OTP por WhatsApp y SMS: seguridad, entrega y fraude

Esta guía es para responsables de producto, ingenieros y equipos de seguridad que envían contraseñas de un solo uso (OTP) para el registro, el inicio de sesión, los pagos o la recuperación de cuentas. Explica cómo funcionan las plantillas de autenticación de WhatsApp, cómo entregar códigos por SMS, cómo diseñar el respaldo y cómo frenar fraudes de OTP como el SMS pumping sin perjudicar a los usuarios reales.

¿Qué hace que un mensaje OTP sea bueno?

Un buen mensaje OTP llega en segundos, es fácil de introducir, no puede reutilizarse y es claramente de su marca. Todo lo demás en esta guía sirve a esas cuatro propiedades.

• Rápido: entregado en segundos en el primer intento.
• Fácil: autocompletado o copia siempre que sea posible; sin buscar el código entre el texto.
• Seguro: de vida corta, de un solo uso, de al menos seis dígitos y con un aviso de «no lo compartas».
• Fiable: un nombre de empresa verificado en WhatsApp o un ID de remitente registrado en SMS.

¿Cómo funcionan las plantillas de autenticación de WhatsApp?

WhatsApp exige una plantilla de autenticación para los códigos de un solo uso. El texto lo predefine Meta, por ejemplo «123456 es tu código de verificación», con una recomendación de seguridad opcional («Por tu seguridad, no compartas este código») y un pie de caducidad también opcional. Según la documentación de Meta, las plantillas de autenticación no pueden incluir URL, contenido multimedia ni emojis, y los parámetros se limitan a 15 caracteres.

Usted elige uno de los tres tipos de entrega:

Merecen conocerse otros dos puntos de la documentación de Meta:

• La seguridad de dispositivos vinculados está activada por defecto en la Cloud API: los códigos van solo al dispositivo principal del usuario y se ocultan en los dispositivos vinculados.
• Autocompletado en iOS: Meta indica que, desde el 15 de junio de 2026, en iOS 26 y posteriores, las sugerencias del teclado ofrecen el autocompletado del OTP desde la notificación de WhatsApp sin necesidad de integración.

Si envía códigos mediante una plantilla de marketing o de utilidad, Meta puede programar el rechazo de esa plantilla, y esa decisión no se puede apelar. Consulte nuestra guía sobre las categorías de plantillas de WhatsApp.

¿Cómo deben enviarse los OTP por SMS?

El SMS sigue siendo el canal universal: funciona sin datos ni app. Para que sea fiable:

1. Use un ID de remitente transaccional registrado en los mercados que lo exigen, como los Emiratos Árabes Unidos y Arabia Saudí, y no mezcle marketing en él. Consulte nuestra guía de registro de ID de remitente.
2. Mantenga el mensaje en un solo segmento. Ponga el código primero, nombre la marca, indique la caducidad y añada una advertencia: «123456 es tu código de Najm. Válido 5 minutos. No lo compartas nunca». El texto en árabe usa Unicode, así que caben menos caracteres en un segmento.
3. Admita el autocompletado por SMS en Android (formato de la API SMS Retriever) y en iOS (campo one-time-code), para que los usuarios no tengan que teclear el código.
4. Enrute por conexiones de calidad que devuelvan informes de entrega (DLR), de modo que el respaldo y la monitorización se apoyen en señales reales.

NIST SP 800-63B clasifica los OTP enviados por la red telefónica pública (SMS y voz) como autenticador restringido por los riesgos de SIM swap, portabilidad de números e interceptación, y recomienda comprobar indicadores de riesgo, como un cambio de SIM, antes de enviar. Para acciones de alto valor, combine el OTP por SMS con otras señales u ofrezca factores más fuertes, como las passkeys.

¿Cómo se diseñan la entrega del OTP y el respaldo?

Envíe una vez por el mejor canal, espere brevemente una confirmación de entrega y recurra al respaldo una sola vez. Los reintentos descontrolados son donde se disparan el coste y el fraude.

1. Elija el canal principal por usuario: WhatsApp para quienes ya se verificaron por WhatsApp o lo eligieron; SMS en los demás casos.
2. Genere un código por sesión de verificación, válido durante una ventana corta y aceptado una sola vez.
3. Espere el estado de entregado durante un breve tiempo de espera, medido en segundos y no en minutos.
4. Recurra al respaldo una sola vez hacia el otro canal si no hay entrega, reutilizando el mismo código o invalidando el primero.
5. Ofrezca un reenvío iniciado por el usuario con una cuenta atrás visible, en lugar de repeticiones automáticas.
6. Limite los reenvíos y los intentos por número de teléfono, dispositivo y sesión.
7. Registre el canal, el estado, la latencia y el resultado de la verificación de cada envío.

