SMS, Email o Impronta Digitale? Come Scegliere il Metodo 2FA Giusto per il Tuo Sito WordPress

Se hai già letto la nostra guida generale alla 2FA, sai che l’autenticazione a due fattori non è più opzionale per chi amministra un sito WordPress. Ma una volta deciso di attivarla, resta una domanda pratica: con quale canale ricevere il codice?

Non tutti i metodi sono uguali, e non tutti sono adatti a ogni tipo di sito. Vediamo i tre che contano davvero per un’attività italiana, senza girarci intorno con soluzioni pensate per multinazionali con budget enterprise.

I tre metodi a confronto

📧 Codice via Email

Il sistema invia un codice numerico alla casella email dell’utente subito dopo l’inserimento della password corretta.

Pro: nessuna app da installare, nessun costo per messaggio, funziona su qualunque dispositivo con accesso alla posta, semplice da configurare in pochi minuti.

Contro: la sicurezza dipende da quanto è protetto l’account email dell’utente; se qualcuno ha già accesso alla casella di posta, il secondo fattore perde parte della sua efficacia. La consegna può inoltre subire piccoli ritardi per via di filtri antispam.

Quando ha senso: è il punto di partenza ideale per la maggior parte dei siti — blog, e-commerce di piccole dimensioni, aree riservate con pochi collaboratori. È anche l’unico canale gratuito senza costi ricorrenti di invio.

📱 Codice via SMS

Il codice arriva come messaggio di testo al numero di telefono associato all’account.

Pro: l’utente riceve il codice su un canale che controlla quasi in tempo reale, indipendentemente dall’account email; utile per chi gestisce team con collaboratori meno abituati a controllare la posta elettronica con costanza.

Contro: nella maggior parte delle soluzioni in commercio ha un costo per messaggio (spesso a consumo su API telco esterne), dipende dalla copertura di rete del destinatario, ed è vulnerabile a tecniche come lo SIM swapping quando il numero non è adeguatamente protetto dal gestore telefonico.

Quando ha senso: team con più collaboratori dove serve un canale immediato e separato dalla posta elettronica, oppure come alternativa quando l’email non è affidabile (caselle aziendali con filtri troppo aggressivi, utenti che controllano raramente la posta).

La differenza di SPIDy WP: invece di appoggiarsi a un gateway SMS esterno a pagamento (dove ogni singolo codice ha un costo), SPIDy WP invia gli SMS tramite un’app Android installata su un semplice smartphone di servizio, sfruttando il piano SMS già incluso nel contratto della SIM — tipicamente fino a 2.000 SMS al mese, senza costi aggiuntivi per messaggio. Per un sito con team e collaboratori, questo significa avere l’SMS come canale 2FA reale, non come voce di spesa da monitorare messaggio per messaggio.

Come funziona in pratica: chi acquista SPIDy WP Client riceve, insieme al plugin, anche SPIDy SMS, l’app Android gateway pronta all’uso. Basta installarla su uno smartphone Android dedicato (anche un modello economico, non serve l’ultimo modello) con una SIM attiva, collegarla al plugin con le credenziali generate in un paio di passaggi, e da quel momento il telefono diventa il “centralino” che inoltra i codici 2FA come normali SMS. Nessun abbonamento a un servizio cloud terzo, nessuna fattura mensile che cresce con il numero di accessi: il costo è già quello che paghi ogni mese per la tua SIM.

🔐 Accesso Biometrico (WebAuthn — impronta digitale / Face ID)

Invece di ricevere un codice da trascrivere, l’utente conferma l’accesso con l’impronta digitale o il riconoscimento facciale già presenti sul suo smartphone o computer, tramite lo standard WebAuthn/FIDO2.

Pro: è il livello di sicurezza più alto tra i tre. Non c’è nessun codice da intercettare, perché la chiave crittografica non lascia mai il dispositivo dell’utente: è per questo motivo immune al phishing e agli attacchi SIM swapping che possono colpire l’SMS. Nessun costo per accesso, una volta configurato.

Contro: richiede un sito in HTTPS e un dispositivo con sensore biometrico o Windows Hello; la configurazione iniziale richiede un passaggio in più rispetto a email/SMS (registrare il dispositivo dal proprio profilo).

Quando ha senso: amministratori e collaboratori con privilegi elevati, dove la sicurezza deve essere massima e il fattore “comodità” passa in secondo piano rispetto alla protezione.

