Что такое WhatsApp OTP? Коды подтверждения через WhatsApp вместо SMS

Вспомните шестизначный код, который приходит на телефон при регистрации на сайте. Это OTP, одноразовый пароль, которым обычно называют код подтверждения. Долгие годы такие коды передавались по SMS. Однако большинство ваших клиентов заглядывает в WhatsApp гораздо чаще, чем в текстовые сообщения. В этой статье объясняется, что такое WhatsApp OTP, как он работает, где превосходит SMS и каковы его ограничения. Будем откровенны: это не лучший ответ для каждого бизнеса и каждой ситуации.

Что такое OTP?

OTP расшифровывается как one-time password, одноразовый пароль. Система генерирует короткий случайный код, отправляет его на телефонный номер пользователя, пользователь вводит код в форму, а система проверяет, что код верный, ещё действует и используется впервые. Тот, кто получил код, подтверждает доступ к этому телефонному номеру.

Типичные сценарии использования:

• Подтверждение номера телефона в форме регистрации
• Вход без пароля (номер телефона плюс код)
• Восстановление пароля
• Проверка, что номер телефона в заказе интернет-магазина настоящий, особенно при оплате при получении
• Дополнительный шаг для важного действия, например смены адреса или подтверждения платежа

Как работает WhatsApp OTP?

Логика та же; меняется только канал доставки кода. Код приходит сообщением WhatsApp вместо SMS. WapFlow OTP предлагает это как REST API, и процесс выглядит так:

1. В панели WapFlow вы привязываете свой номер WhatsApp с помощью QR-кода или кода сопряжения.
2. В панели вы создаёте боевой и тестовый ключи API.
3. Ваш сайт собирает телефонный номер пользователя и вызывает /send с вашего сервера. Код приходит пользователю сообщением WhatsApp с привязанного вами номера.
4. Пользователь вводит код, а ваш сайт проверяет его вызовом /verify.

Коды генерируются с помощью криптографически стойкого генератора случайных чисел и не хранятся в открытом виде. Длину можно задать от 4 до 8 цифр, срок действия — от 60 до 900 секунд; по умолчанию код состоит из шести цифр и действует пять минут. На каждый код допускается не более пяти неверных попыток, а подтверждённый код нельзя использовать повторно. Технические подробности — в документации API, а примеры кода на PHP, Node.js и Python — в нашем руководстве по интеграции.

Преимущества перед SMS

Приложение, которое у клиента уже открыто

Клиенту не нужно переключаться на другое приложение, чтобы прочитать код; многие держат WhatsApp открытым весь день. Это может сократить время, за которое пользователь вводит код.

Знакомый отправитель

Код приходит с вашего собственного номера WhatsApp. Вместо анонимного короткого номера клиент видит чат, который несёт идентичность вашего бизнеса. В шаблоне сообщения можно использовать переменные {app}, {code} и {minutes}, чтобы показать название приложения и срок действия.

Фиксированная ежемесячная плата

В WapFlow OTP нет оплаты за каждое сообщение. Вы отправляете столько кодов, сколько позволяет месячная квота тарифа. Тарифы помесячные: 249,99 TRY за 1 аккаунт и 5 000 кодов, 449,99 TRY за 2 аккаунта и 15 000 кодов, 649,99 TRY за 3 аккаунта и 30 000 кодов, 999,99 TRY за 5 аккаунтов и 60 000 кодов. Актуальные цены — на странице тарифов. Если вы уже пользуетесь облачным тарифом WapFlow, на тариф OTP действует скидка; её размер показан при оформлении.

Без одобрения Meta и без подачи шаблонов

Официальный WhatsApp Business API предполагает верификацию бизнеса и одобрение шаблонов сообщений. WapFlow OTP не требует ничего из этого, потому что работает иначе: использует ваш собственный номер как связанное устройство. Ниже мы объясняем, что это значит.

