¿Qué es WhatsApp OTP? Enviar códigos de verificación por WhatsApp en lugar de SMS

Piense en el código de seis dígitos que le llega al teléfono cuando se registra en un sitio web. Eso es un OTP, una contraseña de un solo uso, que normalmente se llama código de verificación. Durante años, estos códigos han viajado por SMS. Sin embargo, la mayoría de sus clientes revisa WhatsApp con mucha más frecuencia que sus mensajes de texto. Este artículo explica qué es un OTP de WhatsApp, cómo funciona, en qué supera al SMS y cuáles son sus límites. Seremos claros: esta no es la respuesta correcta para todos los negocios ni para todas las situaciones.

¿Qué es un OTP?

OTP son las siglas de one-time password (contraseña de un solo uso). El sistema genera un código aleatorio corto, lo envía al número de teléfono del usuario, el usuario lo escribe en un formulario y el sistema comprueba que el código es correcto, sigue vigente y se usa por primera vez. Quien lo recibe demuestra que tiene acceso real a ese número de teléfono.

Los usos típicos incluyen:

• Verificar un número de teléfono en un formulario de registro
• Inicio de sesión sin contraseña (número de teléfono más código)
• Restablecimiento de contraseña
• Confirmar que el número de teléfono de un pedido de comercio electrónico es auténtico, especialmente en pagos contra reembolso
• Añadir un segundo paso a una acción sensible, como un cambio de dirección o la aprobación de un pago

¿Cómo funciona un OTP de WhatsApp?

La lógica es la misma; solo cambia el canal que transporta el código. El código se entrega como mensaje de WhatsApp en lugar de SMS. WapFlow OTP lo ofrece como API REST, y el flujo es el siguiente:

1. En el panel de WapFlow vincula su propio número de WhatsApp con un código QR o un código de emparejamiento.
2. Cree una clave de API de producción y otra de prueba en el panel.
3. Su sitio recoge el número de teléfono del usuario y llama a /send desde su servidor. El código llega al usuario como mensaje de WhatsApp desde el número que vinculó.
4. El usuario introduce el código, y su sitio lo comprueba con una llamada a /verify.

Los códigos se generan con aleatoriedad criptográfica y no se almacenan en texto plano. La longitud puede configurarse de 4 a 8 dígitos y la validez de 60 a 900 segundos; por defecto, un código tiene seis dígitos y dura cinco minutos. Cada código permite como máximo cinco intentos incorrectos, y un código verificado no puede volver a usarse. Los detalles técnicos están en la documentación de la API, y nuestra guía de PHP, Node.js y Python incluye ejemplos de código.

Ventajas frente al SMS

Una aplicación que su cliente ya tiene abierta

Sus clientes no necesitan cambiar a otra aplicación de mensajería para leer el código; muchas personas mantienen WhatsApp abierto todo el día. Eso puede acortar el tiempo que tardan en introducir el código.

Un remitente conocido

El código llega desde su propio número de WhatsApp. En lugar de un número corto anónimo, el cliente ve un chat que lleva la identidad de su negocio. En la plantilla del mensaje puede usar las variables {app}, {code} y {minutes} para mostrar el nombre de su aplicación y el periodo de validez.

Una cuota mensual fija

WapFlow OTP no tiene cargo por mensaje. Puede enviar tantos códigos como permita la cuota mensual de su plan. Los planes son mensuales: 249,99 TRY por 1 cuenta y 5.000 códigos, 449,99 TRY por 2 cuentas y 15.000 códigos, 649,99 TRY por 3 cuentas y 30.000 códigos, y 999,99 TRY por 5 cuentas y 60.000 códigos. Consulte la página de precios para los precios vigentes. Si ya usa un plan en la nube de WapFlow, se aplica un descuento al plan OTP; la tarifa aparece en la compra.

Sin aprobación de Meta ni solicitud de plantillas

La API oficial de WhatsApp Business implica verificación de empresa y aprobación de plantillas de mensaje. WapFlow OTP no necesita nada de eso porque funciona de otra manera: usa su propio número como dispositivo vinculado. Más abajo explicamos qué significa esto.

