Was ist WhatsApp-OTP? Bestätigungscodes per WhatsApp statt SMS versenden

Stellen Sie sich den sechsstelligen Code vor, der auf Ihrem Handy landet, wenn Sie sich auf einer Website registrieren. Das ist ein OTP, ein Einmalpasswort, im Alltag meist einfach Bestätigungscode genannt. Jahrelang wurden diese Codes per SMS verschickt. Dabei öffnen die meisten Kunden WhatsApp weit häufiger als ihre Textnachrichten. Dieser Artikel erklärt, was ein WhatsApp-OTP ist, wie er funktioniert, wo er der SMS überlegen ist und wo seine Grenzen liegen. Wir sagen es offen: Für jedes Unternehmen und jede Situation ist das nicht die richtige Lösung.

Was ist ein OTP?

OTP steht für One-Time Password, also Einmalpasswort. Das System erzeugt einen kurzen Zufallscode und sendet ihn an die Telefonnummer des Nutzers. Der Nutzer tippt ihn in ein Formular ein, und das System prüft, ob der Code stimmt, noch gültig ist und zum ersten Mal verwendet wird. Wer den Code empfängt, hat damit nachweislich Zugriff auf diese Telefonnummer.

Typische Einsatzbereiche sind:

• Bestätigung der Telefonnummer in einem Registrierungsformular
• Anmeldung ohne Passwort (Telefonnummer plus Code)
• Passwort zurücksetzen
• Prüfung, ob die Telefonnummer einer E-Commerce-Bestellung echt ist, besonders bei Zahlung an der Tür
• Ein zweiter Schritt bei sensiblen Aktionen wie einer Adressänderung oder einer Zahlungsfreigabe

Wie funktioniert ein WhatsApp-OTP?

Die Logik bleibt gleich; nur der Kanal, über den der Code kommt, ändert sich. Der Code wird als WhatsApp-Nachricht statt als SMS zugestellt. WapFlow OTP bietet das als REST-API an, und der Ablauf sieht so aus:

1. Im WapFlow-Panel verknüpfen Sie Ihre eigene WhatsApp-Nummer mit einem QR-Code oder einem Kopplungscode.
2. Im Panel erstellen Sie einen Live-API-Schlüssel und einen Test-API-Schlüssel.
3. Ihre Website erfasst die Telefonnummer des Nutzers und ruft von Ihrem Server aus /send auf. Der Code erreicht den Nutzer als WhatsApp-Nachricht von der Nummer, die Sie verknüpft haben.
4. Der Nutzer gibt den Code ein, und Ihre Website prüft ihn mit einem Aufruf von /verify.

Die Codes werden mit kryptografischem Zufall erzeugt und nicht im Klartext gespeichert. Die Länge lässt sich zwischen 4 und 8 Stellen einstellen, die Gültigkeit zwischen 60 und 900 Sekunden; standardmäßig hat ein Code sechs Stellen und ist fünf Minuten gültig. Pro Code sind höchstens fünf Fehlversuche erlaubt, und ein bestätigter Code lässt sich nicht erneut verwenden. Die technischen Details stehen in der API-Dokumentation, und unser Leitfaden für PHP, Node.js und Python enthält Codebeispiele.

Vorteile gegenüber SMS

Eine App, die Ihre Kunden ohnehin geöffnet haben

Kunden müssen nicht erst in eine andere Nachrichten-App wechseln, um den Code zu lesen; viele Menschen haben WhatsApp den ganzen Tag geöffnet. Dadurch kann die Eingabe des Codes schneller gehen.

Ein vertrauter Absender

Der Code kommt von Ihrer eigenen WhatsApp-Nummer. Statt einer anonymen Kurznummer sieht der Kunde einen Chat, der Ihre Geschäftsidentität trägt. In der Nachrichtenvorlage können Sie die Variablen {app}, {code} und {minutes} verwenden, um den Namen Ihrer Anwendung und die Gültigkeitsdauer anzuzeigen.

Eine feste monatliche Gebühr

WapFlow OTP berechnet keine Gebühr pro Nachricht. Sie versenden so viele Codes, wie das monatliche Kontingent Ihres Tarifs erlaubt. Die Tarife sind monatlich: 249,99 TRY für 1 Konto und 5.000 Codes, 449,99 TRY für 2 Konten und 15.000 Codes, 649,99 TRY für 3 Konten und 30.000 Codes sowie 999,99 TRY für 5 Konten und 60.000 Codes. Die aktuellen Preise finden Sie auf der Preisseite. Wenn Sie bereits einen WapFlow-Cloud-Tarif nutzen, gilt für den OTP-Tarif ein Rabatt; der Satz wird beim Checkout angezeigt.

Keine Meta-Genehmigung und keine Vorlagenfreigabe

Die offizielle WhatsApp Business API setzt eine Geschäftsverifizierung und die Genehmigung von Nachrichtenvorlagen voraus. WapFlow OTP braucht das nicht, weil es anders arbeitet: Es nutzt Ihre eigene Nummer als verknüpftes Gerät. Was das genau bedeutet, erläutern wir unten.

