Definizione
Un codice OTP (one-time password) è un breve codice valido per un solo accesso o una sola transazione, di solito per pochi minuti. Le aziende lo inviano via SMS, WhatsApp, voce o email, o lo generano in un’app di autenticazione, per verificare che l’utente controlli un numero, una casella di posta o un dispositivo.
Gli OTP sono generati da un algoritmo condiviso da entrambe le parti (HOTP, RFC 4226, basato su contatore; TOTP, RFC 6238, basato sul tempo, come nelle app di autenticazione) oppure creati in modo casuale da un server e consegnati su un canale di messaggistica. Per gli OTP via messaggio, il server conserva un hash del codice con una scadenza e un contatore dei tentativi.
Buone pratiche: 4–8 cifre, validità breve, un limite ai tentativi errati, un intervallo prima del reinvio e nessun riutilizzo. Mantenete breve il messaggio, mettete il codice vicino all’inizio, indicate il brand e aggiungete un avviso di non condividere il codice. Non inserite mai contenuti di marketing in un messaggio OTP.
La scelta del canale conta. L’SMS raggiunge quasi ogni telefono; i template di autenticazione WhatsApp supportano la compilazione automatica con copia del codice, one-tap e zero-tap su Android; l’OTP vocale raggiunge i telefoni fissi e gli utenti che non riescono a leggere uno schermo. Molte aziende usano il fallback tra canali, ad esempio prima WhatsApp, poi SMS, poi voce.
Gli endpoint OTP sono un bersaglio dell’SMS pumping (gonfiaggio artificiale del traffico). Limitate la frequenza per numero di telefono, IP e dispositivo, escludete i paesi di destinazione che non servite e monitorate la quota di codici effettivamente inseriti.
OmniChannels.ai invia gli OTP tramite SMS, template di autenticazione WhatsApp (one-tap, zero-tap e copia del codice) e voce.
Esempio
Codice di verifica Acme: 482917. Scade tra 5 minuti. Il codice non va condiviso con nessuno.