Cos’è un OTP e come funziona il codice monouso
Dagli SMS alle app di autenticazione, una guida ai codici usa e getta che aiutano a proteggere i nostri account online.
Il significato di Codice OTP “One Time Password”
Partiamo dalle basi: l’acronimo OTP significa One Time Password, cioè password monouso. Si tratta di un codice di sicurezza, che puoi utilizzare una volta sola, inviato da una piattaforma online o da una banca per accedere a un account personale, confermare un pagamento o reimpostare una password. A seconda della piattaforma, può essere inviato in diversi modi: come notifica push, sotto forma di codice via SMS o email, o può essere generato da un’app di autenticazione. Generalmente ha una scadenza molto breve: è valido per pochi minuti e, dopo averlo usato, non sarà più utilizzabile per un nuovo accesso.
Ma come funziona esattamente un codice OTP? Dove arriva? E cosa fare se non riesci a riceverlo? Scopriamo tutti i dettagli e come usarlo per proteggere i tuoi account.
Che cos’è un codice OTP e a cosa serve
Un codice OTP è una sequenza di numeri, o di numeri e lettere, creata automaticamente per verificare un accesso o autorizzare un’operazione, come per esempio un pagamento. Spesso è composto da sei cifre, ma la lunghezza può cambiare in base al servizio.
Il suo scopo è legato alla sicurezza online: serve per controllare che chi sta compiendo un’operazione abbia effettivamente accesso anche al numero di telefono, alla casella email o al dispositivo associato in precedenza all’account. Per esempio, conoscere la password di un profilo può non essere sufficiente per entrarci: il sito può chiedere anche il codice disponibile sul telefono del titolare, in modo da evitare accessi indesiderati.
Gli OTP diventano necessari in diverse situazioni, in cui potrebbe essere a rischio la sicurezza dei nostri profili online:
- Verifica dei recapiti (telefono e email) durante la registrazione di un nuovo account, per controllare che l’utente possa effettivamente ricevere gli SMS e le email.
- Ripetere l’accesso ai propri account online, per esempio quando si inizia a usare un nuovo dispositivo.
- Conferme di pagamento e operazioni bancarie.
- Recupero dell’accesso, quando è necessario impostare una nuova password, che magari è stata smarrita o dimenticata.
- Modifica di informazioni importanti, come i contatti associati a un account.
Che differenza c’è tra OTP e password?
La password è quella che scegli tu in autonomia, puoi salvare per utilizzarla nel corso del tempo (almeno finché non decidi di cambiarla) e che inserisci ogni volta che vuoi accedere a un servizio. L’OTP, invece, viene generato, di volta in volta, dal sistema su cui stai cercando di compiere una determinata operazione o da un dispositivo configurato per farlo: non puoi sceglierlo tu e non può essere riutilizzato più di una volta (da qui il senso di “One Time”, monouso).
Non devi quindi inventarlo né memorizzarlo: devi soltanto recuperare il codice richiesto dove ti è stato inviato e inserirlo nel campo apposito indicato dal sito o dall’app a cui stai cercando di accedere o su cui stai completando una determinata operazione.
Come funziona un OTP?
Il funzionamento può cambiare da un servizio all’altro, ma in genere il percorso è abbastanza standardizzato. Pensa per esempio a quando vuoi accedere a un account:
- Vai alla pagina di login, dove inserisci le credenziali e cioè nome utente e password.
- A questo punto, il servizio potrebbe chiederti una verifica aggiuntiva: la piattaforma crea automaticamente un codice e lo invia al tuo numero di telefono, già associato in precedenza all’account.
- Recupera l’OTP dall’SMS ricevuto o dall’e-mail.
- Inserisci il codice nella pagina di accesso, riportandolo nel campo indicato, prima della scadenza.
A questo punto, il sistema controlla l’OTP: se è corretto, ancora valido e non è già stato usato, l’accesso può essere completato.
Quando il codice viene generato da un’app di autenticazione, il passaggio è un po’ diverso, anche se il principio è simile: invece di aprire gli sms o l’app dell’e-mail, devi aprire in questo caso la tua app di autenticazione preferita, che avevi associato già in precedenza, e leggere il codice relativo all’account.
Dove trovo il codice OTP?
Esistono diverse possibilità per ricevere il codice OTP: sarà la stessa pagina a cui stai cercando di accedere a informarti attraverso quale strumento, app di autenticazione, dispositivo o e-mail dovrebbe arrivarti.
Scopriamo i casi più comuni.
