Per due decenni, il tuo numero di telefono è stato la tua identità online. Ti consente di accedere alle app, riceve le tue password monouso e viaggia silenziosamente attraverso ogni chat aziendale che avvii. Su WhatsApp, è sempre stato l'elemento all'altro capo della conversazione: il numero che un marchio vede nel momento in cui dici "ciao".
Questo sta per cambiare. E la decisione ingegneristica silenziosa dietro di essa, un nuovo identificatore chiamato Business-Scoped User ID, potrebbe rivelarsi uno dei cambiamenti di privacy più significativi che il mondo della messaggistica abbia visto negli ultimi anni.
Cos'è un Business-Scoped User ID?
Un Business-Scoped User ID - BSUID in breve - è un codice univoco che identifica un utente di WhatsApp per una specifica azienda, senza rivelare il numero di telefono di tale utente. Secondo la documentazione per sviluppatori di Meta, un BSUID "identifica in modo univoco un utente di WhatsApp ed è legato a una specifica azienda".
Il formato è deliberatamente semplice: un codice paese alfa-2 ISO 3166, un punto e fino a 128 caratteri alfanumerici. In pratica, assomiglia a IT.13491208655302741918 — una stringa senza significato per un essere umano e senza modo di essere composta.
Ecco la parte che conta di più, ed è facile da perdere. La stessa persona ottiene un diverso BSUID per ogni azienda con cui parla. Il tuo BSUID presso la tua compagnia aerea non è il tuo BSUID presso la tua banca, e nessuno dei due può essere confrontato con l'altro. Come spiega Spotler, questo è intenzionale: "L'Azienda A non può utilizzare un BSUID per tracciare le attività o le interazioni di un utente con l'Azienda B".
Questa singola scelta di progettazione è ciò che separa un BSUID dal semplice "nascondere il numero". Un numero di telefono è una chiave universale: una volta che un'azienda lo possiede, può essere incrociato, venduto, unito al file di un broker di dati e collegato a tutto il resto di ciò che fai. Un identificatore con ambito aziendale è una chiave che apre una sola porta.
Perché ora? La funzionalità nome utente
I BSUID non sono apparsi nel vuoto. Sono l'infrastruttura per una funzionalità che gli utenti di WhatsApp desiderano da molto tempo: i nomi utente.
A partire dal 2026, WhatsApp introdurrà nomi utente facoltativi - handle come @tuonome che ti consentono di inviare messaggi e chiamare le aziende senza consegnare affatto il tuo numero di telefono. La documentazione di Microsoft sul cambiamento descrive il nome utente come l'identità pubblica e il BSUID come il riferimento backend privato che consente all'azienda di mantenere viva la conversazione.
Le regole sono semplici. Secondo quanto riportato da India TV News, i nomi utente devono avere da 3 a 35 caratteri, contenere almeno una lettera e utilizzare solo lettere, numeri, punti e trattini bassi. Il tuo numero di telefono rimane collegato al tuo account per l'accesso, l'autenticazione e il recupero: semplicemente smette di essere visibile alle aziende che contatti tramite il tuo nome utente.
Due dettagli rendono questo approccio veramente incentrato sull'utente. Primo, è interamente facoltativo: se preferisci il modo in cui WhatsApp funziona oggi, non cambi nulla. Secondo, è gratuito: non ci sono costi per creare, modificare o rimuovere un nome utente.
WhatsApp sta anche aggiungendo una salvaguardia facoltativa chiamata "chiave del nome utente", un breve PIN di cui qualcuno ha bisogno in aggiunta al tuo handle prima di poter raggiungere la tua casella di posta principale. È una piccola cosa che chiude una vera lacuna: un nome utente pubblico, da solo, potrebbe altrimenti essere indovinato o contattato da chiunque.
Come cambia la sicurezza per le persone comuni
Per capire perché questo è un grosso problema, devi ricordare quanto danno può causare un numero di telefono trapelato.
Il tuo numero è il fulcro della frode di SIM-swapping, in cui uno truffatore convince un operatore a trasferire il tuo numero sulla propria SIM e quindi intercetta i tuoi codici di sicurezza. È il seme per la raccolta di metadati, dove i broker assemblano un profilo attorno all'unico identificatore che non puoi cambiare facilmente. Ed è ciò che finisce nelle liste di spam dopo una singola transazione con un commerciante negligente.
