Cos'è WhatsApp OTP? Inviare i codici di verifica via WhatsApp invece che via SMS

Pensi al codice a sei cifre che Le arriva sul telefono quando si registra a un sito. Si tratta di un OTP, una password monouso, detta più semplicemente codice di verifica. Per anni questi codici sono viaggiati via SMS. Eppure la maggior parte dei Suoi clienti controlla WhatsApp molto più spesso dei messaggi di testo. Questo articolo spiega cos'è un OTP su WhatsApp, come funziona, dove supera gli SMS e quali sono i suoi limiti. Siamo diretti: questo metodo non è la risposta giusta per ogni azienda o per ogni situazione.

Cos'è un OTP?

OTP sta per one-time password, cioè password monouso. Il sistema genera un codice casuale e breve, lo invia al numero di telefono dell'utente, l'utente lo inserisce nel modulo e il sistema verifica che il codice sia corretto, ancora valido e usato per la prima volta. Chi lo riceve dimostra così di avere un accesso reale a quel numero di telefono.

Gli usi tipici sono i seguenti:

• Verifica del numero di telefono nel modulo di iscrizione e registrazione
• Accesso senza password (numero di telefono + codice)
• Reimpostazione della password
• E-commerce: verificare che il numero di telefono di un ordine sia autentico, soprattutto per il pagamento alla consegna
• Aggiungere un secondo passaggio a un'operazione sensibile, come la modifica dell'indirizzo o l'approvazione di un pagamento

Come funziona un OTP su WhatsApp?

La logica è la stessa; cambia solo il canale che trasporta il codice. Il codice viene inviato come messaggio WhatsApp al posto dell'SMS. WapFlow OTP lo offre come API REST e il flusso è il seguente:

1. Nel pannello WapFlow collega il Suo numero WhatsApp con un codice QR o un codice di abbinamento.
2. Nel pannello crea una chiave API live e una di test.
3. Il Suo sito raccoglie il numero di telefono dell'utente e richiama /send dal Suo server. Il codice arriva all'utente come messaggio WhatsApp dal numero collegato.
4. L'utente inserisce il codice e il Suo sito lo verifica con una chiamata a /verify.

I codici sono generati con casualità crittografica e non vengono memorizzati in chiaro. La lunghezza può essere impostata da 4 a 8 cifre e la validità da 60 a 900 secondi; per impostazione predefinita un codice ha sei cifre e dura cinque minuti. Per ogni codice sono consentiti al massimo cinque tentativi errati, e un codice verificato non può essere riutilizzato. I dettagli tecnici si trovano nella documentazione API; per gli esempi di codice può consultare la nostra guida per PHP, Node.js e Python.

Vantaggi rispetto agli SMS

Un'app che il cliente ha già aperta

Il cliente non deve passare a un'app di messaggistica per leggere il codice; molte persone tengono WhatsApp aperto tutto il giorno. Questo può ridurre il tempo necessario per inserire il codice.

Un mittente familiare

Il codice arriva dal Suo numero WhatsApp. Invece di un numero breve anonimo, il cliente vede una chat che riporta la Sua identità aziendale. Nel modello del messaggio può usare le variabili {app}, {code} e {minutes} per mostrare il nome della Sua applicazione e la durata di validità.

Un canone mensile fisso

WapFlow OTP non prevede alcun costo per messaggio. Può inviare tanti codici quanti ne consente la quota mensile del Suo piano. I piani sono mensili: 249,99 TL per 1 account e 5.000 codici, 449,99 TL per 2 account e 15.000 codici, 649,99 TL per 3 account e 30.000 codici, 999,99 TL per 5 account e 60.000 codici. Per i prezzi aggiornati consulti la pagina dei prezzi. Se utilizza già un piano cloud di WapFlow, sul piano OTP è applicato uno sconto; la percentuale è visibile durante il pagamento.

Nessuna approvazione di Meta e nessuna richiesta di modelli

L'API ufficiale WhatsApp Business prevede processi come la verifica dell'attività e l'approvazione dei modelli di messaggio. WapFlow OTP non ne ha bisogno, perché funziona in modo diverso: usa il Suo numero come dispositivo collegato. Più avanti spieghiamo chiaramente cosa significa.

