--- title: "Ridurre i costi degli SMS OTP: 9 tattiche che funzionano" description: "Ridurre i costi OTP: fermare frodi e invii inutili, usare prima l'autenticazione WhatsApp con SMS di riserva e misurare il costo per utente verificato." canonical: "https://omnichannels.ai/it/blog/otp-cost-reduction-strategies/" language: "it" updated: "2026-11-06" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "sms" primaryQuery: "reduce otp sms costs" keywords: ["ridurre costi otp", "costo sms otp", "costo per utente verificato", "costo template autenticazione whatsapp", "ordine canali fallback otp", "costo sms pumping", "limitazione richieste otp", "ridurre costo verifica sms"] published: "2026-11-06" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 10 answer: "La spesa per gli OTP si disperde in richieste fraudolente (SMS pumping), reinvii inutili, invii verso paesi che non servite e verifiche di utenti già affidabili. Riducetela bloccando l'invio con controlli anti-bot e limiti di frequenza, autorizzando solo certe destinazioni, accorciando i nuovi tentativi, proponendo i template di autenticazione WhatsApp prima dell'SMS, saltando la verifica sui dispositivi riconosciuti e monitorando il costo per utente verificato, non per messaggio." takeaways: ["La metrica che conta è il costo per utente verificato: la spesa OTP totale divisa per gli utenti che hanno davvero completato la verifica. Il costo per messaggio nasconde frodi, reinvii e abbandoni.", "Il messaggio che non inviate è il più economico. Controlli anti-bot, limiti di frequenza per numero e per dispositivo ed elenco di destinazioni autorizzate eliminano gli invii a pagamento che nessun utente reale ha richiesto.", "I template di autenticazione WhatsApp sono fatturati per messaggio consegnato alla tariffa di Meta per il mercato del destinatario; i messaggi non consegnati non vengono fatturati. Confrontate i due canali con il vostro indice prezzi e i vostri dati di conversione, non con una regola generale.", "L'ordine dei canali è una decisione di costo e di conversione: provate il canale più economico solo dove l'utente probabilmente lo ha, e passate al canale di riserva dopo un breve timeout di consegna non confermata.", "NIST SP 800-63B considera la verifica fuori banda tramite rete telefonica pubblica limitata e richiede di offrire alternative, quindi un progetto multicanale è anche una migliore pratica di sicurezza."] faq: - q: "Come posso ridurre il costo degli SMS OTP?" a: "Fermate gli invii a pagamento di cui nessuno ha bisogno: aggiungete controlli anti-bot e limiti di frequenza su ogni endpoint che invia un codice, abilitate solo i paesi che servite e limitate i reinvii. Poi spostate gli invii rimanenti sul canale più economico per ciascun utente, come un template di autenticazione WhatsApp, con l'SMS come riserva. Misurate ogni mese il costo per utente verificato per vedere se le modifiche funzionano." - q: "Quanta parte della mia fattura OTP è frode?" a: "Dipende da quanto sono esposti i vostri endpoint e non esiste una media pubblica affidabile, quindi misurate la vostra. Confrontate codici inviati e codici inseriti per paese e prefisso del numero. Uno scarto che compare in una destinazione mentre le iscrizioni genuine restano stabili è la firma del pumping. Usate il nostro calcolatore di frode da SMS pumping per stimare lo spreco dai vostri dati." - q: "L'OTP via WhatsApp costa meno dell'OTP via SMS?" a: "Può essere, ma dipende dalla destinazione, perché Meta fattura i template di autenticazione per messaggio consegnato a una tariffa stabilita dal mercato del destinatario e da scaglioni di volume mensili, mentre le tariffe SMS variano per paese e operatore. Confrontate entrambi sul nostro indice prezzi per i vostri paesi, poi includete il volume di riserva, perché