OTP su WhatsApp o via SMS: costi, consegna e fallback

Come si crea un template di autenticazione tramite l'API?

Createlo con categoria AUTHENTICATION e scegliete la modalità di consegna. Nella nostra API POST /whatsapp/template accetta campi multipart; questi sono quelli che contano per l'OTP.

I nuovi template partono come PENDING finché Meta non li approva. I template di autenticazione hanno una struttura fissa stabilita da Meta, quindi confermate i campi restanti nel riferimento dell'API WhatsApp e con il nostro team per il vostro primo template. L'approvazione è una decisione di Meta e non promettiamo alcuna tempistica.

Come si invia il codice su ciascun canale?

Su WhatsApp, inviate il template approvato con il codice come variabile del corpo. Per un pulsante copy-code, passate lo stesso codice in buttonsTemplateVariable.

curl -X POST https://api.broadnet.me/whatsapp/message/sendbulk \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -F batchId=0 \
  -F destinationNo=971500000000 \
  -F messageType=TEMPLATE \
  -F templateName=login_code \
  -F templateLanguage=en_US \
  -F bodyTemplateVariables=482913 \
  -F buttonsTemplateVariable=482913

Qui login_code è un segnaposto per il vostro template di autenticazione approvato. Per gli SMS, chiamate POST /sms/sendSms con JSON:

curl -X POST https://api.broadnet.me/sms/sendSms \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "senderId": "OmniDemo",
    "destinationNumber": "971500000000",
    "message": "Your OmniDemo code is 482913",
    "messageType": "TEXT"
  }'

Notate le differenze: WhatsApp è multipart form data e restituisce un batchId; gli SMS sono JSON e restituiscono l'ID del messaggio come testo semplice. Esempi completi sono nelle nostre guide all'invio di WhatsApp via API e all'invio di SMS via API.

Come costruire una consegna con WhatsApp per primo e fallback SMS?

Inviate su WhatsApp, attendete uno stato, poi inviate una sola volta via SMS se serve. I nostri stati sono normalizzati tra i canali, quindi lo stesso gestore può pilotare entrambi.

1. Generate il codice sul server, memorizzate solo un hash con una scadenza e limitate i tentativi.
2. Inviate il template WhatsApp e registrate il batchId e il vostro ID di operazione.
3. Attendete DELIVERED sul webhook per una finestra che scegliete in base alla pazienza dell'utente.
4. Se FAILED, REJECTED o nessuna consegna in tempo, invalidate il primo codice, generatene uno nuovo e inviate l'SMS.
5. Limitate i fallback per numero e per sessione.
6. Registrate quale canale ha avuto successo, per regolare l'ordine per paese.

Evitate nuovi tentativi alla cieca dopo i timeout, perché l'API non ha una chiave di idempotenza; controllate lo stato prima di reinviare, come descritto in Errori e limiti. L'ordine dei canali si configura per caso d'uso in OmniChannels.ai e il progetto generale è nella nostra strategia di fallback tra canali. Per la gestione dei webhook, vedi la guida ai webhook. L'OTP vocale è un altro passaggio di fallback; vedi la guida all'OTP vocale e contattate il team commerciale per i prezzi della voce.

Come differiscono frodi e abusi?

Entrambi i canali attirano abusi, quindi costruite i controlli prima del lancio. L'SMS ha un problema noto: gli aggressori attivano codici verso numeri da cui traggono profitto, gonfiando il vostro traffico. WhatsApp non è immune, perché qualsiasi endpoint che invia un messaggio su richiesta può essere abusato per generare costi o molestare un numero.

Controlli validi per entrambi:

• Limitate le richieste di codice per numero di telefono, indirizzo IP, dispositivo e account.
• Convalidate i numeri prima dell'invio; vedi HLR lookup.
• Limitate il fallback, così un aggressore non può attivare due messaggi per richiesta.
• Osservate la conversione: molte richieste con poche verifiche completate sono un segnale d'allarme.
• Bloccate le destinazioni che non servite.
• Scadenza breve e tentativi limitati, senza riutilizzo del codice.

Leggete la prevenzione delle frodi SMS pumping e usate il calcolatore delle frodi per stimare l'esposizione. Secondo il NIST SP 800-63B-4, i codici out-of-band sono un tipo di autenticatore con limiti noti, quindi usate metodi più forti per azioni ad alto rischio come pagamenti o recupero dell'account.

Quale scegliere?

Decidete in base a pubblico e rischio, poi testate.

Esempio pratico: un'app in stile ride-hailing nel GCC

«Rafiq Rides» (nome di fantasia) verifica i nuovi account di autisti e passeggeri negli Emirati, in Arabia Saudita e in Egitto.

• Progetto: template di autenticazione WhatsApp con copy-code per primo; fallback SMS dopo una breve attesa senza stato DELIVERED.
• Controlli: tre richieste di codice per numero all'ora, un limite per IP, convalida del numero prima del primo invio e un fallback per sessione.
• Misurazione: verifica completata entro un breve periodo, suddivisa per canale e paese; quota di falliti e fallback.
• Messa a punto: in un paese in cui la consegna WhatsApp è più debole, il team inverte l'ordine e mette prima l'SMS.
• Costi: simulati per paese con gli strumenti di prezzo e rivisti ogni mese rispetto agli invii effettivi.

Quali sono gli errori comuni?

• Confrontare un unico prezzo globale, invece che per paese e per utente verificato.
• Inviare su entrambi i canali insieme, il che raddoppia costo e superficie di abuso.
• Pulsanti di reinvio illimitati.
• Riutilizzare il vecchio codice dopo il fallback.
• Registrare i codici nei log o inviarli negli URL.
• Nessun registro del consenso per il canale WhatsApp.
• Promettere lo zero-tap ovunque. Verificate il supporto attuale dei dispositivi.
• Limiti: questa guida descrive il meccanismo. Consegna, costi e supporto dei dispositivi variano per paese, rotta e regole di Meta e vanno testati nei vostri mercati.

Come vi aiuta OmniChannels.ai

OmniChannels.ai copre entrambi i canali in una sola API: template di autenticazione WhatsApp (one-tap, zero-tap e copy-code) come Meta Business Solution Provider ufficiale e SMS A2P tramite la connettività diretta agli operatori di BroadNet, con fallback tra canali configurato per caso d'uso e stati normalizzati in un unico formato di webhook. Il nostro team prepara con voi le registrazioni dei Sender ID e di WhatsApp; le approvazioni restano a Meta e agli enti regolatori. Consultate la soluzione OTP, l'API SMS per OTP e la documentazione per sviluppatori.