OTP via SMS/WhatsApp
Il codice arriva come messaggio (SMS) al numero di cellulare registrato. Per riceverlo non devi installare un’app di autenticazione e non serve una connessione Internet; occorre però che il telefono possa ricevere gli SMS. In alcuni casi, potrebbe arrivare anche come messaggioWhatsApp.
Questa modalità è comoda, ma può risentire di ritardi o problemi della rete mobile. Inoltre presenta alcuni rischi di sicurezza: con ilSIM swapping, per esempio, un truffatore potrebbe riuscire a trasferire con l’inganno il tuo numero su una SIM in suo possesso. Da quel momento gli SMS destinati a te, compresi i codici OTP, arriveranno sul suo dispositivo.
OTP via email
Il funzionamento è praticamente identico al precedente, solo che il codice viene inviato in questo caso alla casella di posta associata all’account: ti basta aprire l’email e inserire l’OTP nella pagina che lo richiede.
Se il messaggio non compare nella posta in arrivo, prova a controllare anche la cartella spam. È un metodo più sicuro degli SMS? Dipende dal grado di protezione della tua casella e-mail: se ci sono dei problemi di sicurezza, un malintenzionato potrebbe riuscire ad accedervi a tua insaputa e leggere il codice che hai ricevuto.
OTP con un’app di autenticazione
Un’app di autenticazione, come Google Authenticator, può generare un codice usa e getta direttamente sullo smartphone. Prima di utilizzarla, però, devi averla già collegata all’account a cui stai cercando di accedere, seguendo la procedura specifica per quel determinato servizio. Una volta configurata, l’app può generare un OTP anche senza connessione Internet.
Rispetto a SMS e email è considerata una soluzione più sicura: il codice viene generato direttamente sul dispositivo e non viaggia sulla rete, quindi non può essere intercettato durante l’invio né arrivare a chi ha preso il controllo del tuo numero.
OTP con una notifica push
Alcuni servizi inviano il codice con una notifica push, cioè un avviso che compare sullo smartphone: ti basta aprire la notifica e riportare il codice nella pagina di accesso, come faresti con un SMS.
Per usare questa modalità devi avere installato l’app della piattaforma a cui desideri accedere. A differenza degli SMS, la notifica viaggia su un canale cifrato e non dipende dalla rete mobile. In alcuni casi, come per esempio Instagram, la notifica non prevede alcun codice e mostra semplicemente una richiesta di accesso da confermare.
OTP con un token o tramite chiamata
Un token hardware è un piccolo dispositivo fisico, che serve proprio a generare codici monouso. A seconda del modello, il codice compare quando premi un pulsante oppure viene inviato al computer quando colleghi il token alla porta USB. Esistono anche versioni sotto forma di smart card o con connessione Bluetooth.
È considerato uno dei metodi più sicuri, ma ha un costo ed è meno pratico per l’uso quotidiano. Per questo si usa soprattutto per proteggere account particolarmente rilevanti o quando sono previsti requisiti di sicurezza stringenti.
Quanto dura un codice OTP?
La durata di un OTP dipende dal sistema utilizzato: i codici inviati via SMS o email hanno generalmente una scadenza breve, spesso di pochi minuti; sulle app di autenticazione, l’OTP può cambiare ancora più velocemente, ogni 30 o 60 secondi.
Per sapere quanto tempo hai a disposizione per ricopiare la sequenza, controlla le istruzioni del servizio o l’eventuale conto alla rovescia, se presente nella pagina di accesso.
OTP e autenticazione a due fattori sono la stessa cosa?
L’OTP, come abbiamo spiegato, è un codice numerico o alfanumerico usa e getta. L’autenticazione a due fattori, spesso indicata con la sigla 2FA, è invece una modalità di accesso che richiede due tipi diversi di verifica.
Un esempio è l’accesso tramite password, cioè una sequenza che già conosci, seguito dalla richiesta di inserimento di un OTP, ricevuto o generato su un dispositivo che possiedi, come lo smartphone. L’autenticazione a due fattori rappresenta quindi la procedura che prevede entrambi gli elementi.
Ricorda inoltre che un codice OTP può essere usato anche senza password: alcuni servizi consentono, per esempio, di accedere con il solo codice monouso, senza inserire password.
Come attivare i codici OTP su un account
L’attivazione di questa forma di sicurezza degli accessi dipende dalle opzioni offerte dal servizio a cui stai cercando di accedere. In generale, per attivare la procedura devi accedere alle impostazioni di sicurezza del tuo account e cercare la voce dedicata alla verifica in due passaggi o all’autenticazione a due fattori.
Se è prevista la verifica tramite OTP, puoi scegliere fra le modalità disponibili, come SMS o app di autenticazione. Segui quindi le istruzioni per associare il numero di telefono o configurare l’app e completare la verifica richiesta.