Limiti da conoscere

Presentare un metodo senza i suoi aspetti negativi sarebbe scorretto nei confronti del lettore. Tenga presente quanto segue:

• Non è l'API ufficiale WhatsApp Business. WapFlow OTP funziona tramite un dispositivo collegato (QR) e non è collegato a WhatsApp o a Meta. Spieghiamo la differenza in WhatsApp Business API o automazione web?.
• Non c'è garanzia di consegna. Un messaggio può non arrivare a causa di WhatsApp, del numero o della rete. L'utente potrebbe non avere affatto WhatsApp.
• Il rischio di ban non è mai zero. Se WhatsApp limita il numero, si fermano anche i codici. Limiti giornalieri e riscaldamento dell'account aiutano a ridurre questo rischio; vedi il nostro articolo su come ridurre il rischio di ban.
• Le azioni critiche richiedono un canale di backup. Per l'approvazione di pagamenti o il recupero dell'account, mantenga un secondo percorso come SMS o e-mail.

A chi è rivolto?

Ha senso per le aziende che già comunicano con i clienti su WhatsApp e dispongono di un flusso di ordini o appuntamenti: negozi online di piccole e medie dimensioni, attività di servizi, piattaforme locali. Se utilizza WordPress o WooCommerce può configurarlo senza scrivere codice tramite il plugin. Se gestisce un servizio fortemente regolamentato, come quello bancario, deve valutare separatamente i canali ufficiali e i requisiti di legge.

Consigli per un buon flusso OTP

• Verifichi il codice sul server. Non lasci la decisione al browser; richiami sempre /verify dal Suo server.
• Tenga segreta la chiave API. Non la usi nel browser, in un'app mobile o in codice pubblico.
• Aggiunga un tempo di attesa al pulsante di reinvio. Se gli utenti cliccano più volte su "il codice non è arrivato", la Sua quota si consuma inutilmente; tenere il pulsante disattivato per 60 secondi protegge sia la quota sia il numero.
• Mantenga gentili i messaggi di errore. Una frase chiara come "Codice non valido, restano 3 tentativi" guida l'utente a riprovare.
• Aggiunga una protezione dai bot. Sui moduli di registrazione pubblici, un CAPTCHA o una misura simile rende più difficile ai malintenzionati consumare la Sua quota.

Breve nota su privacy e consenso

Un codice di verifica è un'informazione legata a un'operazione avviata dall'utente stesso; non è un messaggio promozionale. Per questo viene solitamente considerato un messaggio transazionale che non richiede il consenso alle comunicazioni commerciali. Restano comunque due regole importanti: non inserisca pubblicità o campagne nel messaggio del codice e indichi nella Sua informativa sulla privacy che utilizza il numero di telefono solo per la verifica. Questa sezione non costituisce consulenza legale; per la Sua situazione specifica si rivolga al Suo consulente.

Prima di provare

In WapFlow OTP, una chiave di test (che inizia con wfo_test_) non invia messaggi e non consuma quota; restituisce il codice nel campo test_code della risposta. Provi prima l'integrazione con questa chiave e cambi la chiave soltanto al momento del passaggio in produzione. Quando è pronto, può consultare i piani nella pagina di WapFlow OTP.

Domande frequenti

L'OTP su WhatsApp sostituisce del tutto l'OTP via SMS?

Non in ogni caso. Se l'utente non ha WhatsApp o il messaggio non arriva, serve un'alternativa come SMS o e-mail. Considerare i due canali insieme è l'approccio più sano.

Da quale numero arrivano i codici?

Dal Suo numero WhatsApp, collegato nel pannello. Se collega più numeri, gli invii vengono distribuiti a turno; se uno non riesce a inviare, si prova quello successivo.

Come va scritto il numero di telefono?

Con il prefisso internazionale e solo cifre, ad esempio 905321234567. I numeri di 11 cifre che iniziano con 0 sono trattati come numeri turchi e si aggiunge 90 davanti. L'API restituisce un errore per un numero non valido.

Quanti codici posso inviare a un solo numero?

Per prevenire abusi, a uno stesso numero possono essere inviati 1 codice ogni 60 secondi, 5 all'ora e 10 al giorno.

Viene usato insieme all'app per Windows?

No. WapFlow OTP è un servizio API nel cloud ed è venduto separatamente. È indipendente dall'app per Windows e si può utilizzare l'uno o l'altra in modo autonomo.