Come registrarsi con l'autenticazione a due fattori nel tuo marketplace

Ciao a tutti!!

Pochi giorni fa abbiamo rilasciato l'autenticazione SMS per il login che significa che potevi configurare l'autenticazione a due fattori usando un telefono e gli SMS.

Oggi andiamo 1 passo oltre. Da ora puoi accedere solo con il tuo numero di telefono! Niente più bisogno dell'email. Ti invieremo un SMS al telefono associato al tuo account e se il codice è corretto verrai autenticato ;)

Ma non è tutto! Abbiamo anche rilasciato la registrazione con il telefono!

1. L'utente inserisce il suo telefono
2. Gli inviamo un SMS
3. Lui inserisce il codice, se valido
4. Chiediamo un'email
5. Utente registrato ;)

Gestire il login SMS in sicurezza nel 2026: cosa è cambiato e cosa configurare

Il login via telefono e la registrazione via telefono fanno ancora parte di Yclas. Oggi li attivi nel tuo pannello di amministrazione in Pannello > Integrazioni > 2Factor: aggiungi la tua chiave API di 2Factor, poi attivala. Una volta attiva, un modulo di registrazione via telefono appare insieme al normale modulo di iscrizione e un'opzione di login via telefono appare nella pagina di accesso. Clickatell, usato nel nostro precedente articolo sugli SMS, non è più offerto nel pannello di amministrazione. Due cose sono cambiate dal 2022, ed entrambe influenzano come dovresti gestire questa funzionalità.

1. I codici SMS sono ora un autenticatore "limitato"

Il National Institute of Standards and Technology statunitense ha finalizzato lo SP 800-63B-4 nel 2025. Indica l'invio di codici tramite la rete telefonica (SMS o voce) come l'unico autenticatore "limitato". Puoi ancora usarlo, ma il NIST dice che i servizi dovrebbero:

• offrire almeno un'alternativa non limitata;
• informare gli utenti sui rischi degli SMS e sull'opzione più sicura;
• usare codici di almeno sei cifre, utilizzati entro 10 minuti;
• consentire non più di 100 tentativi falliti consecutivi;
• considerare segnali di rischio come cambi di SIM, cambi di dispositivo e portabilità del numero, che sono i modi con cui gli attaccanti prendono il controllo dei numeri di telefono.

Yclas copre già il primo punto: il suo login a due passaggi funziona anche con Google Authenticator. Considera gli SMS come l'opzione facile per gli acquirenti, e incoraggia amministratori, moderatori e venditori ad alto volume a usare un'app authenticator.

2. La frode da SMS pumping può far lievitare la tua fattura

Qualsiasi modulo pubblico che invia un messaggio di testo può essere usato in modo improprio. Twilio descrive l'SMS pumping come la richiesta da parte di truffatori di grandi quantità di messaggi di testo da moduli non protetti, usando numeri di telefono da cui possono guadagnare, mentre la tua attività paga per ogni messaggio inviato. Il tuo modulo di registrazione via telefono è esattamente quel tipo di campo. La lista di controllo per la prevenzione di Twilio raccomanda:

• bloccare gli SMS verso i paesi dove non hai utenti;
• limiti di frequenza per utente, per indirizzo IP e per prefisso del numero, con ritardi crescenti tra richieste ripetute;
• monitorare il rapporto tra codici verificati e codici inviati, e avvisare quando scende improvvisamente;
• protezione antibot sul modulo e avvisi quando l'utilizzo aumenta bruscamente.

Lista di controllo rapida per la configurazione

1. Se il tuo provider SMS lo permette, limita l'invio ai paesi che il tuo marketplace serve e imposta un avviso di saldo basso.
2. Tieni presente che i moduli di iscrizione e login via telefono non mostrano un proprio CAPTCHA, quindi i limiti del tuo provider SMS sono la tua protezione principale.
3. Controlla settimanalmente il registro di consegna del tuo provider SMS. Un picco di codici inviati senza nuovi account corrispondenti è il segno classico del pumping.
4. Menziona Google Authenticator nella tua pagina di assistenza, così gli utenti che si preoccupano della sicurezza hanno un'opzione più forte.

Spero che troviate utile questa funzionalità e che la apprezziate!