O Que É o WhatsApp OTP? Enviar Códigos de Verificação pelo WhatsApp em Vez de SMS

Lembre-se do código de seis dígitos que chega ao seu celular quando você se cadastra em um site. Isso é um OTP (senha de uso único), ou simplesmente código de verificação. Há anos esses códigos são enviados por SMS. Mas a maioria dos seus clientes olha o WhatsApp muito mais vezes do que as mensagens de texto. Este artigo explica o que é o WhatsApp OTP, como ele funciona, onde leva vantagem sobre o SMS e onde estão os seus limites. Vamos tratar do assunto com franqueza: este método não é a resposta certa para todo negócio nem para toda situação.

O Que É um OTP?

OTP é a sigla de one-time password (senha de uso único). O sistema gera um código curto e aleatório, envia-o para o número de telefone do usuário, o usuário digita o código no formulário, e o sistema verifica se o código está correto, ainda é válido e foi usado pela primeira vez. Assim, fica comprovado que quem recebeu o código realmente tem acesso àquele número de telefone.

Os usos mais comuns são:

• Verificar o número de telefone em um formulário de cadastro
• Login sem senha (número de telefone mais código)
• Redefinição de senha
• Confirmar que o telefone informado em um pedido de e-commerce é verdadeiro, principalmente em pedidos com pagamento na entrega
• Acrescentar uma segunda etapa a uma ação sensível, como a alteração de endereço ou a aprovação de pagamento

Como Funciona o WhatsApp OTP?

A lógica é a mesma; muda apenas o canal que transporta o código. O código é enviado como uma mensagem do WhatsApp, em vez de SMS. O WapFlow OTP oferece isso como uma API REST, e o fluxo é, em resumo, este:

1. No painel do WapFlow, você conecta o seu próprio número de WhatsApp com um QR code ou um código de pareamento.
2. Você cria uma chave de API ativa e uma de teste no painel.
3. O seu site coleta o número de telefone do usuário e faz a chamada /send a partir do seu servidor. O código chega ao usuário como mensagem do WhatsApp, a partir do número que você conectou.
4. O usuário digita o código no formulário, e o seu site o verifica com uma chamada a /verify.

Os códigos são gerados com aleatoriedade criptográfica e não são armazenados em texto simples. O tamanho pode ser definido de 4 a 8 dígitos, e a validade, de 60 a 900 segundos; por padrão, um código tem seis dígitos e dura cinco minutos. Cada código permite no máximo cinco tentativas erradas, e um código já verificado não pode ser usado de novo. Os detalhes técnicos estão na documentação da API, e nosso guia de PHP, Node.js e Python traz exemplos de código.

Vantagens em Relação ao SMS

Um aplicativo que o seu cliente já tem aberto

O cliente não precisa trocar de aplicativo de mensagens para ler o código; muitas pessoas mantêm o WhatsApp aberto o dia todo. Isso pode reduzir o tempo necessário para digitar o código.

Um remetente conhecido

O código vem do seu próprio número de WhatsApp. Em vez de um número curto anônimo, o cliente vê uma conversa que traz a identidade do seu negócio. No modelo da mensagem, você pode usar as variáveis {app}, {code} e {minutes} para mostrar o nome do seu aplicativo e o prazo de validade.

Mensalidade fixa

No WapFlow OTP não há cobrança por mensagem. Você envia quantos códigos a cota mensal do seu plano permitir. Os planos são mensais: 249,99 TL por 1 conta e 5.000 códigos; 449,99 TL por 2 contas e 15.000 códigos; 649,99 TL por 3 contas e 30.000 códigos; e 999,99 TL por 5 contas e 60.000 códigos. Consulte a página de preços para ver os valores atualizados. Se você já usa um plano em nuvem do WapFlow, há desconto no plano de OTP; a taxa aparece no momento do pagamento.

Sem aprovação da Meta nem solicitação de modelo

A API oficial do WhatsApp Business envolve verificação da empresa e aprovação de modelos de mensagem. O WapFlow OTP não precisa de nada disso, porque funciona de outra forma: usa o seu próprio número como dispositivo vinculado. Abaixo explicamos o que isso significa.

