Cos'è la verifica SMS? Come funzionano i codici OTP

Pubblicato il 2026-10-01 · Aggiornato il 2026-10-01 · 9 min di lettura

Risposta breve

La verifica SMS è un controllo in cui un'app invia un codice monouso via SMS a un numero di telefono e ti chiede di reinserirlo, dimostrando che puoi ricevere messaggi su quel numero. Il codice va dal server dell'app a un gateway SMS, poi attraverso gli operatori mobili fino al telefono o alla casella di quel numero. È molto usata per registrazioni e accessi, ma enti di sicurezza come il NIST la considerano più debole delle app di autenticazione e delle chiavi di sicurezza.

A cosa serve la verifica SMS

Le app usano la verifica SMS per rispondere a una sola domanda: questa persona può ricevere messaggi su questo numero di telefono adesso? Se riesci a leggere il codice e a reinserirlo, l'app considera il numero confermato.

Questo singolo controllo serve a più obiettivi. In fase di registrazione collega l'account a un numero raggiungibile e rende più costoso creare grandi quantità di account falsi, perché ognuno richiede un numero funzionante. All'accesso fa da secondo fattore oltre alla password. Per il recupero dell'account, dà all'app un modo per raggiungerti se dimentichi la password.

Il codice di solito si chiama OTP, abbreviazione di one-time password (password monouso), o semplicemente codice di verifica. Il glossario su /glossary spiega questi termini e altri collegati come 2FA, SMS A2P, sender ID e gateway SMS.

Il viaggio di un codice, passo per passo

1. Inserisci un numero di telefono. L'app controlla il formato, spesso convertendolo nel formato internazionale E.164 con il prefisso del paese, e può fare i propri controlli sul paese e sul tipo di numero.

2. Il server dell'app crea un codice casuale, lo salva con una scadenza e chiede a un fornitore SMS di inviarlo. Molte app usano per questo passaggio un servizio di messaggistica esterno.

3. Il fornitore SMS, spesso chiamato gateway SMS, immette il messaggio nella rete mobile. I messaggi dalle app alle persone si chiamano SMS A2P (application-to-person) e possono comparire come inviati da un codice breve, da un numero lungo o da un sender ID alfanumerico.

4. Il messaggio passa da un operatore all'altro fino a raggiungere la rete che serve il numero di destinazione. Quella rete lo consegna alla SIM, oppure alla casella online se il numero è gestito da un servizio come SMS Hallo.

5. Leggi il codice e lo digiti nell'app, oppure lo copi con un tocco. L'app lo confronta con il codice salvato. Se coincide e non è scaduto, il controllo è superato e il codice non può essere riutilizzato.

L'intero percorso di solito richiede pochi secondi, ma ogni passaggio è gestito da un'azienda diversa, ed è per questo che i problemi possono comparire in qualsiasi punto della catena.

Chiamate vocali, flash call e altre varianti

Molte app offrono un'alternativa quando l'SMS non funziona: una chiamata vocale automatica che legge il codice ad alta voce. Altre usano una flash call, in cui l'app fa partire una chiamata e legge il codice dal numero del chiamante senza che tu risponda. Alcune app di messaggistica possono anche consegnare i codici tramite la propria app o un altro servizio di messaggistica, dove disponibile.

Anche queste varianti dipendono dalla capacità della rete telefonica di raggiungere il numero. Se il tuo numero può ricevere sia chiamate sia SMS, hai più modi per completare il controllo. I numeri SMS Hallo ricevono entrambi: i codici compaiono nella casella SMS e alle chiamate puoi rispondere con il dialer nel browser.

Motivi comuni per cui il codice non arriva

Il numero è stato digitato male. Un prefisso del paese mancante, uno zero iniziale di troppo o una cifra invertita mandano il codice nel posto sbagliato. Controlla sempre il numero che l'app ti mostra.

L'app non invia a quel tipo di numero. Molte app controllano tipo e paese del numero prima di inviare. Alcune rifiutano i numeri fissi o quelli per chiamate via internet, e alcune limitano determinati paesi o serie di numeri. L'app può mostrare un errore, oppure semplicemente non inviare mai il codice.

