OTP por WhatsApp o por SMS: costo, entrega y respaldo

¿Cómo envío el código en cada canal?

En WhatsApp, envíe la plantilla aprobada con el código como variable del cuerpo. Para un botón de copiar código, pase el mismo código en buttonsTemplateVariable.

curl -X POST https://api.broadnet.me/whatsapp/message/sendbulk \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -F batchId=0 \
  -F destinationNo=971500000000 \
  -F messageType=TEMPLATE \
  -F templateName=login_code \
  -F templateLanguage=en_US \
  -F bodyTemplateVariables=482913 \
  -F buttonsTemplateVariable=482913

Aquí login_code es un marcador de posición para su propia plantilla de autenticación aprobada. En SMS, llame a POST /sms/sendSms con JSON:

curl -X POST https://api.broadnet.me/sms/sendSms \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "senderId": "OmniDemo",
    "destinationNumber": "971500000000",
    "message": "Your OmniDemo code is 482913",
    "messageType": "TEXT"
  }'

Observe las diferencias: WhatsApp es multipart form data y devuelve un batchId; el SMS es JSON y devuelve el ID del mensaje como texto sin formato. Encontrará ejemplos completos en nuestras guías de envío de WhatsApp por API y de envío de SMS por API.

¿Cómo construyo una entrega que empieza por WhatsApp con respaldo por SMS?

Envíe por WhatsApp, espere un estado y envíe una sola vez por SMS si hace falta. Nuestros estados están normalizados entre canales, así que el mismo gestor puede manejar ambos.

1. Genere el código en su servidor, guarde solo un hash con una caducidad y limite los intentos.
2. Envíe la plantilla de WhatsApp y registre el batchId y su ID de operación.
3. Espere el DELIVERED en el webhook durante una ventana que usted elija, según la paciencia del usuario.
4. Si hay FAILED, REJECTED o falta de entrega a tiempo, invalide el primer código, genere uno nuevo y envíe el SMS.
5. Limite los respaldos por número y por sesión.
6. Registre qué canal tuvo éxito, para ajustar el orden por país.

Evite los reintentos a ciegas tras un tiempo de espera agotado, porque la API no tiene clave de idempotencia; compruebe el estado antes de volver a enviar, como se describe en Errores y límites. El orden de los canales se configura por caso de uso en OmniChannels.ai, y el diseño general está en nuestra estrategia de respaldo entre canales. Para la gestión de webhooks, consulte la guía de webhooks. El OTP por voz es otro paso de respaldo; consulte la guía del OTP por voz y póngase en contacto con ventas para conocer los precios de voz.

¿En qué se diferencian el fraude y el abuso?

Ambos canales atraen abusos, así que construya los controles antes de lanzar. El SMS tiene un problema bien conocido: los atacantes provocan códigos hacia números de los que se benefician, inflando su tráfico. WhatsApp no es inmune, porque cualquier endpoint que envíe un mensaje a petición puede utilizarse para generar costos o acosar a un número.

Controles que se aplican a ambos:

• Limite la frecuencia de las solicitudes de código por número de teléfono, dirección IP, dispositivo y cuenta.
• Valide los números antes de enviar; consulte HLR lookup.
• Limite el respaldo para que un atacante no pueda provocar dos mensajes por solicitud.
• Vigile la conversión: muchas solicitudes con pocas verificaciones completadas es una señal de alerta.
• Bloquee los destinos a los que no da servicio.
• Caducidad corta e intentos limitados, sin reutilización de códigos.

Lea la prevención del fraude por SMS pumping y use la calculadora de fraude para estimar la exposición. Según NIST SP 800-63B-4, los códigos fuera de banda son un tipo de autenticador con límites conocidos, así que use métodos más fuertes para las acciones de alto riesgo, como los pagos o la recuperación de cuentas.

¿Cuál debo elegir?

Decida según el público y el riesgo, y luego pruebe.

Ejemplo práctico: una app de tipo transporte con conductor en el Golfo

"Rafiq Rides" (ficticia) verifica nuevas cuentas de conductores y pasajeros en los Emiratos Árabes Unidos, Arabia Saudí y Egipto.

• Diseño: plantilla de autenticación de WhatsApp con copia de código primero; respaldo por SMS tras una breve espera sin estado DELIVERED.
• Controles: tres solicitudes de código por número y hora, un límite por IP, validación del número antes del primer envío y un respaldo por sesión.
• Medición: verificación completada en un periodo breve, desglosada por canal y país; proporción de fallos y de respaldos.
• Ajuste: en un país donde la entrega por WhatsApp es más débil, el equipo invierte el orden y empieza por el SMS.
• Costos: modelados por país con las herramientas de precios y revisados cada mes frente a los envíos reales.

¿Cuáles son los errores habituales?

• Comparar un único precio global, en lugar de por país y por usuario verificado.
• Enviar por ambos canales a la vez, lo que duplica el costo y la superficie de abuso.
• Botones de reenvío ilimitados.
• Reutilizar el código antiguo tras el respaldo.
• Registrar los códigos en logs o enviarlos en URL.
• Sin registro de consentimiento para el canal de WhatsApp.
• Prometer cero toques en todas partes. Compruebe la compatibilidad vigente de los dispositivos.
• Límites: esta guía describe el mecanismo. La entrega, el costo y la compatibilidad de los dispositivos varían según el país, la ruta y las normas de Meta, y deben probarse en sus mercados.

Cómo le ayuda OmniChannels.ai

OmniChannels.ai cubre ambos canales en una sola API: plantillas de autenticación de WhatsApp (un toque, cero toques y copia de código) como Meta Business Solution Provider oficial, y SMS A2P sobre la conectividad directa con operadores de BroadNet, con respaldo entre canales configurado por caso de uso y estados normalizados en un único formato de webhook. Nuestro equipo prepara con usted los registros del sender ID y de WhatsApp; las aprobaciones siguen en manos de Meta y de los reguladores. Consulte la solución de OTP, la API de SMS para OTP y la documentación para desarrolladores.