--- title: "Como reduzir o custo de OTP por SMS: 9 táticas que funcionam" description: "Como reduzir o custo de OTP por SMS: barre fraude de pumping e envios inúteis, use autenticação por WhatsApp antes do SMS e meça o custo por usuário verificado." canonical: "https://omnichannels.ai/pt/blog/otp-cost-reduction-strategies/" language: "pt" updated: "2026-11-06" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "sms" primaryQuery: "reduce otp sms costs" keywords: ["reduzir custo de otp", "custo de otp por sms", "custo por usuário verificado", "custo do template de autenticação whatsapp", "ordem de fallback de otp", "fraude de sms pumping", "limite de taxa de otp", "reduzir custo de verificação por sms"] published: "2026-11-06" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 10 answer: "O gasto com OTP vaza por pedidos fraudulentos (SMS pumping), reenvios desnecessários, envios para países que você não atende e verificação de usuários que já são confiáveis. Reduza-o travando o envio atrás de controles de bots e de taxa, liberando só os destinos necessários, encurtando as tentativas, oferecendo templates de autenticação do WhatsApp antes do SMS, dispensando a verificação em dispositivos reconhecidos e acompanhando o custo por usuário verificado, não por mensagem." takeaways: ["A métrica que importa é o custo por usuário verificado: o gasto total com OTP dividido pelos usuários que de fato concluíram a verificação. O custo por mensagem esconde fraude, reenvios e abandono.", "A mensagem mais barata é a que você nunca envia. Verificações de bots, limites de taxa por número e por dispositivo e uma lista de destinos permitidos eliminam envios pagos que nenhum usuário real pediu.", "Os templates de autenticação do WhatsApp são cobrados por mensagem entregue, pela tarifa da Meta para o mercado do destinatário; mensagens não entregues não são cobradas. Compare os dois canais com o seu próprio índice de preços e seus dados de conversão, não com uma regra geral.", "A ordem dos canais é uma decisão de custo e de conversão: tente o canal mais barato apenas onde o usuário provavelmente o tem e faça o fallback depois de um curto tempo limite sem confirmação de entrega.", "A NIST SP 800-63B trata a verificação fora de banda pela rede telefônica pública (PSTN) como restrita e exige a oferta de alternativas, então um desenho multicanal também é uma prática de segurança melhor."] faq: - q: "Como posso reduzir o custo do OTP por SMS?" a: "Elimine os envios pagos de que ninguém precisa: adicione verificações de bots e limites de taxa em todo endpoint que envia um código, habilite só os países que você atende e limite os reenvios. Depois, mova os envios restantes para o canal mais barato para cada usuário, como um template de autenticação do WhatsApp, com SMS como fallback. Meça o custo por usuário verificado todo mês para ver se as mudanças funcionam." - q: "Quanto da minha fatura de OTP é fraude?" a: "Depende de quão expostos estão seus endpoints, e não existe uma média pública confiável, então meça a sua. Compare códigos enviados com códigos digitados por país e por prefixo de número. Uma diferença que aparece em um único destino enquanto os cadastros genuínos ficam estáveis é a assinatura do pumping. Use nossa calculadora de fraude por SMS pumping para estimar o desperdício com os seus números." - q: "O OTP por WhatsApp é mais barato que o OTP por SMS?" a: "Pode ser, mas depende do destino, porque a Meta cobra os templates de autenticação por mensagem entregue, com tarifa definida pelo mercado do destinatário e faixas de volume mensais, e as tarifas de SMS variam por país e operadora. Compare os dois no nosso índice de preços para os seus países e inclua o volume de fallback, já que quem não tem WhatsApp ainda precisa de SMS." - q: "Qual é o tamanho e a validade mais baratos e seguros para um código OTP?" a: "Tamanho e validade são configurações de segurança, não alavancas de custo. A NIST SP 800-63B exige segredos fora de banda com pelo menos seis dígitos decimais e que expirem em até 10 minutos. Uma validade menor reduz o risco de reutilização, mas pode aumentar os reenvios, que custam dinheiro; por isso escolha a janela mais curta que usuários reais cumprem com folga." - q: "Devo verificar todo login com um OTP?" a: "Não necessariamente. Verifique no cadastro, em eventos de risco como um novo dispositivo ou a troca de senha e em ações de alto valor. Em dispositivos reconhecidos com sessão válida, dispense o código ou use uma passkey ou uma verificação por aplicativo. Cada verificação evitada economiza uma mensagem e tira atrito, desde que seus controles de risco ainda detectem