Generador de mensajes OTP para SMS y WhatsApp

Qué incluye una buena plantilla de SMS OTP

Un mensaje de verificación tiene un solo objetivo: hacer llegar el código correcto a la persona correcta, rápido y sin facilitar el abuso. La mayoría de los usuarios lee el código en la notificación de la pantalla de bloqueo, que solo muestra más o menos la primera línea. Por eso conviene poner el código al principio o casi y dejar clara la marca, para que el usuario sepa qué servicio lo envía.

La longitud influye en el coste y en la fiabilidad. Un SMS GSM-7 admite 160 caracteres y, al dividirse, 153 por parte. Un solo carácter fuera del alfabeto GSM-7 (una letra árabe, un emoji, un apóstrofo tipográfico o una vocal con tilde como «ó» o «á») convierte todo el mensaje a UCS-2: 70 caracteres, o 67 por parte. Por eso «código» con tilde ya obliga a usar Unicode. Un OTP en dos partes cuesta el doble. El generador muestra la codificación y los segmentos de cada variante y puede sustituir las letras acentuadas para mantener el mensaje en GSM-7.

• Código al inicio: «482913 es su codigo de Acme» se ve en la vista previa de la notificación.
• Nombre de la marca: indica qué servicio envía el código y dificulta el phishing.
• Caducidad: «Caduca en 5 minutos» fija expectativas y limita el uso indebido.
• Advertencia: «No comparta este código con nadie, ni siquiera con nuestro personal.»
• Sin enlaces: los operadores suelen filtrar OTP con URL, y los enlaces acostumbran al usuario al phishing.

Autocompletado en Android: el formato SMS Retriever

La API SMS Retriever de Google permite que una app Android lea el SMS de verificación sin el permiso de SMS y sin que el usuario escriba nada. Según la documentación de Google, el mensaje no debe superar los 140 bytes, debe contener el código de un solo uso e incluir una cadena hash de 11 caracteres que identifica la app. Esos 140 bytes equivalen a 160 caracteres GSM-7 o 70 UCS-2, así que en la práctica el mensaje debe caber en un solo SMS.

El hash son los primeros 11 caracteres de un hash SHA-256 en base64 calculado a partir del nombre del paquete y del certificado de firma. El ejemplo de Google lo coloca en su propia línea al final: «Your ExampleApp code is: 123ABC78», una línea en blanco y «FA+9qCX9VSu». Calcúlelo con el keystore de producción y guárdelo fijo en el servidor; Google desaconseja usar hashes calculados en el cliente. Versiones antiguas de la documentación exigían empezar el mensaje con «<#>»; la página actual ya no menciona ese prefijo, que no causa problemas pero ocupa 4 caracteres. Si no controla el formato del mensaje, la alternativa es la API SMS User Consent: el usuario autoriza con un toque la lectura de ese único mensaje.

iPhone y web: códigos vinculados al dominio

iOS y macOS detectan los códigos en los SMS entrantes y los sugieren sobre el teclado cuando el campo está marcado como código de un solo uso: textContentType = .oneTimeCode en una app nativa o autocomplete="one-time-code" en un campo HTML, según la documentación para desarrolladores de Apple. Desde iOS 14 y macOS Big Sur, Safari también admite códigos vinculados al origen, definidos en la especificación del WICG «Origin-bound one-time codes delivered via SMS».

En ese formato, la última línea del mensaje es «@example.com #747723»: el dominio precedido de @, exactamente un espacio y el código precedido de #. Un tercer valor opcional, «@embedded.example», indica un sitio incrustado. Puede haber texto legible antes de la última línea, pero cualquier texto entre los valores la invalida. El autocompletado solo ofrece el código en ese dominio o en las apps asociadas a él, lo que dificulta mucho el phishing. El generador también crea un mensaje combinado con el hash de Android y la línea del dominio que cabe en 140 bytes en idiomas con alfabeto latino. En árabe, envíe por separado los formatos de Android e iOS.

Plantillas de autenticación de WhatsApp: qué puede cambiar

WhatsApp exige una plantilla de autenticación para enviar contraseñas de un solo uso, y Meta fija el cuerpo. En español es «Tu código de verificación es *{{1}}*.», y puede añadir la frase de seguridad de Meta («Por tu seguridad, no lo compartas.») y un pie de caducidad («Este código caduca en <N> minutos.»), con code_expiration_minutes entre 1 y 90. Cada idioma usa la traducción fija de Meta. No se admiten URL, contenido multimedia ni emojis.

Usted elige el botón. Copiar código funciona en todas partes. El autocompletado con un toque abre su app Android con el código y requiere el nombre del paquete, el hash de firma y un handshake. El modo sin toque (zero-tap, solo Android) no tiene botón: WhatsApp envía el código directamente a su app. En iOS 26 y posteriores, las sugerencias del teclado ofrecen el código desde la notificación sin integración. El código admite hasta 15 caracteres y aparece dos veces en la solicitud de envío: como parámetro del cuerpo y del botón (sub_type «url»). El texto del botón de copiar admite 25 caracteres. Configure message_send_ttl_seconds para que no lleguen códigos caducados. En la API de Cloud, estos mensajes solo se entregan en el dispositivo principal del usuario.

Lista de seguridad y estrategia de respaldo

El mensaje es lo fácil; el fraude y los sobrecostes vienen de las reglas que lo rodean. Estas son recomendaciones habituales, no obligaciones legales: adapte las cifras a su nivel de riesgo.

Envíe en cascada: primero WhatsApp si el usuario lo tiene, después SMS tras un breve plazo (por ejemplo 30 a 60 segundos sin informe de entrega (DLR)) y, como último recurso, una llamada de voz que lea el código para fijos y zonas con poca cobertura. En el Golfo, el OTP es tráfico transaccional: no se aplican reglas promocionales como el prefijo «AD-» de los Emiratos, pero el remitente suele tener que estar registrado. Consulte la normativa local antes del lanzamiento.

• 6 dígitos es lo habitual; genere los códigos con un generador aleatorio criptográficamente seguro.
• Validez corta (5 a 10 minutos), un solo uso y guarde solo un hash del código.
• Limite los envíos por número y por IP, imponga una espera para reenviar y bloquee tras unos 5 intentos fallidos.
• Evite el SMS pumping (tráfico inflado artificialmente) permitiendo solo los países de destino que atiende.
• Nunca ponga el código en un enlace o URL ni pida al usuario que se lo dicte a un agente.