gli utenti senza WhatsApp hanno comunque bisogno dell'SMS." - q: "Qual è la lunghezza e la scadenza più economica ma sicura del codice OTP?" a: "Lunghezza e scadenza sono impostazioni di sicurezza, non leve di costo. NIST SP 800-63B richiede segreti fuori banda di almeno sei cifre decimali con scadenza entro 10 minuti. Una scadenza più breve riduce il rischio di riutilizzo ma può aumentare i reinvii, che costano, quindi scegliete la finestra più breve che gli utenti reali rispettano senza difficoltà." - q: "Devo verificare ogni accesso con un OTP?" a: "Non necessariamente. Verificate alla registrazione, in eventi a rischio come un nuovo dispositivo o una password modificata, e per azioni di alto valore. Per i dispositivi riconosciuti con una sessione valida, saltate il codice o usate una passkey o una verifica tramite app. Ogni verifica evitata fa risparmiare un messaggio ed elimina attrito, purché i vostri controlli di rischio individuino ancora le violazioni di account." - q: "Il passaggio da WhatsApp a SMS come riserva raddoppia il costo?" a: "Solo se entrambi i messaggi vengono consegnati. Meta fattura i messaggi di autenticazione quando sono consegnati, quindi un messaggio WhatsApp che non arriva mai non viene addebitato. Attendete una conferma di consegna o un breve timeout prima di inviare l'SMS, inviate al massimo un messaggio di riserva e usate lo stesso codice, così l'utente non deve scegliere tra due." sources: - title: "WhatsApp Business Platform pricing, Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/pricing" - title: "Authentication templates, WhatsApp Business Platform, Meta for Developers" url: "https://developers.facebook.com/docs/whatsapp/business-management-api/authentication-templates" - title: "NIST SP 800-63B-4: Authentication and Authenticator Management" url: "https://pages.nist.gov/800-63-4/sp800-63b.html" - title: "Resource Hijacking: SMS Pumping (T1496.003), MITRE ATT&CK" url: "https://attack.mitre.org/techniques/T1496/003/" --- # Ridurre i costi degli SMS OTP: 9 tattiche che funzionano Canonical: https://omnichannels.ai/it/blog/otp-cost-reduction-strategies/ Language: it Publisher: OmniChannels.ai by BroadNet Technologies Questa guida è pensata per i team prodotto, ingegneria e antifrode che pagano le password monouso (OTP) su larga scala e vogliono una fattura più bassa senza danneggiare la conversione delle iscrizioni. Scompone la spesa OTP nei punti in cui il denaro si disperde, propone nove tattiche nell'ordine in cui le applicheremmo e mostra come misurare se hanno funzionato. Qui non sono riportati prezzi; per le cifre usate il vostro contratto e le pagine dei prezzi collegate. ## Dove va davvero la spesa OTP? La spesa OTP va in quattro punti: i primi invii genuini, i reinvii e i nuovi tentativi, il traffico verso destinazioni che non servite davvero e le richieste fraudolente. Solo il primo è necessario, e negli altri si trovano i risparmi. | Voce di costo | Che cos'è | Come vederla | Leva tipica | |---|---|---|---| | Primi invii genuini | Un codice per ogni azione reale dell'utente | Codici inviati che si concludono in un'azione verificata | Canale più economico, saltare quando non serve | | Reinvii e nuovi tentativi | L'utente non ha ricevuto o inserito il codice | Invii per utente verificato superiori a 1,0 | Consegna più rapida, UX migliore, tempi del fallback | | Destinazioni non servite | Codici verso paesi senza clienti reali | Volume per paese rispetto ai clienti per paese | Elenco di destinazioni autorizzate | | Frode (SMS pumping) | Bot che generano codici verso numeri da cui l'attaccante guadagna | Codici inviati ma mai inseriti, per prefisso | Controlli anti-bot, limiti di frequenza, tetti di spesa | Il primo passo è quindi la misurazione. Estraete un mese di invii