Consentendo alle persone di interagire con le aziende tramite un nome utente e un codice con ambito aziendale, WhatsApp rimuove completamente il numero da quello scambio. La copertura del Mobile Ecosystem Forum inquadra la mossa come una risposta diretta a vulnerabilità di lunga data: il tipo di correzioni strutturali che proteggono le persone che non leggeranno mai una guida sulla sicurezza.
Pensa a chi ne trae maggior beneficio. Un sopravvissuto a violenze domestiche che ha bisogno di ordinare in farmacia senza rivelare un numero raggiungibile. Un giornalista che contatta l'organizzazione di una fonte. Un adolescente che acquista biglietti per concerti da un marchio con cui non ha mai avuto a che fare prima. Per tutti loro, "invia un messaggio a questa azienda senza darle il tuo numero" non è una comodità, è una funzione di sicurezza.
C'è anche un beneficio più silenzioso. Quando il tuo numero non è nel payload del webhook, non risiede nel database di qualche azienda in attesa di essere violato. Non puoi divulgare ciò che non hai mai raccolto. Quel principio - la minimizzazione dei dati - è stato il sacro graal della regolamentazione della privacy per anni. I BSUID lo integrano nel protocollo stesso.
Perché questo ha un impatto diverso nel mondo
WhatsApp non è un unico mercato; sono dozzine, e il BSUID significherà qualcosa di leggermente diverso in ciascuno.
In Europa, la modifica assomiglia quasi a un regalo di conformità. Il principio di minimizzazione dei dati del GDPR richiede che le aziende raccolgano solo i dati personali di cui hanno effettivamente bisogno. Un numero di telefono raccolto "per ogni evenienza" è sempre rimasto in una zona grigia. Un identificatore con ambito aziendale che consente a un'azienda di servire un cliente senza mai archiviare un numero di telefono è, in effetti, l'intento della regolamentazione espresso come impostazione predefinita tecnica. Le aziende che operano secondo le regole europee potrebbero scoprire che i nomi utente riducono silenziosamente la loro superficie di conformità.
In mercati come India, Brasile e Indonesia - dove WhatsApp non è solo un'app ma il canale principale per il commercio, i servizi governativi e gli affari quotidiani - la posta in gioco è diversa. Questi sono luoghi in cui un numero trapelato può significare una marea incessante di chiamate spam, molestie da app di prestito e frodi. Per centinaia di milioni di utenti di Internet per la prima volta, la possibilità di effettuare transazioni senza esporre un identificatore permanente e componibile è un miglioramento significativo della sicurezza quotidiana, non una preferenza di nicchia per la privacy.
Il filo conduttore è che WhatsApp sta rendendo la scelta privata quella facile. Storicamente, proteggere il tuo numero significava attrito: una seconda SIM, un numero usa e getta, un rifiuto di interagire. I nomi utente e i BSUID spostano tale protezione nel flusso predefinito, dove le persone che ne hanno più bisogno sono le più propense a utilizzarla effettivamente.
Merito dove è dovuto: questa è una cosa difficile da fare bene
Vale la pena fare una pausa per apprezzare ciò che Meta ha effettivamente costruito qui, perché le funzionalità di privacy sono facili da annunciare e difficili da ingegnerizzare.
La versione ingenua di "nascondi il mio numero" rompe tutto. Le aziende hanno ancora bisogno di un modo stabile per riconoscere un cliente abituale, instradare una richiesta di supporto o inviare l'aggiornamento di spedizione che hai richiesto. Se l'identificatore cambiasse ad ogni sessione, il commercio su WhatsApp smetterebbe semplicemente di funzionare. Se l'identificatore fosse lo stesso ovunque, avresti appena inventato una nuova chiave di tracciamento universale: teatro della privacy con passaggi aggiuntivi.
L'approccio con ambito aziendale trova un equilibrio. L'ID è sufficientemente stabile affinché un'azienda possa mantenere una relazione reale con te, e sufficientemente circoscritto in modo che la relazione non possa essere collegata tra aziende. Questo è un design attento e basato su principi, e Meta merita credito per averlo rilasciato come architettura predefinita piuttosto che come impostazione nascosta.
Meta ha gestito la transizione con attenzione. Come nota il changelog di Twilio, le aziende che hanno già il numero di telefono di un cliente da conversazioni precedenti non lo perdono: possono continuare a inviare messaggi ai contatti conosciuti come prima. Nessuna relazione esistente si rompe il primo giorno. Il nuovo modello è stratificato su quello vecchio, non fatto cadere sopra di esso.
