WhatsApp-OTP vs. SMS-OTP: Kosten, Zustellung und Fallback

Wie sende ich den Code auf jedem Kanal?

Senden Sie auf WhatsApp die freigegebene Vorlage mit dem Code als Body-Variable. Übergeben Sie für einen Copy-Code-Button denselben Code in buttonsTemplateVariable.

curl -X POST https://api.broadnet.me/whatsapp/message/sendbulk \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -F batchId=0 \
  -F destinationNo=971500000000 \
  -F messageType=TEMPLATE \
  -F templateName=login_code \
  -F templateLanguage=en_US \
  -F bodyTemplateVariables=482913 \
  -F buttonsTemplateVariable=482913

Hier ist login_code ein Platzhalter für Ihre eigene freigegebene Authentifizierungsvorlage. Rufen Sie bei SMS POST /sms/sendSms mit JSON auf:

curl -X POST https://api.broadnet.me/sms/sendSms \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "senderId": "OmniDemo",
    "destinationNumber": "971500000000",
    "message": "Your OmniDemo code is 482913",
    "messageType": "TEXT"
  }'

Beachten Sie die Unterschiede: WhatsApp nutzt Multipart-Formulardaten und liefert eine batchId; SMS nutzt JSON und liefert die Nachrichten-ID als Klartext. Vollständige Beispiele stehen in unseren Leitfäden zum Senden von WhatsApp per API und zum Senden von SMS per API.

Wie baue ich WhatsApp-First-Zustellung mit SMS-Fallback?

Senden Sie über WhatsApp, warten Sie auf einen Status und senden Sie bei Bedarf einmal per SMS. Unsere Status sind kanalübergreifend normalisiert, sodass derselbe Handler beide steuern kann.

1. Erzeugen Sie den Code auf Ihrem Server, speichern Sie nur einen Hash mit Ablaufzeit und begrenzen Sie die Versuche.
2. Senden Sie die WhatsApp-Vorlage und halten Sie batchId und Ihre Vorgangs-ID fest.
3. Warten Sie auf DELIVERED am Webhook für ein Fenster, das Sie nach der Geduld der Nutzer wählen.
4. Bei FAILED, REJECTED oder ausbleibender Zustellung in der Zeit entwerten Sie den ersten Code, erzeugen einen neuen und senden die SMS.
5. Deckeln Sie Fallbacks je Nummer und Sitzung.
6. Halten Sie fest, welcher Kanal erfolgreich war, um die Reihenfolge je Land zu optimieren.

Vermeiden Sie blinde Wiederholungen nach Timeouts, da die API keinen Idempotency-Key hat; prüfen Sie den Status vor einem erneuten Versand, wie unter Fehler und Limits beschrieben. Die Reihenfolge der Kanäle wird in OmniChannels.ai je Anwendungsfall konfiguriert, und das allgemeine Design steht in unserer Fallback-Strategie für Kanäle. Zur Webhook-Verarbeitung siehe den Webhooks-Leitfaden. Voice-OTP ist ein weiterer Fallback-Schritt; siehe den Leitfaden zu Voice-OTP und kontaktieren Sie den Vertrieb für Sprachpreise.

Wie unterscheiden sich Betrug und Missbrauch?

Beide Kanäle ziehen Missbrauch an, bauen Sie daher vor dem Start Kontrollen auf. SMS hat ein bekanntes Problem: Angreifer lösen Codes an Nummern aus, an denen sie verdienen, und blähen Ihren Traffic auf. WhatsApp ist nicht immun, denn jeder Endpunkt, der auf Anfrage eine Nachricht sendet, kann missbraucht werden, um Kosten zu erzeugen oder eine Nummer zu belästigen.

Kontrollen, die für beide gelten:

• Anfragen begrenzen für Codes je Telefonnummer, je IP-Adresse, je Gerät und je Account.
• Nummern validieren vor dem Senden; siehe HLR-Lookup.
• Fallback deckeln, damit ein Angreifer nicht zwei Nachrichten pro Anfrage auslösen kann.
• Conversion beobachten: Viele Anfragen bei wenigen abgeschlossenen Verifizierungen sind ein Warnzeichen.
• Zielländer sperren, die Sie nicht bedienen.
• Kurze Gültigkeit und begrenzte Versuche, ohne Wiederverwendung von Codes.

Lesen Sie Prävention von SMS-Pumping-Betrug und nutzen Sie den Betrugsrechner, um die Gefährdung abzuschätzen. Nach NIST SP 800-63B-4 sind Out-of-Band-Codes ein Authentifikatortyp mit bekannten Grenzen, nutzen Sie daher für riskante Aktionen wie Zahlungen oder Kontowiederherstellung stärkere Methoden.

Was sollte ich wählen?

Entscheiden Sie nach Zielgruppe und Risiko und testen Sie dann.

Praxisbeispiel: eine Fahrdienst-App im GCC

„Rafiq Rides“ (fiktiv) verifiziert neue Fahrer- und Fahrgastkonten in den VAE, Saudi-Arabien und Ägypten.

• Design: WhatsApp-Authentifizierungsvorlage zuerst mit Copy-Code; SMS-Fallback nach kurzer Wartezeit ohne Status DELIVERED.
• Kontrollen: drei Code-Anfragen pro Nummer und Stunde, ein Limit pro IP, Nummernvalidierung vor dem ersten Versand und ein Fallback pro Sitzung.
• Messung: innerhalb kurzer Zeit abgeschlossene Verifizierungen, aufgeteilt nach Kanal und Land; Anteil fehlgeschlagener und zurückgefallener.
• Feinabstimmung: In einem Land mit schwächerer WhatsApp-Zustellung stellt das Team die Reihenfolge auf SMS zuerst um.
• Kosten: je Land mit den Preis-Tools modelliert und monatlich gegen die tatsächlichen Sendungen geprüft.

Welche typischen Fehler gibt es?

• Einen globalen Preis vergleichen, statt pro Land und pro verifiziertem Nutzer.
• Beide Kanäle gleichzeitig senden, was Kosten und Missbrauchsfläche verdoppelt.
• Unbegrenzte Erneut-senden-Buttons.
• Den alten Code nach dem Fallback weiterverwenden.
• Codes protokollieren oder in URLs senden.
• Kein Einwilligungsnachweis für den WhatsApp-Kanal.
• Zero-Tap überall versprechen. Prüfen Sie die aktuelle Geräteunterstützung.
• Grenzen: Dieser Leitfaden beschreibt den Mechanismus. Zustellung, Kosten und Geräteunterstützung variieren je Land, Route und Metas Regeln und sollten in Ihren Märkten getestet werden.

So unterstützt OmniChannels.ai

OmniChannels.ai deckt beide Kanäle in einer API ab: WhatsApp-Authentifizierungsvorlagen (One-Tap, Zero-Tap und Copy-Code) als offizieller Meta Business Solution Provider und A2P-SMS über die direkte Netzanbindung von BroadNet, mit je Anwendungsfall konfiguriertem Kanal-Fallback und in ein einheitliches Webhook-Format normalisierten Status. Unser Team bereitet Registrierungen von Sender IDs und WhatsApp gemeinsam mit Ihnen vor; die Freigaben bleiben bei Meta und Regulierungsbehörden. Siehe die OTP-Lösung, die OTP-SMS-API und die Entwicklerdokumentation.