---
title: "OTP di WhatsApp dan SMS: Keamanan, Pengiriman, dan Fraud"
description: "Pesan autentikasi OTP lewat WhatsApp dan SMS: template one-tap, zero-tap, copy-code, pengiriman, fallback, pencegahan SMS pumping, dan UX yang aman."
canonical: "https://omnichannels.ai/id/blog/otp-authentication-messages-guide/"
language: "id"
updated: "2026-10-10"
publisher: "BroadNet Technologies"
brand: "OmniChannels.ai"
category: "sms"
primaryQuery: "otp authentication messages"
keywords: ["otp whatsapp", "template autentikasi whatsapp", "otp sms", "sms pumping", "artificially inflated traffic", "autofill one-tap whatsapp", "fallback otp sms", "kode verifikasi otp"]
published: "2026-10-09"
author: "OmniChannels.ai Editorial Team"
reviewer: "BroadNet Messaging Solutions Team"
readingMinutes: 9
answer: "Pengaturan OTP yang andal menghasilkan kode berumur pendek yang hanya berlaku sekali, mengirimkannya lewat kanal yang paling mungkin tiba dengan cepat, dan beralih ke kanal cadangan satu kali jika pengiriman tidak terkonfirmasi. Di WhatsApp, gunakan template autentikasi dengan tombol copy-code, one-tap, atau zero-tap. Di SMS, gunakan Sender ID transaksional yang terdaftar. Lindungi keduanya dengan batas permintaan (rate limit), batas percobaan, dan pemantauan SMS pumping, yang juga disebut artificially inflated traffic."
takeaways: ["WhatsApp mewajibkan template autentikasi untuk kode sandi sekali pakai; teksnya sudah ditetapkan dan pengirimannya memakai copy-code, one-tap, atau zero-tap.", "Autofill one-tap dan zero-tap memerlukan perubahan pada aplikasi Android Anda; copy-code berfungsi tanpa perubahan aplikasi.", "NIST SP 800-63B menggolongkan OTP yang dikirim lewat jaringan telepon (SMS atau suara) sebagai authenticator terbatas karena risiko SIM swap dan penyadapan.", "SMS pumping, juga disebut artificially inflated traffic (AIT), memakai permintaan OTP palsu untuk menghasilkan trafik SMS berbayar, dan dikendalikan dengan rate limit, izin geografis, dan pemantauan konversi.", "Fallback sebaiknya dipicu oleh tidak adanya konfirmasi pengiriman setelah batas waktu singkat, dan kode yang sama tidak boleh dikirim ulang lewat percobaan ulang tanpa batas."]
faq: 
  - q: "Apa perbedaan one-tap, zero-tap, dan copy-code di WhatsApp?"
    a: "Copy-code menampilkan tombol yang menyalin kode sehingga pengguna dapat menempelkannya ke aplikasi atau situs Anda. One-tap menampilkan tombol yang membuka aplikasi Android Anda dan meneruskan kode secara otomatis. Zero-tap mengirim kode ke aplikasi Android Anda di latar belakang tanpa menekan tombol. One-tap dan zero-tap memerlukan integrasi aplikasi Android; copy-code tidak."
  - q: "Berapa lama OTP sebaiknya berlaku?"
    a: "Buat masa berlaku singkat dan terima setiap kode hanya sekali. NIST SP 800-63B mensyaratkan autentikasi out-of-band selesai dalam 10 menit dan kode minimal enam digit. Banyak bisnis memakai jendela waktu yang lebih pendek untuk login dan pembayaran. Template autentikasi WhatsApp dapat menampilkan baris masa berlaku opsional agar pengguna tahu berapa lama kode berlaku."
  - q: "Apa itu SMS pumping atau artificially inflated traffic?"
    a: "SMS pumping, atau artificially inflated traffic (AIT), adalah fraud saat bot memicu pengiriman pesan OTP atau verifikasi dalam jumlah besar ke rentang nomor yang dikendalikan atau menguntungkan penyerang. Bisnis membayar pesan yang tidak diminta oleh pengguna asli mana pun. Tanda peringatannya antara lain lonjakan ke negara yang tidak biasa, nomor berurutan, dan permintaan yang tidak pernah menyelesaikan verifikasi."
  - q: "Sebaiknya OTP dikirim lewat WhatsApp atau SMS lebih dulu?"
    a: "Tergantung audiens Anda. Jika sebagian besar pengguna memiliki WhatsApp dan koneksi data, template autentikasi WhatsApp menawarkan pengalaman bermerek dengan copy-code atau autofill. SMS menjangkau pengguna tanpa WhatsApp atau data. Banyak tim mengirim lewat kanal utama dan beralih satu kali ke kanal lainnya jika pengiriman tidak terkonfirmasi dalam batas waktu singkat."
  - q: "Bolehkah menyertakan tautan dalam pesan OTP WhatsApp?"
    a: "Tidak. Menurut dokumentasi kategorisasi template Meta, template autentikasi tidak boleh berisi URL, media, atau emoji, dan teksnya sudah ditetapkan. Kode dikirim lewat mekanisme copy-code, one-tap, atau zero-tap. Tempatkan tautan masuk dan konten lain di template utilitas atau marketing terpisah jika sesuai."
  - q: "Apakah OTP WhatsApp dikirim ke perangkat tertaut?"
    a: "Dokumentasi template autentikasi Meta menjelaskan keamanan perangkat tertaut (linked device security), yang aktif secara default di Cloud API, yaitu kode hanya dikirim ke perangkat utama pengguna dan disamarkan di perangkat tertaut. Ini mengurangi risiko kode terbaca di sesi desktop yang dikendalikan orang lain."
sources: 
  - title: "Authentication templates — Meta for Developers"
    url: "https://developers.facebook.com/docs/whatsapp/business-management-api/authentication-templates"
  - title: "Template categorization — Meta for Developers"
    url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/templates/template-categorization"
  - title: "NIST SP 800-63B: Authentication and Authenticator Management"
    url: "https://pages.nist.gov/800-63-4/sp800-63b.html"
  - title: "WhatsApp Business Platform pricing — Meta for Developers"
    url: "https://developers.facebook.com/docs/whatsapp/pricing"
---

