OTP (One-Time Password / codice OTP)
Definizione
Tre principali varianti di OTP :
• OTP SMS : codice inviato tramite messaggio di testo al numero di telefono del firmatario. Il più diffuso presso il grande pubblico perché non richiede alcuna applicazione. Vulnerabilità note: SIM swapping, intercettazione SS7 — per questo motivo l''OTP SMS è sufficiente per la firma avanzata (AES) ma non è più accettato per la QES (l''ANSSI e l''ENISA raccomandano dal 2020 di passare a fattori più forti).
• OTP e-mail : codice inviato tramite e-mail. Più facile da implementare, ma eredita i difetti della sicurezza dell''account e-mail del destinatario. Accettabile per la firma semplice (SES).
• TOTP (Time-based OTP) : codice generato localmente da un''applicazione sul telefono del firmatario (Google Authenticator, Authy, 1Password). Sincronizzato tramite una chiave segreta condivisa al momento dell''iscrizione. Nessun canale di rete al momento della firma — resistente alle intercettazioni. Standard RFC 6238.
OTP e firma elettronica : nella firma elettronica avanzata, l''invio di un OTP tramite e-mail o SMS crea un collegamento verificabile tra il documento firmato e l''identità del firmatario tramite il suo canale di comunicazione (telefono o e-mail). L''OTP è registrato nella pista di audit del documento (timestamp, IP, identificativo del canale) — prova opponibile in caso di contestazione.
Implementazione Certyneo : OTP SMS tramite Twilio Verify sulle buste AES — attivato poco prima della firma, validità 5 minuti, 3 tentativi. TOTP disponibile per gli account amministrativi in alternativa all''OTP SMS. Vedi anche MFA e autenticazione forte. Scopri di più sull''autenticazione del firmatario →
Domande frequenti
Che cos'è un codice OTP?
Un codice OTP (One-Time Password) è una password monouso, generalmente composta da 4 a 8 cifre, inviata per SMS o per email al momento di un'operazione sensibile. È valido solo per alcuni minuti e può servire una sola volta: anche se intercettato dopo l'uso, è inutilizzabile. È il meccanismo più diffuso per verificare che una persona possieda realmente il suo telefono o la sua casella mail.
A che cosa serve il codice OTP in una firma elettronica?
Il codice OTP collega l'atto della firma a una persona identificata: al momento di firmare, il firmatario riceve un codice monouso per SMS o per email e deve inserirlo per convalidare la firma. Questa verifica costituisce l'autenticazione forte richiesta per la firma elettronica avanzata (AES) secondo il regolamento eIDAS. In Certyneo, l'inserimento del codice è timestampato e registrato nella traccia di audit, il che rafforza il valore probatorio del documento firmato.
Come ricevere il proprio codice OTP e che cosa fare se non arriva?
Il codice OTP è inviato automaticamente per SMS al numero di cellulare o per email all'indirizzo dichiarato per il firmatario. Se non arriva: verificate il numero o l'indirizzo inseriti, attendete uno o due minuti (gli SMS possono essere ritardati nelle ore di punta), controllate la cartella spam per un OTP email, poi richiedete un reinvio. Un codice scaduto non è mai riutilizzabile — il reinvio genera sempre un nuovo codice.
Quale differenza c'è tra OTP, TOTP e MFA?
L'OTP è il codice monouso in sé, indipendentemente dal canale di invio (SMS, email). TOTP (Time-based OTP) ne è una variante generata localmente da un'applicazione di autenticazione e rinnovata ogni 30 secondi, senza rete. MFA (autenticazione multi-fattore) è la strategia complessiva che combina più fattori — password, OTP, biometria — per verificare un'identità: l'OTP è quindi uno dei possibili componenti di un'MFA.
L'OTP via SMS è sufficientemente sicuro per firmare un documento?
Sì per la stragrande maggioranza degli utilizzi contrattuali: l'OTP SMS materializza il controllo esclusivo del firmatario sul suo telefono e si inserisce in un fascio di prove (email, timestamp, pista di audit, impronta del documento). Per gli atti più sensibili, la firma qualificata (QES) con verifica d'identità rimane il livello consigliato.
Guide associate
Termini correlati
Pronto a mettere in pratica questi concetti?
Certyneo le permette di creare buste di firma conformi eIDAS in pochi clic, senza installazione.