Limites Que Você Precisa Conhecer

Apresentar um método sem mostrar as suas desvantagens seria injusto com você, leitor. Tenha em mente:

• Não é a API oficial do WhatsApp Business. O WapFlow OTP funciona por meio de dispositivo vinculado (QR) e não tem vínculo com o WhatsApp nem com a Meta. Explicamos as diferenças no artigo API oficial do WhatsApp Business ou automação web?.
• Não há garantia de entrega. Uma mensagem pode não chegar por causa do WhatsApp, do número ou da rede. O usuário pode nem ter WhatsApp.
• O risco de banimento nunca é zero. Se o WhatsApp restringir o número, os códigos também param. Limites diários e o aquecimento de conta ajudam a reduzir esse risco; veja nosso artigo sobre como reduzir o risco de banimento.
• Ações críticas precisam de um canal de reserva. Para aprovação de pagamento ou recuperação de conta, mantenha um segundo caminho, como SMS ou e-mail.

Para Quais Negócios É Indicado?

Faz sentido para negócios que já conversam com os clientes pelo WhatsApp e têm um fluxo de pedidos ou agendamentos: lojas virtuais de pequeno e médio porte, empresas de serviços, plataformas locais. Se você usa WordPress ou WooCommerce, pode configurar sem escrever código, com o plugin. Se você opera um serviço fortemente regulamentado, como o setor bancário, precisa avaliar separadamente os canais oficiais e as exigências legais.

Dicas Para um Bom Fluxo de OTP

• Verifique o código no servidor. Nunca deixe a decisão para o navegador; faça sempre a chamada a /verify a partir do seu próprio servidor.
• Mantenha a chave de API em sigilo. Não a use em navegador, aplicativo móvel ou em qualquer código público.
• Coloque um tempo de espera no botão de reenvio. Se o usuário clicar repetidamente em "o código não chegou", a sua cota é consumida à toa; deixar o botão desativado por 60 segundos protege tanto a cota quanto o seu número.
• Mantenha as mensagens de erro gentis. Uma frase clara como "Código inválido, restam 3 tentativas" orienta o usuário a tentar de novo.
• Adicione proteção contra bots. Em formulários de cadastro públicos, um CAPTCHA ou medida semelhante dificulta que pessoas mal-intencionadas consumam a sua cota.

Uma Nota Curta Sobre Privacidade e Consentimento

Um código de verificação tem caráter informativo e se refere a uma ação iniciada pelo próprio usuário; não é uma mensagem de marketing. Por isso, normalmente é tratado como uma mensagem transacional, que não exige consentimento para comunicação comercial. Ainda assim, duas regras são importantes: nunca coloque publicidade ou campanha dentro da mensagem com o código, e informe na sua política de privacidade que você usa o número de telefone apenas para verificação. Esta seção não constitui aconselhamento jurídico; consulte o seu advogado para a sua situação exata.

Antes de Testar

No WapFlow OTP, uma chave de teste (que começa com wfo_test_) não envia mensagem e não consome cota; em vez disso, ela devolve o código no campo test_code da resposta. Teste a sua integração primeiro com ela e troque apenas a chave quando for para o ambiente de produção. Quando estiver pronto, veja os planos na página do WapFlow OTP.

Perguntas Frequentes

O OTP pelo WhatsApp substitui totalmente o OTP por SMS?

Não em todos os casos. Se o usuário não tiver WhatsApp ou se a mensagem não chegar, você precisará de um recurso alternativo, como SMS ou e-mail. Pensar nos dois canais juntos é a abordagem mais saudável.

De qual número os códigos são enviados?

Do seu próprio número de WhatsApp, que você conectou no painel. Se conectar mais de um número, os envios são distribuídos em sequência; se um não conseguir enviar, o próximo é tentado.

Como o número de telefone deve ser escrito?

Com o código do país e somente dígitos, por exemplo 905321234567. Números de 11 dígitos que começam com 0 são considerados da Turquia e recebem 90 no início. Para um número inválido, a API retorna um erro.

Quantos códigos posso enviar para um mesmo número?

Para evitar abuso, um número pode receber 1 código a cada 60 segundos, 5 por hora e 10 por dia.

Ele é usado junto com o aplicativo para Windows?

Não. O WapFlow OTP é um serviço de API em nuvem e é vendido separadamente. Ele é independente do aplicativo para Windows, e você pode usar cada um sozinho.