Tabella riassuntiva

Quanto costa davvero un OTP via SMS o WhatsApp con i servizi tradizionali

I concorrenti internazionali che propongono 2FA via SMS o WhatsApp — piattaforme come MojoAuth, Twilio o simili — non lo dicono quasi mai apertamente nelle loro pagine di confronto, ma dietro c’è un costo per ogni singolo codice inviato, che si somma mese dopo mese:

• SMS via Twilio verso numeri italiani: circa $0,09 per messaggio (dati Twilio, 2026). Con SMS su Meta/WhatsApp API o altri gateway a consumo la cifra è simile o superiore.
• OTP via WhatsApp Business API: i template di autenticazione in Europa costano indicativamente tra $0,02 e $0,055 per messaggio a seconda del paese di destinazione, a cui si aggiunge spesso una maggiorazione se passi attraverso un fornitore intermediario (BSP) come Twilio invece che direttamente da Meta — una maggiorazione che in alcuni casi arriva a raddoppiare il costo per messaggio.

Facciamo un esempio concreto: un piccolo team di 8 persone che accede al pannello WordPress un paio di volte a settimana genera facilmente 160 accessi 2FA al mese. Con un gateway SMS a pagamento tipo Twilio, sono circa 14 dollari al mese, oltre 160 euro l’anno — una cifra che cresce linearmente con ogni nuovo collaboratore o con l’uso più frequente del sito. Con SPIDy WP Client, quegli stessi 160 SMS passano attraverso il piano già incluso nella SIM del telefono gateway: zero euro aggiuntivi, oggi e anche se il team raddoppia, fino al tetto di 2.000 SMS mensili del piano telefonico.

E il codice via WhatsApp?

Alcune piattaforme internazionali propongono anche l’invio OTP via WhatsApp. Noi abbiamo scelto consapevolmente di non implementarlo in SPIDy WP: oltre al costo per messaggio appena visto, l’API Business di Meta richiede la verifica dell’azienda e l’approvazione di template specifici da parte di Meta stessa — un livello di complessità e di dipendenza da un’infrastruttura esterna che, per la stragrande maggioranza dei siti WordPress italiani (blog, PMI, e-commerce di nicchia), non si giustifica quando email e SMS coprono già ogni esigenza reale, senza costi ricorrenti. Preferiamo offrirti tre metodi solidi e sostenibili nel tempo, piuttosto che una quarta opzione che finiresti per non attivare mai per via dei costi e della burocrazia di approvazione.

Un consiglio di sicurezza per il telefono gateway

Se scegli SPIDy WP Client e dedichi uno smartphone Android all’invio degli SMS, un consiglio pratico: tienilo “pulito”, con solo l’app SPIDy SMS installata, senza aggiungere altre app non necessarie — a partire dalle app VPN gratuite.

Uno studio recente condotto da ricercatori dell’Università del Michigan, dell’Università del New Mexico e dell’IIT Delhi, presentato alla conferenza di sicurezza NDSS 2026 e ripreso da The Hacker News, ha analizzato 281 app VPN gratuite tra le più diffuse su Google Play, complessivamente installate oltre 2,4 miliardi di volte. I risultati: decine di queste app lasciano trapelare traffico e richieste DNS fuori dal tunnel cifrato che dovrebbero garantire, altre trasmettono dati in chiaro, e la maggioranza contatta server pubblicitari o di tracciamento pur promettendo il contrario.

Per un telefono che gestisce un canale di sicurezza come l’autenticazione a due fattori dei tuoi clienti, questo è un punto da non sottovalutare: più app installi su quel dispositivo, più aumenti la superficie di attacco, anche quando l’app in questione promette esplicitamente di proteggerti. La pratica migliore resta quella minimale: un telefono dedicato, solo l’app strettamente necessaria, aggiornamenti di sistema regolari, e nessuna app di terze parti “gratuita” di cui non conosci davvero l’affidabilità.

La nostra scelta: tutti e tre, in un unico plugin

SPIDy WP è il plugin che abbiamo sviluppato proprio per non farti scegliere un solo metodo in modo definitivo: puoi assegnare Email, SMS o accesso biometrico a ciascun utente, in base al ruolo e al livello di rischio.

• La versione gratuita include l’autenticazione via email, fino a 30 utenti attivi — perfetta per iniziare subito, senza costi.
• SPIDy WP Client aggiunge utenti illimitati, invio via SMS con fallback automatico su email (se il telefono non risponde, il codice arriva comunque via email) e login biometrico WebAuthn per i tuoi amministratori. Gli SMS non passano da un gateway a pagamento esterno: vengono inviati da un normale smartphone Android tramite la SIM del tuo stesso contratto telefonico, sfruttando il plafond SMS già incluso (fino a 2.000 al mese) — nessun costo per messaggio da monitorare.

Conforme alle direttive GDPR, NIS2 e SCA, pensato per essere installato in pochi minuti su qualunque sito WordPress, anche su hosting condiviso.

Scopri SPIDy WP e scegli il piano più adatto al tuo sito →