# OTP di WhatsApp dan SMS: Keamanan, Pengiriman, dan Fraud

Canonical: https://omnichannels.ai/id/blog/otp-authentication-messages-guide/
Language: id
Publisher: OmniChannels.ai by BroadNet Technologies

Panduan ini ditujukan bagi product manager, engineer, dan tim keamanan yang mengirim kata sandi sekali pakai (OTP) untuk pendaftaran, login, pembayaran, atau pemulihan akun. Isinya mencakup cara kerja template autentikasi WhatsApp, cara mengirim kode lewat SMS, cara merancang fallback (kanal cadangan), dan cara menghentikan fraud OTP seperti SMS pumping tanpa mengganggu pengguna asli.

## Apa yang membuat pesan OTP yang baik?

Pesan OTP yang baik tiba dalam hitungan detik, mudah dimasukkan, tidak dapat dipakai ulang, dan jelas berasal dari Anda. Semua bagian lain dalam panduan ini mendukung keempat sifat tersebut.

- **Cepat:** terkirim dalam hitungan detik pada percobaan pertama.
- **Mudah:** autofill atau salin kode jika memungkinkan; pengguna tidak perlu mencari kode di dalam teks.
- **Aman:** berumur pendek, sekali pakai, minimal enam digit, dengan peringatan "jangan bagikan".
- **Tepercaya:** nama bisnis terverifikasi di WhatsApp atau Sender ID terdaftar di SMS.

## Bagaimana cara kerja template autentikasi WhatsApp?

WhatsApp mewajibkan template autentikasi untuk kode sandi sekali pakai. Teksnya ditetapkan oleh Meta, misalnya "*123456* adalah kode verifikasi Anda", dengan rekomendasi keamanan opsional ("Demi keamanan Anda, jangan bagikan kode ini") dan footer masa berlaku opsional. Menurut dokumentasi Meta, template autentikasi tidak boleh menyertakan URL, media, atau emoji, dan parameter dibatasi hingga 15 karakter.

Anda memilih salah satu dari tiga jenis pengiriman:

| Jenis | Pengalaman pengguna | Pekerjaan aplikasi yang diperlukan | Paling cocok untuk |
|---|---|---|---|
| Copy-code | Pengguna menekan tombol yang menyalin kode, lalu menempelkannya | Tidak ada | Login web, aplikasi iOS, peluncuran cepat |
| Autofill one-tap | Pengguna menekan tombol; aplikasi Android Anda terbuka dengan kode yang sudah terisi | Integrasi aplikasi Android (handshake dan detail package) | Aplikasi Android yang menginginkan hambatan minimal |
| Zero-tap | Kode diteruskan ke aplikasi Android Anda secara otomatis, tanpa ketukan | Integrasi aplikasi Android plus persetujuan pengguna di aplikasi Anda | Alur Android dengan konversi tertinggi |

Dua poin lain dari dokumentasi Meta yang perlu diketahui:

- **Linked device security** aktif secara default di Cloud API: kode hanya dikirim ke perangkat utama pengguna dan disamarkan di perangkat tertaut.
- **Autofill iOS:** Meta menyatakan bahwa mulai 15 Juni 2026, di iOS 26 dan yang lebih baru, saran keyboard menawarkan autofill OTP dari notifikasi WhatsApp tanpa integrasi.