Limiti di richieste. Chiedere un codice dopo l'altro può far sospendere gli invii per un po' all'app o al fornitore SMS. Aspetta la fine del conto alla rovescia e richiedilo una volta sola.

Filtri e ritardi di instradamento degli operatori. Le reti filtrano il traffico sospettato di essere spam, e i percorsi internazionali possono aggiungere ritardi. Un codice che impiega minuti può arrivare quando è già scaduto.

Il telefono o la casella. Su una SIM, poco segnale, memoria piena, mittenti bloccati o filtri antispam possono nascondere il codice. Con un numero online, verifica che il numero sia ancora attivo e di guardare il numero giusto nella tua dashboard.

Il codice è scaduto. La maggior parte dei codici vale solo pochi minuti. Usa il codice più recente e, nel dubbio, richiedine uno nuovo.

L'SMS a confronto con altri secondi fattori

L'SMS è comodo perché quasi tutti hanno un numero di telefono, ma le indicazioni autorevoli lo classificano sotto altri metodi. Le Digital Identity Guidelines del NIST, SP 800-63B-4, classificano l'autenticazione tramite la rete telefonica pubblica come limitata (restricted), dicono che i verificatori dovrebbero considerare segnali come un cambio SIM o una portabilità del numero, richiedono che siano disponibili altri tipi di autenticatore e affermano che i codici out-of-band non sono resistenti al phishing.

La FTC spiega il rischio concreto: gli attaccanti possono impossessarsi di un numero con un SIM swap e ricevere i codici. Descrive le app di autenticazione come più sicure e le chiavi di sicurezza come l'opzione più forte. Le indicazioni della CISA per le persone particolarmente prese di mira vanno oltre e sconsigliano del tutto l'SMS come secondo fattore, ricordando che gli SMS non sono cifrati.

Le app di autenticazione generano sul tuo dispositivo codici basati sul tempo a partire da un segreto condiviso, secondo lo standard TOTP dell'IETF RFC 6238, quindi nulla passa sulla rete telefonica. Chiavi di sicurezza e passkey usano la crittografia a chiave pubblica legata al sito web reale, cosa che blocca gran parte del phishing.

In sintesi: la verifica SMS va bene per confermare un numero in fase di registrazione ed è molto meglio di nessun secondo fattore, ma per i tuoi account più importanti aggiungi un'app di autenticazione o una chiave di sicurezza quando il servizio le offre.

Consigli per ricevere i codici in modo affidabile

Richiedi un codice solo quando sei pronto a inserirlo, perché la maggior parte dei codici scade in pochi minuti. Tieni l'app aperta mentre aspetti invece di uscire e ricominciare da capo.

Se l'app offre una scelta, prova la chiamata vocale dopo un tentativo via SMS fallito. Una chiamata può seguire un percorso diverso nella rete.

Usa un numero che terrai. La verifica non è un evento unico: lo stesso numero può servire più avanti per accessi da nuovi dispositivi e reset della password, quindi un numero che potrai ancora raggiungere tra qualche mese ti evita problemi.

Non condividere un codice di verifica con nessuno, nemmeno con chi dice di essere del supporto dell'app. Un codice inviato a te dimostra che controlli il numero, e cederlo consegna quel controllo a qualcun altro.

Tieni aggiornati i dati del tuo account. Se cambi numero, aggiungi il nuovo nelle impostazioni di ogni app mentre il vecchio funziona ancora, così non resterai mai bloccato ad aspettare un codice che va a un numero che non hai più.

Perché alle app importa che tipo di numero usi

Poiché la verifica SMS è anche una barriera contro gli account falsi, molte app esaminano il numero stesso. I numeri dei siti gratuiti e pubblici per ricevere SMS online sono condivisi da chiunque li visiti, quindi le app spesso li bloccano, e qualsiasi codice inviato lì può essere letto da sconosciuti.

I numeri di cellulare reali sono il tipo che la maggior parte dei servizi si aspetta. SMS Hallo noleggia numeri di cellulare reali nel formato mobile locale di 181 paesi e, finché ne noleggi uno, solo tu vedi i suoi messaggi. Anche così, ogni app decide quali numeri accettare, e nessun fornitore può promettere che ogni app accetterà un determinato numero.

