Guide · 10 min read · Updated April 2026

Come funziona la verifica SMS — Spiegazione tecnica

Passaggio 1: Generazione OTP

Quando una piattaforma necessita di verificare il tuo numero di telefono, genera una Password Monouso (OTP). Ecco cosa succede lato server:

L'utente invia il numero di telefono — Il backend della piattaforma riceve il numero e ne valida il formato (prefisso internazionale, numero di cifre, prefisso valido).
Viene generato l'OTP — Viene creato un codice casuale crittograficamente sicuro, solitamente di 4-6 cifre. La maggior parte delle implementazioni utilizza HMAC-SHA1 o HMAC-SHA256 con un seed basato sul tempo o su un contatore (standard TOTP/HOTP da RFC 6238/RFC 4226).
L'OTP viene memorizzato — Il codice viene salvato lato server con un timestamp di scadenza (solitamente 60-300 secondi) e associato al numero di telefono.
Viene applicato il rate limiting — La piattaforma verifica quanti OTP sono stati richiesti per questo numero di recente. La maggior parte dei servizi consente 3-5 tentativi per numero all'ora.
Viene attivata la chiamata all'API SMS — La piattaforma invia una richiesta al suo provider SMS con il numero di telefono e il contenuto del messaggio.

L'OTP stesso è tipicamente solo un numero casuale. Le piattaforme non incorporano l'OTP in forma hash nel messaggio — viene inviato in chiaro nel corpo dell'SMS. Questa è una delle debolezze di sicurezza fondamentali della verifica SMS.

Passaggio 2: L'Ecosistema SMS A2P

A2P sta per Application-to-Person — messaggi inviati da un'applicazione software a un telefono umano. Questo è distinto dalla messaggistica P2P (Person-to-Person). L'ecosistema A2P ha la sua infrastruttura:

Aggregatori SMS

La maggior parte delle piattaforme non invia SMS direttamente tramite gli operatori. Invece, utilizzano aggregatori SMS — aziende che mantengono connessioni con centinaia di operatori in tutto il mondo. I principali aggregatori includono:

Twilio — Il più grande provider di API SMS. Utilizzato da Uber, Airbnb, Stripe e migliaia di altri.
Vonage (Nexmo) — Popolare per l'instradamento SMS internazionale.
Sinch — Forte nella consegna di OTP aziendali.
MessageBird — Aggregatore focalizzato sull'Europa.
Infobip — Attore principale nei mercati emergenti.

Quando Instagram ti invia un OTP, il messaggio probabilmente passa attraverso Twilio o un aggregatore simile prima di raggiungere il tuo operatore. L'aggregatore gestisce l'instradamento, la negoziazione con gli operatori e la conferma di consegna.

Instradamento SMS

L'aggregatore determina il percorso ottimale per la consegna dell'SMS. Per un numero statunitense, questo potrebbe significare:

Chiamata API della piattaforma → Aggregatore (es. Twilio)
Aggregatore → Gateway dell'operatore (es. AT&T, T-Mobile)
Gateway dell'operatore → SMSC (Short Message Service Center)
SMSC → MSC (Mobile Switching Center)
MSC → Stazione base → Telefono dell'utente

I messaggi internazionali aggiungono complessità. Un OTP da una piattaforma con sede negli Stati Uniti a un numero indiano potrebbe passare attraverso 2-3 operatori intermedi prima di raggiungere la destinazione. Ogni passaggio aggiunge latenza e una piccola possibilità di errore.

Vuoi vederlo in azione?

Prova VerifySMS Gratis →

Ottieni numeri virtuali e ricevi OTP in tempo reale

Passaggio 3: SS7 e il Livello di Segnalazione

SS7 (Signaling System No. 7) è la suite di protocolli che controlla come comunicano le reti telefoniche. Sviluppato negli anni '70, è ancora la spina dorsale della telefonia globale. Quando viene inviato un SMS, SS7 gestisce:

Ricerca del numero (query HLR) — L'operatore mittente interroga l'Home Location Register per determinare a quale operatore e rete appartiene il numero di destinazione.
Instradamento dei messaggi — I segnali SS7 determinano il percorso che il messaggio intraprende attraverso la rete.
Conferma di consegna — L'SMSC ricevente invia una ricevuta di consegna tramite la segnalazione SS7.

