Le buone pratiche fondamentali per gli SMS OTP sono una rotta diretta e veloce, un sender ID registrato, un messaggio breve con il codice vicino all'inizio, una validità di pochi minuti, limiti di frequenza contro l'SMS pumping e un canale di fallback quando l'SMS fallisce. Misura il successo dai codici inseriti, non solo dai report di consegna.
Scegli la rotta giusta
Una password monouso serve solo se arriva in pochi secondi. La maggior parte degli utenti rinuncia o chiede un nuovo codice dopo 30-60 secondi. Per questo l'OTP è il tipo di traffico in cui le rotte economiche costano di più.
- Usa rotte dirette o di alta qualità, meglio se dichiarate e prezzate per traffico OTP.
- Tieni almeno due rotte per ogni Paese importante, così puoi cambiare quando una peggiora.
- Guarda la latenza, non solo il tasso di consegna. Una consegna mediana sotto i 5-10 secondi è un obiettivo ragionevole sulle buone rotte. Vedi tasso di consegna e latenza degli SMS.
Sender ID e registrazione
Gli utenti si fidano dei codici che arrivano da un nome riconoscibile. Dove i sender ID alfanumerici sono supportati, registra il nome del tuo marchio nei Paesi che lo richiedono e usa lo stesso nome ovunque. In Paesi come l'India i messaggi OTP devono anche corrispondere a un template registrato. Negli Stati Uniti il traffico OTP passa su campagne 10DLC registrate, numeri verdi verificati o short code. Le regole sono in registrazione del sender ID e 10DLC e SMS da numeri verdi negli Stati Uniti.
Scrivi bene il messaggio
- Il codice per primo o vicino all'inizio: "123456 è il tuo codice MyApp. Valido 5 minuti." Così il codice compare nell'anteprima della notifica.
- Indica il servizio, così gli utenti sanno a cosa serve il codice, e aggiungi "Non condividere questo codice" per ridurre l'ingegneria sociale.
- Resta in GSM-7 e sotto i 160 caratteri, così il messaggio è un solo segmento. Un solo carattere accentato o speciale può passare tutto il messaggio in Unicode e ridurre il limite a 70. Vedi codifica GSM-7 o Unicode.
- Niente link nei messaggi OTP se non indispensabili. I link fanno scattare i filtri antispam e sembrano phishing.
- Supporta la compilazione automatica: su Android la SMS Retriever API usa un hash dell'app di 11 caratteri nel messaggio; su iOS il sistema riconosce i codici, e i codici legati al dominio usano un'ultima riga con dominio e codice.
Impostazioni del codice e della sessione
| Impostazione | Pratica comune |
|---|---|
| Lunghezza del codice | 6 cifre |
| Validità del codice | Da 3 a 10 minuti |
| Periodo di validità SMS all'invio | Breve, pochi minuti, così i messaggi in ritardo scadono invece di arrivare inutili |
| Nuovo invio consentito dopo | Da 30 a 60 secondi |
| Tentativi massimi per numero | Pochi all'ora, poi blocco o cambio di canale |
Proteggiti dall'SMS pumping
Gli endpoint OTP sono il bersaglio principale del traffico gonfiato artificialmente: bot che fanno partire migliaia di codici verso numeri a sovrapprezzo o ad alto costo, così qualcuno nella catena incassa una parte della tariffa. Difese che funzionano:
- Limiti di frequenza per numero di telefono, per IP, per dispositivo e per prefisso di Paese.
- Blocca o metti alla prova i Paesi che non servi.
- Avvisi sugli aumenti improvvisi di traffico verso prefissi insoliti e sulla bassa conversione (codici inviati ma mai inseriti).
- Protezione antibot sul modulo che fa partire il codice.
Approfondisci in SMS pumping (traffico gonfiato artificialmente).
Misura la conversione e prevedi un fallback
I report di consegna possono essere sbagliati o in ritardo. La metrica vera è la conversione: la quota di codici che gli utenti inseriscono. Misurala per Paese, rete e rotta. Quando l'SMS fallisce o l'utente chiede un nuovo invio, un fallback come una chiamata vocale che legge il codice o un messaggio su WhatsApp può salvare la sessione. Vedi fallback OTP: SMS, voce e WhatsApp.
Ottenere rotte per OTP
VoIPMatcher cerca rotte SMS A2P di qualità OTP presso i suoi carrier e le gestisce per te. I dati del tuo traffico non vengono condivisi con i fornitori. Richiedi una rotta SMS per OTP indicando Paesi e volume mensile.
Domande frequenti
L'OTP via SMS è sicuro?
L'OTP via SMS è un secondo fattore ragionevole per la maggior parte dei servizi consumer, ma non il più forte. I codici si possono rubare con SIM swap, phishing o ingegneria sociale, ed è per questo che i messaggi devono dire di non condividere il codice. Per le operazioni ad alto rischio, come i grandi pagamenti, molti servizi aggiungono l'autenticazione tramite app e tengono l'SMS come fallback.
Per quanto tempo deve valere un OTP?
La maggior parte dei servizi rende valido un codice da 3 a 10 minuti. Una validità più breve limita i danni se il codice viene intercettato, ma una finestra troppo corta fa fallire gli utenti sulle rotte lente. Imposta anche un periodo di validità SMS breve all'invio, così un messaggio fermo in coda scade invece di arrivare quando il codice non funziona più.
Quante cifre deve avere un OTP?
Sei cifre è la pratica comune. Danno un milione di combinazioni, che bastano quando i tentativi sono limitati, e sono facili da leggere e digitare. I codici più corti sono più facili da indovinare e quelli più lunghi causano più errori di digitazione. Abbina la lunghezza a un limite di tentativi per numero e per sessione.
Qual è la migliore alternativa all'OTP via SMS?
Le alternative comuni sono le chiamate OTP vocali, i messaggi di autenticazione WhatsApp, le app di autenticazione e le notifiche push nella tua app. La maggior parte dei servizi tiene l'SMS come predefinito perché funziona su ogni telefono senza app, e aggiunge un altro canale come fallback o per le operazioni ad alto rischio. Scegli per Paese e misura la conversione di ogni canale.
Perché gli SMS OTP arrivano in ritardo?
I ritardi di solito dipendono dalla rotta: le rotte indirette accodano i messaggi a ogni passaggio, il throttling crea arretrati quando superi i tuoi TPS e i firewall degli operatori trattengono o filtrano i sender ID non registrati. Anche i telefoni spenti o senza copertura ritardano la consegna. Misura la latenza per Paese e rete, e tieni pronta una rotta di riserva.
Ti serve una rotta?
Mandaci destinazione, tipo di rotta e tariffa target. Ti rispondiamo con quello che possiamo offrirti.