Usa la verifica per account che hai il diritto di avere. La Policy di utilizzo accettabile di SMS Hallo vieta account falsi o duplicati, frodi e l'uso dei numeri per saltare i controlli di identità.

Ricevere codici di verifica con SMS Hallo

Registrati con un indirizzo email e una password, scegli un paese e un numero e paga. Gli SMS in arrivo compaiono nella tua dashboard con i codici rilevati e pronti da copiare.

Ogni numero SMS Hallo include SMS in entrata illimitati, chiamate in entrata illimitate, 500 SMS in uscita al mese e 1.000 minuti di chiamate in uscita al mese. I limiti si azzerano ogni 30 giorni e quanto non usi non passa al mese successivo.

I prezzi partono da $1.80 al mese con il piano di 12 mesi ($21.60 fatturati annualmente), uguali in ogni paese, senza costi di attivazione. Tieni il numero rinnovandolo o attivando il rinnovo automatico, perché un numero scaduto può essere assegnato a qualcun altro, che potrebbe poi ricevere i codici degli account ancora collegati.

Ogni numero SMS Hallo include tre garanzie. Primo, la sostituzione gratuita entro 7 giorni: entro 7 giorni puoi cambiare il numero con un altro disponibile dello stesso paese, gratis, fino a 3 volte, e il nuovo numero mantiene il tuo piano e la data di scadenza. Secondo, funziona o rimborso del 100%: se il numero non funziona con l'app per cui l'hai noleggiato, per esempio il codice non arriva mai, chiedi il rimborso entro 7 giorni e ricevi il 100% di quanto hai pagato. Terzo, la garanzia soddisfatti o rimborsati di 7 giorni: rimborso completo entro 7 giorni, senza domande, se sul numero non è stata fatta né ricevuta nessuna chiamata o SMS.

Fonti

Domande frequenti

Cos'è un codice di verifica SMS?

Un breve codice monouso, di solito da 4 a 8 cifre, che un'app invia via SMS per confermare che puoi ricevere messaggi su un numero di telefono. Vale per un tempo limitato e si può usare una sola volta.

La verifica SMS è la stessa cosa dell'autenticazione a due fattori?

Non sempre. In fase di registrazione conferma solo il tuo numero. Quando viene usata all'accesso in aggiunta alla password, fa da secondo fattore.

La verifica SMS è sicura?

Aggiunge protezione, ma NIST, FTC e CISA la considerano tutte inferiore alle app di autenticazione e alle chiavi di sicurezza, a causa di SIM swap, intercettazioni e phishing. Per gli account importanti usa un metodo più forte quando è disponibile.

Perché ricevo il codice con una chiamata vocale?

Molte app offrono una chiamata come alternativa quando l'SMS è lento o bloccato. Una voce automatica legge il codice e tu lo digiti.

Perché il mio codice non è arrivato?

Le cause comuni sono un numero digitato male, un'app che non invia a quel tipo di numero, limiti dopo richieste ripetute, filtri o ritardi dell'operatore e un codice scaduto.

Posso ricevere codici di verifica senza SIM?

Sì. Un numero di cellulare online riceve gli SMS in una dashboard web. Le app decidono comunque quali numeri accettare, e se un codice non arriva mai valgono le garanzie di SMS Hallo.

Cos'è un gateway SMS?

Un servizio che le app usano per inviare SMS nella rete mobile. Instrada ogni messaggio verso l'operatore che serve il numero di destinazione.

Guide

Letture correlate

Ricevere SMS da banche e app di pagamento: i limiti reali

Ricevere SMS da banche e app di pagamento su un secondo numero? Perché molte banche lo rifiutano, cosa dicono le nostre regole e alternative più sicure.

OTP non ricevuto? Soluzioni generali per qualsiasi app

OTP non ricevuto? Controlla il formato del numero, rispetta i timer, prova una chiamata, verifica mittenti bloccati e filtri dell'operatore.

Numero per nomadi digitali: tieni il tuo e aggiungi un locale

Nomadi digitali: come ricevere i codici da casa, aggiungere un numero locale in ogni paese ed evitare sorprese col roaming. Con note oneste su banche e 2FA.