Jika Anda mengirim kode lewat template marketing atau utilitas, Meta dapat menjadwalkan template tersebut untuk ditolak, dan keputusan itu tidak dapat diajukan banding. Baca panduan kami tentang [kategori template WhatsApp](/id/blog/whatsapp-template-categories-approval/).

## Bagaimana sebaiknya OTP dikirim lewat SMS?

SMS tetap menjadi kanal universal: berfungsi tanpa data atau aplikasi. Agar andal:

1. **Gunakan Sender ID transaksional yang terdaftar** di pasar yang mewajibkan registrasi, seperti Uni Emirat Arab (UEA) dan Arab Saudi, dan jangan gunakan untuk pesan pemasaran. Baca [panduan registrasi Sender ID](/id/blog/sms-sender-id-registration-uae-saudi/) kami.
2. **Batasi pesan pada satu segmen.** Letakkan kode di awal, sebutkan merek, nyatakan masa berlaku, dan tambahkan peringatan: "123456 adalah kode Najm Anda. Berlaku 5 menit. Jangan bagikan ke siapa pun." Teks Arab memakai Unicode, sehingga karakter yang muat dalam satu segmen lebih sedikit.
3. **Dukung autofill SMS** di Android (format SMS Retriever API) dan iOS (kolom one-time-code) agar pengguna tidak perlu mengetik kode.
4. **Kirim lewat koneksi berkualitas** yang mengembalikan laporan pengiriman (DLR), sehingga fallback dan pemantauan memiliki sinyal yang nyata.

NIST SP 800-63B menggolongkan OTP lewat jaringan telepon publik (SMS dan suara) sebagai authenticator terbatas karena risiko SIM swap, portabilitas nomor, dan penyadapan, serta merekomendasikan pemeriksaan indikator risiko seperti penggantian SIM sebelum mengirim. Untuk tindakan bernilai tinggi, gabungkan OTP SMS dengan sinyal lain atau tawarkan faktor yang lebih kuat seperti passkey.

## Bagaimana merancang pengiriman OTP dan fallback?

Kirim satu kali lewat kanal terbaik, tunggu sebentar konfirmasi pengiriman, lalu lakukan fallback (kanal cadangan) satu kali. Percobaan ulang yang tidak terkendali adalah sumber lonjakan biaya dan fraud.

1. **Pilih kanal utama per pengguna**: WhatsApp untuk pengguna yang sebelumnya verifikasi lewat WhatsApp atau memilihnya; selain itu SMS.
2. **Buat satu kode per sesi verifikasi**, berlaku dalam jendela waktu singkat dan diterima satu kali.
3. **Tunggu status terkirim (delivered)** dengan batas waktu singkat, diukur dalam detik, bukan menit.
4. **Lakukan fallback satu kali** ke kanal lain jika tidak terkirim, dengan memakai kode yang sama atau membatalkan kode pertama.
5. **Sediakan kirim ulang atas inisiatif pengguna** dengan hitung mundur yang terlihat, bukan pengulangan otomatis.
6. **Batasi kirim ulang dan percobaan** per nomor telepon, perangkat, dan sesi.
7. **Catat kanal, status, latensi, dan hasil verifikasi** untuk setiap pengiriman.

| Metrik | Yang ditunjukkan | Tindakan saat memburuk |
|---|---|---|
| Tingkat pengiriman per kanal dan negara | Kesehatan jalur atau kanal | Ganti jalur atau kanal utama untuk pasar tersebut |
| Waktu hingga terkirim | Waktu tunggu pengguna dan risiko pembatalan | Persingkat batas waktu fallback, periksa jalur |
| Konversi verifikasi (kode dimasukkan / kode dikirim) | Keberhasilan pengguna asli dan sinyal fraud | Selidiki trafik dengan konversi rendah |
| Tingkat kirim ulang | Hambatan UX atau masalah pengiriman | Tinjau batas waktu, autofill, teks pesan |
| Biaya per verifikasi berhasil | Biaya sebenarnya | Seimbangkan ulang kanal, perketat kontrol fraud |

## Bagaimana mencegah SMS pumping dan fraud OTP?

SMS pumping, juga disebut artificially inflated traffic (AIT), terjadi saat bot meminta OTP ke rentang nomor yang memberi keuntungan bagi pihak yang menerima trafik terminasi. Anda membayar setiap pesan; tidak ada pengguna asli yang pernah melakukan verifikasi. Pencegahannya berlapis.