per paese e confrontateli con i codici inseriti. Il nostro [calcolatore di frode da SMS pumping](/it/tools/sms-pumping-fraud-calculator/) trasforma volume di richieste, conversione e tariffa in una stima dello spreco. ## Che cos'è il costo per utente verificato e come si calcola? Il costo per utente verificato è la spesa OTP totale in un periodo divisa per il numero di utenti che hanno completato la verifica in quel periodo. È l'unica cifra di costo OTP che include frodi, nuovi tentativi e tentativi abbandonati. **Costo per utente verificato = (SMS inviati × costo SMS + messaggi WhatsApp consegnati × costo WhatsApp + altri canali) ÷ utenti che hanno inserito un codice valido** Monitoratelo per paese e per flusso (registrazione, accesso, pagamento). Due rapporti di accompagnamento spiegano le sue variazioni: - **Invii per utente verificato** = messaggi inviati ÷ utenti verificati. Sopra 1,0 significa reinvii, abbandoni o frodi. - **Conversione della verifica** = codici inseriti ÷ codici inviati. Un calo in un paese è il primo segno di pumping. ## Esempio pratico: un'app in stile ride-hailing "Najm Go", un'app di fantasia, verifica 170.000 utenti al mese. Prima delle modifiche ogni codice parte via SMS, con s come costo di un SMS. Dopo, il 70% delle verifiche parte su WhatsApp, dove w è il costo di un messaggio di autenticazione WhatsApp consegnato. I conteggi sono illustrativi, non benchmark. | | Prima | Dopo | |---|---|---| | Utenti verificati | 170.000 | 170.000 | | Primi invii su SMS | 170.000 | 51.000 | | Primi invii su WhatsApp | 0 | 119.000 | | Reinvii e nuovi tentativi | 28.000 SMS | 10.000 SMS e 7.000 WhatsApp | | Richieste di pumping pagate | 40.000 SMS | 4.000 SMS | | SMS totali | 238.000 | 65.000 | | WhatsApp totali | 0 | 126.000 | | Costo per utente verificato | 1.40 s | 0.38 s + 0.74 w | Il caso dopo costa meno ogni volta che 0.74 w è inferiore a 1.02 s, cioè ogni volta che w è sotto circa 1,4 volte s. In altre parole, anche se in un paese il messaggio WhatsApp costasse più di un SMS, il risparmio su frodi e reinvii può comunque rendere più economico l'intero flusso. Sostituite s e w con le tariffe del vostro contratto e con la tariffa Meta del vostro mercato; l'[indice prezzi](/data/messaging-price-index/) e lo [stimatore dei costi](/it/pricing/estimator/) mostrano il rapporto per paese. ## Tattica 1: fermare i bot prima che parta un SMS Mettete una sfida anti-bot o un punteggio di rischio davanti a ogni endpoint che invia un codice, perché un messaggio che non inviate è gratuito. Questo include registrazione, accesso, reimpostazione della password, "mandami il link via SMS" e moduli di segnalazione. MITRE ATT&CK elenca lo SMS pumping come tecnica T1496.003, descrivendo attaccanti che generano grandi volumi di messaggi verso numeri che controllano. La difesa dai bot è la prima linea contro di esso. Richiedete inoltre che la richiesta provenga da una sessione valida o da un'installazione dell'app attestata. La nostra [guida alla prevenzione dello SMS pumping](/it/blog/sms-pumping-fraud-prevention/) tratta i livelli in profondità. ## Tattica 2: limitare la frequenza su più dimensioni Limitate i codici per numero di telefono, per IP e rete, per dispositivo e per sessione, con finestre brevi e lunghe. Un limite su una sola dimensione viene aggirato ruotando quella dimensione. Una politica di partenza da adattare: - Un piccolo numero di codici per numero all'ora, con un ritardo crescente tra i reinvii. - Un tetto giornaliero rigido per numero. - Un tetto per dispositivo e per IP più basso per i flussi non autenticati. - Un limite separato ai tentativi falliti. NIST SP 800-63B afferma che generare un nuovo segreto non deve azzerare il conteggio dei tentativi falliti. ## Tattica 3: autorizzare solo certe destinazioni