a tomada de conta." - q: "O fallback do WhatsApp para o SMS dobra o custo?" a: "Só se as duas mensagens forem entregues. A Meta cobra as mensagens de autenticação quando são entregues, então uma mensagem de WhatsApp que não chega não é cobrada. Espere uma confirmação de entrega ou um tempo limite curto antes de enviar o SMS, envie no máximo um fallback e use o mesmo código para o usuário não precisar escolher entre dois." sources: - title: "WhatsApp Business Platform pricing, Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/pricing" - title: "Authentication templates, WhatsApp Business Platform, Meta for Developers" url: "https://developers.facebook.com/docs/whatsapp/business-management-api/authentication-templates" - title: "NIST SP 800-63B-4: Authentication and Authenticator Management" url: "https://pages.nist.gov/800-63-4/sp800-63b.html" - title: "Resource Hijacking: SMS Pumping (T1496.003), MITRE ATT&CK" url: "https://attack.mitre.org/techniques/T1496/003/" --- # Como reduzir o custo de OTP por SMS: 9 táticas que funcionam Canonical: https://omnichannels.ai/pt/blog/otp-cost-reduction-strategies/ Language: pt Publisher: OmniChannels.ai by BroadNet Technologies Este guia é para equipes de produto, engenharia e fraude que pagam por senhas de uso único (OTPs) em escala e querem uma fatura menor sem prejudicar a conversão do cadastro. Ele divide o gasto com OTP nos pontos em que o dinheiro vaza, apresenta nove táticas na ordem em que as aplicaríamos e mostra como medir se funcionaram. Nenhum preço é citado aqui; use o seu contrato e as páginas de preços indicadas para os valores. ## Para onde vai, de fato, o gasto com OTP? O gasto com OTP vai para quatro lugares: primeiros envios genuínos, reenvios e novas tentativas, tráfego para destinos que você na prática não atende e pedidos fraudulentos. Só o primeiro é necessário; os demais são onde estão as economias. | Categoria de custo | O que é | Como enxergar | Alavanca típica | |---|---|---|---| | Primeiros envios genuínos | Um código para cada ação real do usuário | Códigos enviados que terminam em uma ação verificada | Canal mais barato, dispensar quando não for preciso | | Reenvios e novas tentativas | O usuário não recebeu ou não digitou o código | Envios por usuário verificado acima de 1,0 | Entrega mais rápida, melhor UX, tempo do fallback | | Destinos não atendidos | Códigos para países sem clientes reais | Volume por país vs. clientes por país | Lista de destinos permitidos | | Fraude (SMS pumping) | Bots disparando códigos para números dos quais o atacante lucra | Códigos enviados e nunca digitados, por prefixo | Verificação de bots, limites de taxa, tetos de gasto | O primeiro passo, portanto, é medir. Extraia um mês de envios por país e compare com os códigos digitados. Nossa [calculadora de fraude por SMS pumping](/pt/tools/sms-pumping-fraud-calculator/) transforma o seu volume de pedidos, a conversão e a tarifa em uma estimativa do gasto desperdiçado. ## O que é o custo por usuário verificado e como calculá-lo? O custo por usuário verificado é o gasto total com OTP em um período dividido pelo número de usuários que concluíram a verificação nesse período. É o único número de custo de OTP que inclui fraude, novas tentativas e tentativas abandonadas. **Custo por usuário verificado = (SMS enviados × custo do SMS + mensagens de WhatsApp entregues × custo do WhatsApp + outros canais) ÷ usuários que digitaram um código válido** Acompanhe-o por país e por fluxo (cadastro, login, pagamento). Duas razões complementares explicam suas variações: - **Envios por usuário verificado** = mensagens enviadas ÷ usuários verificados. Acima de 1,0 significa reenvios, abandono ou fraude. - **Conversão da verificação** = códigos digitados ÷ códigos enviados. Uma queda em um país é o primeiro sinal de pumping. ## Exemplo prático: um app no estilo de transporte por aplicativo "Najm Go", um app sintético, verifica 170.000 usuários por mês. Antes das mudanças, todo código vai por SMS, sendo s o custo de um SMS. Depois, 70 por cento das verificações começam no WhatsApp, em que w é o custo de uma mensagem de autenticação do WhatsApp entregue. As quantidades são ilustrativas, não referências de mercado. | | Antes | Depois | |---|---|---| | Usuários verificados | 170.000 | 170.000 | | Primeiros envios por SMS | 170.000 | 51.000 | | Primeiros envios por WhatsApp | 0 | 119.000 | | Reenvios e novas tentativas | 28.000 SMS | 10.000 SMS e 7.000 WhatsApp | | Pedidos de pumping que foram pagos | 40.000 SMS | 4.000 SMS | | Total de SMS | 238.000 | 65.000 | | Total de WhatsApp | 0 | 126.000 | | Custo por usuário verificado | 1,40 s | 0,38 s + 0,74 w | O cenário depois é mais barato sempre que 0,74 w for menor que 1,02 s, ou seja, sempre que w for menor que cerca de 1,4 vez s. Em outras palavras, mesmo que a mensagem de WhatsApp custasse mais que um SMS em algum país, a economia com fraude e reenvios ainda pode tornar o fluxo todo mais barato. Substitua s e w pelas tarifas do seu contrato e pela tarifa da Meta para o seu mercado; o [índice de preços](/data/messaging-price-index/) e o [estimador de custos](/pt/pricing/estimator/) mostram a proporção por país. ## Tática 1: Barre os bots antes de enviar o SMS Coloque um desafio contra bots ou uma pontuação de risco na frente de todo endpoint que envia um código, porque a mensagem que você nunca envia é gratuita. Isso inclui cadastro, login, redefinição de senha, "envie o link por SMS" e formulários de indicação. O MITRE ATT&CK lista o SMS pumping como a técnica T1496.003, descrevendo atacantes que disparam grandes volumes de mensagens para números que eles controlam. A defesa contra bots é a primeira linha contra isso. Exija também que o pedido venha de uma sessão válida ou de uma instalação de app atestada. Nosso [guia de prevenção de fraude por SMS pumping](/pt/blog/sms-pumping-fraud-prevention/) trata das camadas em profundidade. ## Tática 2: Limite a taxa em várias dimensões Limite códigos por número de telefone, por IP e rede, por dispositivo e por sessão, com janelas curtas e longas. Um limite em uma única dimensão é contornado girando essa dimensão. Uma política inicial para adaptar: - Um pequeno número de códigos por número por hora, com atraso crescente entre os reenvios. - Um teto diário rígido por número. - Um teto por dispositivo e por IP, mais baixo para fluxos não autenticados. - Um limite separado de tentativas malsucedidas. A NIST SP 800-63B afirma que gerar um novo segredo não deve zerar a contagem de tentativas malsucedidas. ## Tática 3: Crie uma lista de destinos permitidos Habilite apenas os países em que você tem usuários reais. Novos países exigem uma solicitação de negócio. Dentro dos países habilitados, bloqueie ou desafie prefixos que apresentem padrões de ataque e valide os números antes do envio com uma [consulta de número](/pt/blog/hlr-lookup-number-validation/) nos fluxos de alto volume. ## Tática 4: Instale disjuntores de gasto Defina tetos de gasto por hora e por dia por país e por endpoint e pause um destino automaticamente quando o volume ultrapassar um múltiplo do seu nível normal, avisando uma pessoa para revisar. Isso limita a conta de qualquer ataque que passe pelas camadas anteriores. ## Tática 5: Ofereça templates de autenticação do WhatsApp antes do SMS Para quem tem WhatsApp, um template de autenticação costuma ser a rota mais barata, e o modelo de tarifa de terminação do SMS que alimenta o pumping não se aplica a ele. Compare os canais nos seus próprios países antes de presumir. Fatos da documentação da Meta: - Os templates de autenticação usam um texto predefinido com um código, uma recomendação de segurança opcional e um rodapé opcional de validade de 1 a 90 minutos. Eles pertencem à categoria de **autenticação** da Meta. - As opções de botão são copiar código, preenchimento automático com um toque e zero-tap no Android. No iOS 26 e posteriores, as sugestões do teclado podem detectar o código; versões anteriores do iOS devem usar copiar código. - A Meta cobra as mensagens de autenticação por mensagem entregue, pela tarifa do mercado do destinatário, com faixas de volume mensais por mercado. A autenticação não tem faixa gratuita mensal, e alguns mercados têm uma tarifa separada de autenticação internacional, então confirme seus países na tabela de tarifas atual da Meta. Nosso guia [OTP por WhatsApp vs OTP por SMS](/pt/blog/whatsapp-otp-vs-sms-otp/) mostra como criar e enviar os templates. ## Tática 6: Escolha a ordem dos canais por usuário, não por empresa A ordem mais barata é a que corresponde ao lugar onde o usuário realmente consegue receber o código. Ordene os canais pelo menor custo que o usuário provavelmente tem e depois faça o fallback após uma curta espera. | Sinal | Primeiro canal sugerido | Fallback | |---|---|---| | Usuário recorrente que já verificou antes pelo WhatsApp | Template de autenticação do WhatsApp | SMS | | Novo usuário, país com alto uso de WhatsApp na sua base | WhatsApp, se o usuário informou um número alcançável pelo WhatsApp | SMS | | Novo usuário, sem histórico de canal | SMS | WhatsApp ou voz sob demanda | | Pedido de alto risco (novo dispositivo, número alterado) | O canal já vinculado à conta | Verificação mais forte, não outro código | O OTP por voz também está disponível como