¿Cómo se previene el SMS pumping y el fraude con OTP?

El SMS pumping, también llamado tráfico inflado artificialmente (AIT), ocurre cuando bots solicitan OTP hacia rangos de números donde alguien obtiene beneficio por terminar el tráfico. Usted paga cada mensaje; ningún usuario real llega a verificar nada. La prevención se hace por capas.

Lista de verificaciónes

• Permisos geográficos: permita destinos de OTP solo en los países donde tiene clientes; exija una revisión para añadir otros.
• Límites de frecuencia por número de teléfono, dirección IP, dispositivo, sesión y prefijo de número.
• Protección contra bots (desafío o puntuación de riesgo) antes de la solicitud del OTP, no después.
• Monitorización de la conversión: active una alerta cuando la conversión de verificación de un país o prefijo cae bruscamente.
• Validación de números: rechace números mal formados, secuenciales o claramente no válidos.
• Alertas de gasto y topes diarios por destino.
• Espera exponencial (backoff) en los reenvíos y ningún reintento automático ilimitado.
• Dar prioridad a WhatsApp para los usuarios que lo tienen, ya que las plantillas de autenticación están ligadas a una cuenta de WhatsApp y no a una terminación SMS premium.
• Protocolo de incidentes: quién puede bloquear un país o un prefijo y con qué rapidez.

Proteja también a los usuarios: no pida nunca el código por llamada o chat, indíquelo en el mensaje y exija volver a autenticarse cuando cambie el número de teléfono o la SIM.

Ejemplo práctico: una app de reparto en Catar

«Rafeeq Delivery» (empresa ficticia) verifica a los usuarios nuevos y confirma los pedidos de alto valor.

• Los usuarios de Android reciben una plantilla de autenticación de WhatsApp con autocompletado de un toque; los de iOS y web reciben copiar código.
• Respaldo: si la entrega por WhatsApp no se confirma en un breve tiempo de espera, el mismo código se envía una sola vez por SMS desde un ID de remitente transaccional registrado.
• Límites: tres solicitudes de código por número y hora, un tope por dispositivo e IP, y destinos de OTP limitados a los países del Golfo (CCG) donde opera la app.
• Monitorización: una noche, las solicitudes de OTP hacia un prefijo ajeno al CCG se disparan con una verificación casi nula. Los permisos geográficos las bloquean automáticamente; el incidente no cuesta nada porque ese país nunca estuvo habilitado.
• Resultado: el equipo sigue cada semana el gasto por verificación exitosa y la conversión de verificación por canal, y ajusta el canal principal según el mercado.

¿Qué errores y límites conviene conocer?

• Usar plantillas de marketing o de utilidad para los OTP en WhatsApp.
• Códigos de larga vida o reutilizables, o códigos que siguen siendo válidos tras emitir uno nuevo.
• Reenvíos ilimitados, que invitan al pumping y frustran a los usuarios.
• Sin restricción geográfica en los OTP de registro.
• Mezclar texto promocional en los SMS de OTP, lo que puede hacer que bloqueen el ID de remitente.
• Tratar el OTP como único factor en acciones de alto riesgo.
• Ignorar los cambios de coste. Meta factura las plantillas de autenticación entregadas según el mercado del destinatario; confirme las tarifas vigentes en la tarifa de Meta.

Cómo ayuda OmniChannels.ai

OmniChannels.ai admite plantillas de autenticación de WhatsApp con OTP de un toque, zero-tap y de copiar código, junto con plantillas de utilidad y de marketing, con vista previa en móvil y seguimiento de aprobaciones. El SMS se entrega mediante la conectividad con operadoras de BroadNet Technologies, y el OTP por voz cubre a los usuarios que no pueden recibir texto, por lo que puede combinar WhatsApp, SMS y voz para el OTP con un respaldo entre canales configurado para cada caso de uso. Los informes de entrega (DLR), con vistas resumida y avanzada, filtros y exportación a CSV, ayudan a monitorizar la entrega por canal. El envío de OTP y los webhooks de entrega están documentados en la API REST pública.