Abilitate solo i paesi in cui avete utenti reali. I nuovi paesi richiedono una richiesta aziendale. All'interno dei paesi abilitati, bloccate o sottoponete a verifica i prefissi che mostrano schemi di attacco, e convalidate i numeri prima dell'invio con una [verifica dei numeri (number lookup)](/it/blog/hlr-lookup-number-validation/) sui flussi ad alto volume. ## Tattica 4: predisporre interruttori di spesa Impostate tetti di spesa orari e giornalieri per paese e per endpoint, e mettete in pausa automaticamente una destinazione quando il volume supera un multiplo del suo livello normale, avvisando una persona per la revisione. Questo limita la fattura di qualsiasi attacco che superi i livelli precedenti. ## Tattica 5: proporre i template di autenticazione WhatsApp prima dell'SMS Per gli utenti che hanno WhatsApp, un template di autenticazione è spesso la via più economica, e il modello di tariffe di terminazione SMS che alimenta il pumping non si applica. Confrontate i canali per i vostri paesi prima di darlo per scontato. Fatti dalla documentazione di Meta: - I template di autenticazione usano un testo preimpostato con un codice, una raccomandazione di sicurezza facoltativa e un piè di pagina di scadenza facoltativo da 1 a 90 minuti. Rientrano nella categoria **autenticazione** (authentication) di Meta. - Le opzioni di pulsante sono copia codice, compilazione automatica con un tocco e zero-tap su Android. Da iOS 26 in poi i suggerimenti della tastiera possono rilevare il codice; le versioni iOS precedenti devono usare copia codice. - Meta fattura i messaggi di autenticazione per messaggio consegnato alla tariffa del mercato del destinatario, con scaglioni di volume mensili per mercato. L'autenticazione non ha una fascia gratuita mensile, e alcuni mercati hanno una tariffa separata di autenticazione internazionale, quindi confermate i vostri paesi nel listino attuale di Meta. La nostra guida a [OTP WhatsApp o OTP SMS](/it/blog/whatsapp-otp-vs-sms-otp/) mostra come creare e inviare i template. ## Tattica 6: scegliere l'ordine dei canali per utente, non per azienda L'ordine più economico è quello che corrisponde al punto in cui l'utente può davvero ricevere il codice. Ordinate i canali dal costo più basso che l'utente probabilmente ha, poi passate al canale di riserva dopo una breve attesa. | Segnale | Primo canale suggerito | Canale di riserva | |---|---|---| | Utente di ritorno che si è già verificato su WhatsApp | Template di autenticazione WhatsApp | SMS | | Nuovo utente, paese con alto uso di WhatsApp nella vostra base | WhatsApp, se l'utente ha inserito un numero raggiungibile su WhatsApp | SMS | | Nuovo utente, nessuna cronologia di canale | SMS | WhatsApp o voce su richiesta | | Richiesta ad alto rischio (nuovo dispositivo, numero cambiato) | Il canale già legato all'account | Un controllo più forte, non un altro codice | L'OTP vocale è disponibile anche come ultima risorsa, e il suo prezzo è disponibile su richiesta al nostro team. Costruite l'ordine con regole di [fallback tra canali](/it/blog/channel-fallback-strategy/) e mantenete un unico codice su tutti i canali. ## Tattica 7: tarare i tempi del fallback per non pagare due volte Inviate il messaggio di riserva solo dopo che una conferma di consegna non arriva entro un breve timeout, misurato in secondi. Se il messaggio WhatsApp è stato consegnato, non inviate un SMS; se non è stato consegnato, Meta non lo fattura. Al massimo un messaggio di riserva, e lo stesso codice in entrambi. ## Tattica 8: verificare meno spesso e in modo più intelligente Ogni verifica che saltate in sicurezza è un messaggio risparmiato. Chiedete un codice alla registrazione, sui nuovi dispositivi, dopo un cambio di password e per azioni di alto valore. Per i dispositivi riconosciuti