I nomi dei menu e i passaggi cambiano spesso da una piattaforma all’altra, per cui è necessario affidarsi alle guide ufficiali di ciascun servizio.
Il codice OTP non è arrivato: cosa posso fare?
Se ti è stato richiesto l’inserimento di un codice OTP ma non l’hai ricevuto, il primo passo da compiere è capire bene dove sarebbe dovuto arrivare: se si tratta di un codice generato da un’app di autenticazione, per esempio, non arriverà anche via SMS o e-mail, ma sarà necessario aprire l’app in questione.
Vediamo cosa fare negli altri casi.
Se non arriva l’SMS
Controlla che il numero associato all’account sia quello che utilizzi e che il telefono riesca a ricevere messaggi: a volte, la ricezione ritarda a causa di problemi di linea.
Se la linea funziona correttamente ma il codice non arriva comunque, puoi usare la funzione per richiederne un altro, presente nella pagina a cui stai tentando di accedere. Attenzione: evita di inviare troppe richieste a breve distanza, perché i servizi in genere limitano il numero di invii.
Se non arriva l’email
Verifica di aver aperto la casella di posta effettivamente associata al servizio e controlla anche lo spam: il messaggio potrebbe essere finito lì.
Se non lo trovi, richiedi un nuovo invio seguendo le istruzioni nella schermata di verifica.
Se utilizzi un’app di autenticazione
Apri l’app configurata per l’account a cui stai cercando di accedere e cerca il codice temporaneo corrispondente. In questo caso, non devi attendere la ricezione di un messaggio: il codice viene generato sul dispositivo e devi aprire l’app collegata.
Se non hai più accesso all’app o al telefono, segui la procedura di recupero prevista dal servizio o rivolgiti all’assistenza.
Perché il codice OTP non funziona?
Può succedere che hai ricevuto l’OTP, l’hai inserito nel campo apposito, ma compare un avviso che ti dice che il “codice è errato” o qualcosa di simile.
In questi casi, potrebbe essere successo che il codice:
- è caduto: un OTP arrivato in ritardo potrebbe non essere più valido. Basta chiederne un altro;
- è stato digitato in modo errato. In questo caso, confronta la sequenza che hai inserito con quella che avevi ricevuto;
- è già stato usato in precedenza: lo stesso codice non può essere utilizzato più di una volta;
- riguarda un
altro account o un’altra operazione.
Se il problema persiste, contatta l’assistenza del servizio.
I codici OTP sono sicuri?
Un OTP aggiunge un livello di protezione utile ai tuoi account online, soprattutto quando viene richiesto insieme alla password.
Questo, però, non rende il sistema completamente esente da rischi. Attraverso il phishing, infatti, un truffatore crea una pagina che imita in maniera indistinguibile un sito autentico per farti inserire sia la password sia l’OTP. In questo modo, può appropriarsi delle tue informazioni per completare l’accesso e, nei casi più gravi,eliminarti completamente dall’account o persino utilizzare i tuoi soldi, se per esempio stavi provando a completare un acquisto su un sito di e-commerce.
Come abbiamo visto, un altro rischio riguarda gli SMS: con il SIM swapping, un malintenzionato può trasferire il tuo numero su una SIM sotto il suo controllo e quindi ricevere i messaggi destinati a te.
Per usare gli OTP con attenzione:
- Controlla attentamente il sito a cui stai accedendo, prima di inserire password e codice monouso, soprattutto se avevi aperto quel link da un’e-mail o da un SMS.
- Non comunicare il codice ad altre persone: inseriscilo soltanto nella procedura di autenticazione relativa all’operazione che vuoi svolgere.
- Quando il servizio lo consente, valuta di utilizzare un’app di autenticazione, la quale genera i codici direttamente sul tuo dispositivo ed evita i rischi legati all’invio degli SMS.
Navigare in sicurezza con le offerte EOLO
Un codice OTP protegge l’accesso al singolo account, ma la sicurezza online parte anche dalla connessione che usi ogni giorno. Per questo le offerte internet casa di EOLO, sia in Fibra sia in FWA, possono includere o essere completate con il servizio Rete Sicura, pensato per proteggere i dispositivi collegati alla rete EOLO da pericoli informatici come siti web pericolosi, phishing, programmi indesiderati e indirizzi spam.
Le offerte possono essere soggette a limitazioni tecniche di velocità e geografiche. Verifica prima la copertura sul sito https://www.eolo.it/
Le immagini presenti in questo articolo sono state realizzate con strumenti di intelligenza artificiale.