último recurso, e o preço pode ser obtido com a nossa equipe sob consulta. Monte a ordem nas regras de [fallback de canais](/pt/blog/channel-fallback-strategy/) e mantenha um único código entre os canais. ## Tática 7: Ajuste o tempo do fallback para não pagar duas vezes Envie o fallback somente depois que uma confirmação de entrega não chegar dentro de um tempo limite curto, medido em segundos. Se a mensagem de WhatsApp foi entregue, não envie SMS; se não foi entregue, a Meta não a cobra. No máximo um fallback, e o mesmo código nos dois. ## Tática 8: Verifique menos vezes e de forma mais inteligente Cada verificação que você dispensa com segurança é uma mensagem economizada. Peça um código no cadastro, em novos dispositivos, após a troca de senha e em ações de alto valor. Em dispositivos reconhecidos com sessão válida, use um token de dispositivo lembrado ou uma passkey. Mantenha as verificações de risco (viagem impossível, novo chip) para que dispensar o código não abra espaço para a tomada de conta. A NIST SP 800-63B-4 restringe o uso da rede telefônica pública para verificação fora de banda e exige que os verificadores mantenham disponíveis tipos alternativos de autenticador, então reduzir a dependência do SMS está alinhado com a orientação de segurança, e não só com o custo. ## Tática 9: Reduza os reenvios com melhor entrega e UX Reenvios são mensagens pagas. Reduza-os assim: 1. Entregando por rotas diretas com relatórios de entrega, para que rotas lentas ou silenciosas apareçam. Veja [rota cinzenta vs rota direta em SMS](/pt/blog/grey-route-vs-direct-route-sms/). 2. Mantendo o SMS em um único segmento, para que nunca seja dividido. Uma mensagem de código como `Codigo Najm: 482915. Valido por 5 minutos. Nunca compartilhe.` tem 61 caracteres em GSM-7 (160 por segmento). A mesma mensagem com acentos, `Código Najm: 482915. Válido por 5 minutos. Nunca compartilhe.`, também tem 61 caracteres, mas usa Unicode, porque ó e á não fazem parte do alfabeto GSM-7 (70 por segmento). Nos dois casos cabe em um segmento. Confira qualquer variante no [contador de caracteres de SMS](/pt/tools/sms-character-counter/). 3. Oferecendo preenchimento automático, como o formato do código e botões de um toque ou de copiar código, para que o usuário não digite errado. 4. Definindo uma validade longa o bastante para usuários reais. A NIST exige que os segredos fora de banda expirem em até 10 minutos; não a deixe tão curta que os usuários precisem pedir de novo. 5. Diagnosticando reclamações com a [solução de problemas de OTP não recebido](/pt/blog/otp-not-received-troubleshooting/). ## O que medir todo mês? Meça um painel pequeno por país e por fluxo e revise-o semanalmente durante as mudanças. | Métrica | Fórmula | Direção saudável | |---|---|---| | Custo por usuário verificado | Gasto ÷ usuários verificados | Para baixo | | Conversão da verificação | Códigos digitados ÷ códigos enviados | Para cima, estável por país | | Envios por usuário verificado | Mensagens ÷ usuários verificados | Rumo a 1,0 | | Participação do WhatsApp nos primeiros envios | Primeiros envios por WhatsApp ÷ todos os primeiros envios | Para cima onde há alcance | | Taxa de fallback | Fallbacks ÷ tentativas por WhatsApp | Estável; um salto indica problemas de entrega | | Pedidos bloqueados | Pedidos barrados pelos controles | Picos revelam ataques | ## Que erros evitar? - **Otimizar o preço por mensagem** enquanto fraude e reenvios dominam a fatura. - **Bloquear países inteiros** depois de um ataque em vez de criar a lista de permitidos com antecedência, o que prejudica usuários reais no exterior. - **Enviar SMS e WhatsApp ao mesmo tempo** "por garantia", o que dobra o custo. - **Definir uma validade muito curta**, que causa pedidos repetidos. - **Supor que o WhatsApp alcança todo mundo.** Mantenha o SMS como fallback e meça o alcance. - **Remover a verificação sem controles de risco**, o que troca um problema de custo por um problema de tomada de conta. ## Como a OmniChannels.ai ajuda A OmniChannels.ai, com tecnologia da BroadNet Technologies, envia OTPs por SMS com conectividade direta com as operadoras e por templates de autenticação do WhatsApp (um toque, zero-tap e copiar código), com fallback de canais configurável e webhooks de entrega normalizados para o seu próprio relatório de custos. Os relatórios de entrega podem ser filtrados e exportados em CSV. A [API REST e o SMPP](/pt/developers/) cobrem a integração. Converse com a equipe sobre seus países e volumes e consulte as [páginas de preços do WhatsApp](/pt/whatsapp-pricing/) e os [preços de SMS por país](/pt/sms-pricing/) para ver os preços de tabela publicados.