con una sessione valida, usate invece un token di dispositivo ricordato o una passkey. Mantenete i controlli di rischio (viaggio impossibile, nuova SIM) in modo che saltare il codice non apra la strada alla violazione di account. NIST SP 800-63B-4 limita l'uso della rete telefonica pubblica per la verifica fuori banda e richiede ai verificatori di mantenere disponibili tipi alternativi di autenticatore, quindi ridurre la dipendenza dall'SMS è in linea con le indicazioni di sicurezza, non solo con il costo. ## Tattica 9: ridurre i reinvii con migliore consegna e UX I reinvii sono messaggi a pagamento. Riduceteli così: 1. Consegnando su rotte dirette con rapporti di consegna, in modo che le rotte lente o silenziose emergano. Vedete [rotta grigia e rotta diretta per gli SMS](/it/blog/grey-route-vs-direct-route-sms/). 2. Mantenendo l'SMS in un solo segmento, in modo che non venga mai diviso. Un messaggio di codice in italiano come `Codice Najm: 482915. Valido 5 minuti. Non condividerlo con nessuno.` è di 67 caratteri in GSM-7 (160 per segmento). La versione araba `رمز نجم: 482915 صالح 5 دقائق. لا تشاركه مع أحد.` è di 47 caratteri in Unicode (70 per segmento). Verificate ogni variante nel [contatore di caratteri SMS](/it/tools/sms-character-counter/). 3. Supportando la compilazione automatica, come il formato del codice e i pulsanti con un tocco o copia codice, così l'utente non sbaglia a digitare. 4. Impostando una scadenza abbastanza lunga per gli utenti reali. NIST richiede che i segreti fuori banda scadano entro 10 minuti; non impostatela così breve da obbligare gli utenti a richiedere di nuovo il codice. 5. Diagnosticando i reclami con la [risoluzione dei problemi di OTP non ricevuto](/it/blog/otp-not-received-troubleshooting/). ## Che cosa misurare ogni mese? Misurate una piccola dashboard per paese e flusso, e rivedetela ogni settimana durante le modifiche. | Metrica | Formula | Direzione sana | |---|---|---| | Costo per utente verificato | Spesa ÷ utenti verificati | In calo | | Conversione della verifica | Codici inseriti ÷ codici inviati | In crescita, stabile per paese | | Invii per utente verificato | Messaggi ÷ utenti verificati | Verso 1,0 | | Quota WhatsApp dei primi invii | Primi invii WhatsApp ÷ tutti i primi invii | In crescita dove raggiungibile | | Tasso di fallback | Fallback ÷ tentativi WhatsApp | Stabile; un'impennata indica problemi di consegna | | Richieste bloccate | Richieste fermate dai controlli | I picchi mostrano attacchi | ## Quali errori evitare? - **Ottimizzare il prezzo per messaggio** mentre frodi e reinvii dominano la fattura. - **Bloccare interi paesi** dopo un attacco anziché autorizzare in anticipo, il che danneggia gli utenti reali all'estero. - **Inviare SMS e WhatsApp contemporaneamente** "per sicurezza", cosa che raddoppia il costo. - **Impostare una scadenza molto breve** che causa richieste ripetute. - **Dare per scontato che WhatsApp raggiunga tutti.** Mantenete l'SMS come riserva e misurate la raggiungibilità. - **Eliminare la verifica senza controlli di rischio**, scambiando un problema di costo con un problema di violazione di account. ## Come vi aiuta OmniChannels.ai OmniChannels.ai, basata su BroadNet Technologies, invia OTP via SMS su connettività diretta con gli operatori e tramite template di autenticazione WhatsApp (un tocco, zero-tap e copia codice), con fallback tra canali configurabile e webhook di consegna normalizzati per i vostri rapporti di costo. I rapporti di consegna possono essere filtrati ed esportati in CSV. L'[API REST e SMPP](/it/developers/) coprono l'integrazione. Parlate con il team dei vostri paesi e volumi, e consultate le [pagine dei prezzi WhatsApp](/it/whatsapp-pricing/) e i [prezzi SMS per paese](/it/sms-pricing/) per i prezzi di listino pubblicati.