Cosa dovranno adattare le aziende
Per le aziende che inviano messaggi ai clienti su WhatsApp, i BSUID sono meno una minaccia che un avviso. Alcune cose pratiche cambiano.
La più importante: non si può più dare per scontato il numero di telefono. Quando un utente adotta un nome utente, il suo numero potrebbe semplicemente non apparire nel webhook che i vostri sistemi ricevono. Invece, come dettagliato dalla base di conoscenza di Vonage, si ottiene un BSUID nei campi to e from. Qualsiasi sistema che utilizza il numero di telefono come chiave cliente primaria - CRM, strumenti di ticketing, analisi - deve imparare a trattare anche il BSUID come un identificatore valido.
C'è un'eccezione degna di nota. Secondo la documentazione di Meta, i modelli di autenticazione con un tocco, a zero tocchi e copia codice - i messaggi OTP che si ricevono durante l'accesso - richiedono ancora un numero di telefono e non possono essere inviati a un BSUID. Questo ha senso: quei flussi esistono precisamente per verificare un numero. Le conversazioni standard di marketing, utilità e servizio, tuttavia, funzioneranno solo con un BSUID.
C'è anche una regola di ambito da conoscere. I BSUID sono legati a un portfolio aziendale, quindi solo i numeri di telefono all'interno dello stesso portfolio possono inviare messaggi a un dato BSUID. Per la maggior parte delle aziende questo è invisibile; per le grandi organizzazioni che gestiscono più marchi sotto portfolio separati, è un dettaglio da pianificare.
Il risultato onesto per le aziende è che questo premia una buona igiene dei dati e punisce le scorciatoie. Le aziende che si sono affidate silenziosamente alla raccolta e rivendita di numeri scopriranno che quella fonte si prosciuga. Le aziende che si guadagnano una conversazione e la servono bene non noteranno quasi nessuna differenza.
La tempistica
Questo non è un cambiamento per un "un giorno" - è un cambiamento di calendario. Sulla base delle indicazioni raccolte da fornitori tra cui Twilio e la documentazione di Meta, il lancio si svolge approssimativamente così:
- Inizio aprile 2026: I BSUID iniziano ad apparire nei payload dei webhook e i nomi utente entrano in beta limitata.
- Maggio 2026: Arriva il supporto API per inviare messaggi agli utenti solo con il loro BSUID. Sarà possibile raggiungere le persone tramite BSUID, numero di telefono o entrambi.
- Giugno 2026: I nomi utente di WhatsApp iniziano il loro lancio globale più ampio.
Per una funzionalità che ridisegna silenziosamente il modo in cui oltre un miliardo di persone si identifica con le aziende, questa è una corsia di sorpasso notevolmente breve. I sistemi che la gestiscono con grazia sono quelli che vengono preparati ora.
Il quadro generale
Facendo un passo indietro, il BSUID fa parte di una storia molto più ampia delle impostazioni di un'app.
Per trent'anni, l'impostazione predefinita di Internet è stata quella di identificare le persone tramite qualcosa di permanente e riutilizzabile: un indirizzo email, un numero di telefono, un ID nazionale. Quel modello è efficiente e catastroficamente soggetto a perdite. Ogni riutilizzo è un'occasione per essere tracciati, uniti ed esposti. L'alternativa emergente, visibile in tutto, dai relay email privati di "Accedi con Apple" all'Hide My Email di Apple, è l'identità con ambito: dare ad ogni relazione la propria chiave usa e getta, e le perdite smettono di sommarsi.
L'introduzione da parte di WhatsApp di un identificatore con ambito aziendale al centro del modo in cui un terzo del pianeta comunica con le aziende è la più grande implementazione di quell'idea mai tentata. Se funziona - se i nomi utente prendono piede e le aziende si adattano senza attriti - normalizza l'aspettativa che si dovrebbe essere in grado di trattare con un'azienda senza cedere una parte permanente di sé.
Il numero di telefono non scomparirà dall'oggi al domani. Ma per la prima volta, non è più il prezzo d'ingresso per una conversazione. Questo è un piccolo cambiamento nel payload di un webhook di uno sviluppatore e un grande cambiamento nel mondo.