Problemi di Sicurezza SS7

SS7 è stato progettato in un'epoca in cui solo operatori di telecomunicazioni fidati avevano accesso alla rete. Oggi, l'accesso SS7 è disponibile per migliaia di entità, creando vulnerabilità di sicurezza:

Intercettazione SMS — Un attaccante con accesso SS7 può reindirizzare i messaggi SMS al proprio dispositivo. Questo è stato dimostrato in attacchi reali su 2FA bancarie.
Tracciamento della posizione — Le query SS7 possono rivelare la posizione fisica di un telefono.
Spoofing del numero — SS7 consente di inviare messaggi che sembrano provenire da un numero diverso.

Queste vulnerabilità sono il motivo per cui gli esperti di sicurezza raccomandano di abbandonare la 2FA basata su SMS a favore di autenticatori basati su app (TOTP) o chiavi hardware (FIDO2). Tuttavia, per la verifica iniziale dell'account (dimostrare di avere accesso a un numero), SMS rimane lo standard del settore perché ha la più ampia copertura.

Passaggio 4: Come i Numeri Virtuali Ricevono SMS

I numeri di telefono virtuali funzionano sostituendo la SIM fisica e i componenti radio con software. Ecco come un numero virtuale riceve un OTP:

Assegnazione del numero — Il provider di numeri virtuali affitta blocchi di numeri dagli operatori. Si tratta di numeri di telefono reali con registrazioni valide presso gli operatori.
SIM bank o soft SIM — Il provider gestisce schede SIM fisiche in hardware (SIM bank con centinaia o migliaia di SIM) o utilizza integrazioni software a livello di operatore per ricevere messaggi.
L'SMS arriva all'operatore — Il messaggio OTP viene consegnato all'operatore associato al numero virtuale, proprio come qualsiasi altro SMS.
Il messaggio viene inoltrato — La SIM bank o l'integrazione dell'operatore cattura l'SMS in arrivo e lo inoltra al backend del provider tramite API.
L'utente vede il codice — La dashboard o l'API del provider visualizza l'SMS ricevuto all'utente.

L'intuizione chiave: dal punto di vista della piattaforma mittente, un numero virtuale appare identico a un telefono fisico. L'SMS segue lo stesso percorso di instradamento. La differenza è nell'ultimo miglio — invece di essere visualizzato sullo schermo di un telefono, il messaggio viene catturato dal software.

Passaggio 5: Verifica Lato Piattaforma

Dopo che l'utente riceve l'OTP e lo inserisce sulla piattaforma, avviene la verifica lato server:

Confronto codici — La piattaforma confronta il codice inviato con l'OTP memorizzato.
Controllo scadenza — Se l'OTP è scaduto (solitamente 60-300 secondi), la verifica fallisce.
Conteggio tentativi — La maggior parte delle piattaforme consente 3-5 tentativi errati prima di bloccare la verifica.
Classificazione del numero — Alcune piattaforme controllano il numero rispetto a database di numeri VoIP/virtuali per segnalare un potenziale uso improprio.
Successo o fallimento — Se il codice corrisponde e non è scaduto, il numero di telefono viene contrassegnato come verificato.

Come le Piattaforme Rilevano i Numeri Virtuali

Alcune piattaforme tentano di bloccare i numeri virtuali. I metodi che utilizzano:

Metodo di Rilevamento	Come Funziona	Efficacia
Ricerca tipo numero	Interroga i database degli operatori per verificare se il numero è mobile, fisso o VoIP	Media — molti numeri virtuali sono registrati come mobili
Controllo database operatori	Confronta il numero con intervalli noti di provider VoIP	Media — funziona per i grandi provider, manca quelli più piccoli
Ricerca HLR	Interroga l'Home Location Register per i dettagli della scheda SIM	Alta per rilevare numeri solo software, inferiore per numeri da SIM bank
Analisi comportamentale	Traccia quanti account sono stati creati con numeri dallo stesso intervallo	Alta nel tempo, ma richiede l'accumulo di dati

I provider di numeri virtuali contrastano questi rilevamenti utilizzando numeri di livello carrier registrati come linee mobili, mantenendo pool di numeri diversificati e ruotando frequentemente i numeri. Il ciclo di evasione del rilevamento è in corso.