Límites que debe conocer

Presentar un método sin sus inconvenientes sería injusto con usted como lector. Tenga en cuenta lo siguiente:

• No es la API oficial de WhatsApp Business. WapFlow OTP funciona a través de un dispositivo vinculado (QR) y no está afiliado a WhatsApp ni a Meta. Explicamos la diferencia en ¿API de WhatsApp Business o automatización web?.
• No hay garantía de entrega. Un mensaje puede no llegar por culpa de WhatsApp, del número o de la red. El usuario puede no tener WhatsApp en absoluto.
• El riesgo de bloqueo nunca es cero. Si WhatsApp restringe el número, los códigos también se detienen. Los límites diarios y el calentamiento de la cuenta ayudan a reducir ese riesgo; consulte nuestro artículo sobre cómo reducir el riesgo de bloqueo.
• Las acciones críticas necesitan un canal de respaldo. Para la aprobación de pagos o la recuperación de cuentas, mantenga una segunda vía, como SMS o correo electrónico.

¿Para quién es?

Tiene sentido para negocios que ya hablan con sus clientes por WhatsApp y tienen un flujo de pedidos o citas: tiendas en línea pequeñas y medianas, negocios de servicios, plataformas locales. Si usa WordPress o WooCommerce, puede configurarlo sin escribir código con el plugin. Si opera un servicio muy regulado, como la banca, deberá evaluar por separado los canales oficiales y los requisitos legales.

Consejos para un buen flujo OTP

• Verifique el código en su servidor. Nunca deje la decisión en manos del navegador; llame siempre a /verify desde su propio servidor.
• Mantenga secreta la clave de API. No la use en un navegador, una aplicación móvil ni código público.
• Añada un tiempo de espera al botón de reenvío. Si los usuarios siguen pulsando "no ha llegado el código", su cuota se agota sin motivo; mantener el botón desactivado 60 segundos protege tanto su cuota como su número.
• Mantenga los mensajes de error amables. Una frase clara como "Código incorrecto, le quedan 3 intentos" guía al usuario para que lo intente de nuevo.
• Añada protección contra bots. En los formularios de registro públicos, un CAPTCHA o una medida similar dificulta que los malintencionados consuman su cuota.

Una nota breve sobre privacidad y consentimiento

Un código de verificación es informativo y se refiere a una acción que el propio usuario inició; no es un mensaje de marketing. Por ello, normalmente se trata como un mensaje transaccional que no requiere consentimiento para mensajes comerciales. Aun así, dos reglas siguen siendo importantes: nunca incluya publicidad o una campaña dentro del mensaje con el código, e indique en su política de privacidad que usa el número de teléfono solo para la verificación. Esta sección no constituye asesoramiento jurídico; consulte a su asesor para su situación concreta.

Antes de probarlo

En WapFlow OTP, una clave de prueba (que empieza por wfo_test_) no envía ningún mensaje ni consume cuota; en su lugar, devuelve el código en un campo test_code. Pruebe su integración con ella primero y cambie solo la clave cuando pase a producción. Cuando esté listo, consulte los planes en la página de WapFlow OTP.

Preguntas frecuentes

¿El OTP de WhatsApp sustituye por completo al OTP por SMS?

No en todos los casos. Si el usuario no tiene WhatsApp o el mensaje no llega, necesita un respaldo como SMS o correo electrónico. Pensar en ambos a la vez es el enfoque más sano.

¿De qué número salen los códigos?

De su propio número de WhatsApp, el que vinculó en el panel. Si vincula más de un número, los envíos se reparten por turnos, y si uno no puede enviar, se intenta con el siguiente.

¿Cómo debe escribirse el número de teléfono?

Con el código de país y solo dígitos, por ejemplo 905321234567. Los números de once dígitos que empiezan por 0 se consideran turcos y se les añade 90 delante. La API devuelve un error si el número no es válido.

¿Cuántos códigos puedo enviar a un mismo número?

Para evitar abusos, un número puede recibir 1 código cada 60 segundos, 5 por hora y 10 al día.

¿Se usa junto con la aplicación de Windows?

No. WapFlow OTP es un servicio de API en la nube y se vende por separado. Es independiente de la aplicación de Windows, y puede usar uno u otro por separado.