Ограничения, которые нужно знать

Представить метод без его недостатков было бы нечестно по отношению к вам как к читателю. Учтите следующее:

• Это не официальный WhatsApp Business API. WapFlow OTP работает через связанное устройство (QR-код) и не аффилирован с WhatsApp или Meta. Разницу мы объясняем в статье WhatsApp Business API или веб-автоматизация?.
• Доставка не гарантируется. Сообщение может не дойти из-за WhatsApp, номера или сети. У пользователя может вообще не быть WhatsApp.
• Риск блокировки никогда не равен нулю. Если WhatsApp ограничит номер, коды тоже перестанут приходить. Дневные лимиты и прогрев аккаунта помогают снизить этот риск; подробности — в статье о снижении риска блокировки.
• Для критичных действий нужен резервный канал. Для подтверждения платежа или восстановления аккаунта держите второй путь, например SMS или e-mail.

Кому это подходит?

Это имеет смысл для бизнеса, который уже общается с клиентами в WhatsApp и имеет процесс заказа или записи: небольшие и средние интернет-магазины, сервисные компании, местные платформы. Если вы работаете на WordPress или WooCommerce, можно настроить всё без программирования, с помощью плагина. Если вы управляете сильно регулируемым сервисом, например банковским, возможности официальных каналов и юридические требования нужно оценивать отдельно.

Советы для хорошего процесса OTP

• Проверяйте код на сервере. Никогда не оставляйте решение браузеру; всегда вызывайте /verify со своего сервера.
• Храните ключ API в секрете. Не используйте его в браузере, мобильном приложении или любом открытом коде.
• Добавьте паузу на кнопку повторной отправки. Если пользователи продолжают нажимать «код не пришёл», квота расходуется впустую; блокировка кнопки на 60 секунд защищает и квоту, и ваш номер.
• Делайте сообщения об ошибках доброжелательными. Понятная строка вроде «Неверный код, осталось 3 попытки» помогает пользователю повторить ввод.
• Добавьте защиту от ботов. На публичных формах регистрации CAPTCHA или аналогичная мера затрудняет злоумышленникам расход вашей квоты.

Краткое замечание о конфиденциальности и согласии

Код подтверждения носит информационный характер и связан с действием, которое пользователь начал сам; это не маркетинговое сообщение. Поэтому обычно его считают служебным сообщением, для которого не требуется согласие на коммерческие сообщения. Два правила всё же важны: никогда не помещайте в сообщение с кодом рекламу или кампанию, а в политике конфиденциальности укажите, что номер телефона используется только для подтверждения. Этот раздел не является юридической консультацией; для вашей конкретной ситуации обратитесь к своему юристу.

Перед началом работы

В WapFlow OTP тестовый ключ (начинается с wfo_test_) не отправляет сообщений и не расходует квоту; вместо этого код возвращается в поле test_code. Сначала проверьте интеграцию с ним и меняйте только ключ при переходе в боевой режим. Когда будете готовы, посмотрите тарифы на странице WapFlow OTP.

Часто задаваемые вопросы

Полностью ли WhatsApp OTP заменяет SMS-коды?

Не во всех случаях. Если у пользователя нет WhatsApp или сообщение не доходит, нужна запасная возможность, например SMS или e-mail. Лучший подход — рассматривать оба канала вместе.

С какого номера приходят коды?

С вашего собственного номера WhatsApp, который вы привязали в панели. Если привязать несколько номеров, отправка распределяется по очереди, а если один не может отправить, пробуется следующий.

Как нужно записывать номер телефона?

С кодом страны и только цифрами, например 905321234567. Одиннадцатизначные номера, начинающиеся с 0, считаются турецкими, и к ним спереди добавляется 90. Для некорректного номера API возвращает ошибку.

Сколько кодов можно отправить на один номер?

Чтобы предотвратить злоупотребления, на один номер можно получить 1 код за 60 секунд, 5 в час и 10 в день.

Используется ли это вместе с приложением для Windows?

Нет. WapFlow OTP — облачный API-сервис, который продаётся отдельно. Он не зависит от приложения для Windows, и можно пользоваться любым из них по отдельности.