Perché la Verifica SMS Persiste Nonostante i Suoi Difetti

La verifica SMS ha debolezze di sicurezza ben note, eppure rimane il metodo dominante. Le ragioni sono pratiche:

Copertura universale — Ogni telefono può ricevere SMS. Nessuna installazione di app necessaria. Questo copre i miliardi di utenti su telefoni tradizionali e dispositivi più vecchi.
Familiarità utente — Tutti capiscono "inserisci il codice che ti abbiamo inviato". Nessuna spiegazione necessaria.
Basso costo di implementazione — Le API SMS sono economiche. Twilio addebita circa $0.0075 per SMS negli Stati Uniti. Su larga scala, si tratta di pochi centesimi per verifica.
Compromesso di sicurezza accettabile — Per la maggior parte dei casi d'uso (iscrizione ai social media, account di consegna cibo), SMS fornisce sufficiente attrito per scoraggiare abusi automatizzati senza richiedere chiavi di sicurezza hardware.

L'industria si sta lentamente muovendo verso alternative. Passkey (FIDO2), TOTP basati su app e notifiche push stanno guadagnando adozione. Ma per la verifica iniziale del telefono — dimostrare che un utente controlla un numero di telefono — SMS rimane lo standard.

Il Ruolo dei Numeri Virtuali in Questo Ecosistema

I numeri virtuali occupano una nicchia specifica: forniscono accesso a livello di numero di telefono senza richiedere un dispositivo fisico. Questo è utile per scenari legittimi, tra cui:

Protezione della privacy — Mantenere il tuo numero reale fuori dalle piattaforme che potrebbero vendere i tuoi dati. Vedi il nostro VerifySMS vs Siti SMS gratuiti (receive-smss.com) — Perché a pagamento è meglio per capire perché la privacy è importante qui.
Gestione multi-account — Le aziende che gestiscono più account sulla stessa piattaforma necessitano di numeri univoci per ciascuno.
Accesso internazionale — Verificare account su piattaforme in Numeri di telefono virtuali negli USA — Numeri Non-VoIP senza avere SIM card locali.
Sviluppo e test — I team QA che testano flussi OTP necessitano di molti numeri senza gestire dispositivi fisici.

Da un punto di vista tecnico, i numeri virtuali funzionano perché sfruttano il fatto che la verifica SMS dimostra solo il controllo di un numero — non che il numero sia su un telefono fisico in tasca a qualcuno. Finché il numero è valido e può ricevere messaggi A2P, la verifica ha successo.

Avanzato: Ottimizzazione della Consegna OTP

Se sei uno sviluppatore che implementa la verifica SMS, ecco considerazioni tecniche per una consegna affidabile:

Usa gli ID mittente con saggezza — Nei paesi che supportano ID mittente alfanumerici, usa il nome del tuo brand. Negli Stati Uniti, usa un short code dedicato o 10DLC (10-Digit Long Code) per le migliori percentuali di consegna.
Implementa il routing di fallback — Utilizza più aggregatori SMS in modo che se un percorso fallisce, il messaggio venga ritentato tramite un altro.
Mantieni i messaggi brevi — I messaggi OTP dovrebbero essere inferiori a 160 caratteri (un segmento SMS). I messaggi multi-segmento hanno tassi di errore più elevati.
Imposta timeout appropriati — 120 secondi è il punto ideale. Troppo breve causa falsi fallimenti; troppo lungo consente l'utilizzo di codici intercettati.
Registra le ricevute di consegna — Tieni traccia se i messaggi vengono consegnati, in sospeso o falliti. Questi dati aiutano a identificare problemi specifici dell'operatore.

Vedi la verifica SMS dal lato ricevente