Grenzen, die Sie kennen sollten

Eine Methode ohne ihre Nachteile darzustellen, wäre Ihnen gegenüber unfair. Behalten Sie diese Punkte im Blick:

• Es ist nicht die offizielle WhatsApp Business API. WapFlow OTP arbeitet über ein verknüpftes Gerät (QR) und steht in keiner Verbindung zu WhatsApp oder Meta. Den Unterschied erklären wir in WhatsApp Business API oder Web-Automatisierung?.
• Eine Zustellung ist nicht garantiert. Eine Nachricht kann wegen WhatsApp, der Nummer oder des Netzes nicht ankommen. Der Nutzer hat womöglich gar kein WhatsApp.
• Das Sperrrisiko ist nie null. Wenn WhatsApp die Nummer einschränkt, stoppen auch die Codes. Tägliche Limits und das Aufwärmen des Kontos verringern dieses Risiko; lesen Sie dazu unseren Beitrag über die Verringerung des Sperrrisikos.
• Kritische Aktionen brauchen einen Ersatzkanal. Für Zahlungsfreigaben oder die Wiederherstellung von Konten sollten Sie einen zweiten Weg haben, etwa SMS oder E-Mail.

Für wen ist das geeignet?

Es lohnt sich für Unternehmen, die ihre Kunden bereits über WhatsApp erreichen und einen Bestell- oder Terminablauf haben: kleine und mittelgroße Online-Shops, Dienstleister, lokale Plattformen. Wenn Sie WordPress oder WooCommerce nutzen, können Sie es ohne Programmierung mit dem Plugin einrichten. Wenn Sie einen stark regulierten Dienst betreiben, etwa im Bankwesen, müssen Sie offizielle Kanäle und rechtliche Anforderungen gesondert prüfen.

Tipps für einen guten OTP-Ablauf

• Prüfen Sie den Code auf Ihrem Server. Überlassen Sie die Entscheidung nie dem Browser; rufen Sie /verify immer von Ihrem eigenen Server aus auf.
• Halten Sie den API-Schlüssel geheim. Verwenden Sie ihn nicht im Browser, in einer mobilen App oder in öffentlichem Code.
• Setzen Sie eine Sperrzeit für die erneute Anforderung. Wenn Nutzer immer wieder auf „Code nicht erhalten“ klicken, verbraucht sich Ihr Kontingent ohne Nutzen; eine 60 Sekunden lang deaktivierte Schaltfläche schützt Kontingent und Nummer.
• Formulieren Sie Fehlermeldungen freundlich. Ein klarer Satz wie „Ungültiger Code, noch 3 Versuche“ führt den Nutzer zu einem neuen Versuch.
• Schützen Sie Formulare vor Bots. Auf öffentlichen Registrierungsformularen erschwert ein CAPTCHA oder eine ähnliche Maßnahme es Missbrauchern, Ihr Kontingent zu verbrauchen.

Ein kurzer Hinweis zu Datenschutz und Einwilligung

Ein Bestätigungscode ist eine Information und hängt mit einer Aktion zusammen, die der Nutzer selbst gestartet hat; er ist keine Werbenachricht. Deshalb wird er meist als transaktionale Nachricht behandelt, für die keine Einwilligung zu kommerziellen Nachrichten nötig ist. Zwei Regeln bleiben trotzdem wichtig: Packen Sie niemals Werbung oder eine Kampagne in die Code-Nachricht, und erklären Sie in Ihrer Datenschutzerklärung, dass Sie die Telefonnummer nur zur Bestätigung verwenden. Dieser Abschnitt ist keine Rechtsberatung; klären Sie Ihren konkreten Fall mit Ihrem Berater.

Bevor Sie es ausprobieren

Im WapFlow OTP erzeugt ein Test-Schlüssel (beginnend mit wfo_test_) keine Nachricht und verbraucht kein Kontingent; stattdessen wird der Code im Feld test_code zurückgegeben. Testen Sie Ihre Integration zuerst damit und tauschen Sie den Schlüssel erst beim Livegang aus. Wenn Sie so weit sind, sehen Sie sich die Tarife auf der WapFlow-OTP-Seite an.

Häufig gestellte Fragen

Ersetzt WhatsApp-OTP das SMS-OTP vollständig?

Nicht in jedem Fall. Wenn der Nutzer kein WhatsApp hat oder die Nachricht nicht ankommt, brauchen Sie eine Alternative wie SMS oder E-Mail. Beide Wege zusammen zu denken, ist der gesündeste Ansatz.

Von welcher Nummer kommen die Codes?

Von Ihrer eigenen WhatsApp-Nummer, die Sie im Panel verknüpft haben. Wenn Sie mehr als eine Nummer verknüpfen, werden die Versände abwechselnd verteilt; kann eine Nummer nicht senden, wird die nächste versucht.

Wie sollte die Telefonnummer geschrieben werden?

Mit Ländervorwahl und nur Ziffern, zum Beispiel 905321234567. Elfstellige Nummern, die mit 0 beginnen, werden als türkische Nummern behandelt und erhalten vorne 90. Bei einer ungültigen Nummer gibt die API einen Fehler zurück.

Wie viele Codes kann ich an eine Nummer senden?

Zum Schutz vor Missbrauch kann eine Nummer 1 Code pro 60 Sekunden, 5 pro Stunde und 10 pro Tag erhalten.

Wird es zusammen mit der Windows-App genutzt?

Nein. WapFlow OTP ist ein Cloud-API-Dienst und wird separat verkauft. Es ist unabhängig von der Windows-App, und Sie können jeweils eines der beiden allein nutzen.