS fallisce, fallback su chiamata vocale: raggiunge gli utenti in aree in cui la ricezione degli SMS è incerta
Per i mercati dove l'SMS è invece il canale primario:
Tentativo con SMS OTP
In caso di errore o timeout nel recapito, fallback su WhatsApp
Se WhatsApp non va a buon fine, fallback su chiamata vocale
La decisione di deviare il traffico viene presa a livello di routing, non nel codice della tua applicazione. La Verify API di Prelude governa la selezione del canale e le logiche di fallback in maniera automatizzata, valutando paese di destinazione, segnali di recapito e preferenze configurate. Non occorre scrivere codice supplementare per gestire l'instradamento: la logica è integrata direttamente nell'infrastruttura di instradamento.
Per approfondire le architetture di fallback multicanale, leggi la nostra guida sui tassi di recapito degli SMS.
Passi successivi
La Verify API di Prelude presidia ogni fase della verifica su WhatsApp, SMS, RCS e Silent Network Authentication, offrendo selezione automatica del canale, instradamento di fallback tra più di 30 provider, prevenzione delle frodi e strumenti integrati di analisi del recapito. Chi sceglie questa soluzione riscontra in media una crescita delle conversioni del 20-30% e una riduzione dei costi mensili tra il 30% e il 40%. Scopri come funziona o inizia gratuitamente.
Approfondimenti consigliati:
Perché e come inviare OTP su WhatsApp, se stai ancora decidendo se implementarlo per il tuo prodotto
Domande frequenti (FAQ)
È possibile automatizzare l'invio di OTP su WhatsApp?
Certamente, ed è la scelta consigliata. L'obiettivo primario delle API di WhatsApp Business è proprio abilitare l'invio e la verifica su larga scala di OTP in modo programmatico. Detto questo, "automatizzato" non significa "privo di regole": occorre sempre rispettare le policy di WhatsApp relative ai modelli approvati e all'opt-in degli utenti.
Cosa succede se un utente non ha WhatsApp?
È buona norma verificare in anticipo se il numero è attivo su WhatsApp prima di spedire il codice. In caso negativo, attiva un fallback su SMS o su un altro canale. I migliori provider gestiscono questa logica in automatico, evitandoti di dover sviluppare soluzioni su misura.
Si possono inviare OTP senza un template preventivamente approvato?
No. WhatsApp non ammette messaggi in uscita a testo libero al di fuori delle sessioni di assistenza ai clienti. Qualsiasi messaggio contenente un OTP deve basarsi su un modello approvato da Meta. L'iter di convalida per un nuovo template dura in genere tra le 24 e le 48 ore.
È possibile usare lo stesso messaggio OTP per tutti gli utenti?
Sì, a patto di impiegare un template già validato. WhatsApp non permette l'invio di messaggi con testo libero a meno che non sia aperta una finestra di conversazione per il supporto clienti. Il testo dell'OTP deve quindi avere una struttura standardizzata, in cui i dati dinamici (come {{1}}) vengono popolati al momento della trasmissione.
WhatsApp OTP è più economico degli SMS?
In molti mercati sì. I costi per i messaggi di autenticazione su WhatsApp dipendono dalla tipologia di messaggio e non dal paese di arrivo. Questo elimina i costi aggiuntivi dei gestori telefonici che rendono gli SMS particolarmente cari in nazioni come India, Brasile, Francia e Germania. Su volumi significativi, il risparmio può essere notevole.
Come comportarsi con gli utenti che non scelgono di ricevere messaggi su WhatsApp?
Imposta l'SMS come opzione predefinita e proponi WhatsApp come alternativa durante l'onboarding. Chi rilascia l'opt-in potrà ricevere l'OTP via WhatsApp; per gli altri si utilizzerà l'SMS. Evita categoricamente l'invio di codici via WhatsApp a utenti che non abbiano dato un consenso esplicito.
Quanto richiede l'approvazione di un template da parte di Meta?
In genere servono dalle 24 alle 48 ore per la prima richiesta. I template finalizzati all'autenticazione tendono a essere autorizzati con tempi più rapidi rispetto a quelli promozionali. Una volta ottenuto il via libera, non sono necessarie ulteriori approvazioni a meno di modifiche ai contenuti.
Inizia a ottimizzare il tuo flusso di Auth
Invia SMS di verifica in tutto il mondo al miglior prezzo, con la massima recapitabilità e senza spam.