### Daftar periksa kontrol

- [ ] **Izin geografis:** hanya izinkan tujuan OTP di negara tempat Anda memiliki pelanggan; wajibkan peninjauan untuk menambah negara baru.
- [ ] **Rate limit** per nomor telepon, alamat IP, perangkat, sesi, dan prefiks nomor.
- [ ] **Perlindungan bot** (challenge atau penilaian risiko) sebelum permintaan OTP, bukan sesudahnya.
- [ ] **Pemantauan konversi:** beri peringatan saat konversi verifikasi untuk suatu negara atau prefiks turun tajam.
- [ ] **Validasi nomor:** tolak nomor yang salah format, berurutan, atau jelas tidak valid.
- [ ] **Peringatan pengeluaran dan batas harian** per tujuan.
- [ ] **Exponential back-off** pada kirim ulang dan tanpa percobaan ulang otomatis yang tidak terbatas.
- [ ] **Utamakan WhatsApp** untuk pengguna yang memakainya, karena template autentikasi terikat pada akun WhatsApp, bukan terminasi SMS bertarif tinggi.
- [ ] **Runbook insiden:** siapa yang boleh memblokir negara atau prefiks, dan secepat apa.

Lindungi juga pengguna: jangan pernah meminta kode lewat panggilan atau chat, nyatakan hal itu dalam pesan, dan wajibkan autentikasi ulang saat nomor telepon atau SIM berubah.

## Contoh kasus: aplikasi pengantaran di Qatar

"Rafeeq Delivery" (fiktif) memverifikasi pengguna baru dan mengonfirmasi pesanan bernilai tinggi.

- **Pengguna Android** menerima template autentikasi WhatsApp dengan autofill one-tap; pengguna iOS dan web menerima copy-code.
- **Fallback:** jika pengiriman WhatsApp tidak terkonfirmasi dalam batas waktu singkat, kode yang sama dikirim satu kali lewat SMS dari Sender ID transaksional yang terdaftar.
- **Batas:** tiga permintaan kode per nomor per jam, batas per perangkat dan IP, dan tujuan OTP dibatasi pada negara Teluk (GCC) tempat aplikasi beroperasi.
- **Pemantauan:** pada suatu malam, permintaan OTP ke prefiks di luar GCC melonjak dengan verifikasi hampir nol. Izin geografis memblokirnya secara otomatis; insiden itu tidak menimbulkan biaya karena negara tersebut memang tidak pernah diaktifkan.
- **Hasil:** tim memantau biaya per verifikasi berhasil dan konversi verifikasi per kanal setiap minggu, lalu menyesuaikan kanal utama per pasar.

## Kesalahan umum dan batasan

- **Memakai template marketing atau utilitas untuk OTP** di WhatsApp.
- **Kode berumur panjang atau dapat dipakai ulang**, atau kode yang tetap berlaku setelah kode baru diterbitkan.
- **Kirim ulang tanpa batas**, yang mengundang pumping dan membuat pengguna kesal.
- **Tanpa pembatasan geografis** pada OTP pendaftaran.
- **Mencampur teks promosi ke SMS OTP**, yang dapat membuat Sender ID diblokir.
- **Menjadikan OTP satu-satunya faktor** untuk tindakan berisiko tinggi.
- **Mengabaikan perubahan biaya.** Meta menagih template autentikasi yang terkirim berdasarkan pasar penerima; pastikan tarif terbaru di daftar harga Meta.

## Bagaimana OmniChannels.ai membantu

OmniChannels.ai mendukung template autentikasi WhatsApp dengan OTP one-tap, zero-tap, dan copy-code, berdampingan dengan template utilitas dan marketing, lengkap dengan pratinjau di ponsel dan pelacakan status persetujuan. SMS dikirim lewat konektivitas operator BroadNet Technologies, dan [OTP suara](/channels/voice/) menjangkau pengguna yang tidak dapat menerima teks, sehingga Anda dapat menggabungkan [WhatsApp, SMS, dan suara untuk OTP](/solutions/otp-notifications/) dengan fallback kanal yang dikonfigurasi per kasus penggunaan. Laporan pengiriman (DLR), dengan tampilan ringkasan dan lanjutan, filter, dan ekspor CSV, membantu Anda memantau pengiriman per kanal. Pengiriman OTP dan webhook pengiriman didokumentasikan di [REST API](/developers/) publik.