--- title: "Gerador de mensagem OTP para SMS e WhatsApp" description: "Gerador grátis de modelos de SMS com código de verificação em 6 idiomas, formatos de preenchimento automático Android e iOS e modelos OTP do WhatsApp." canonical: "https://omnichannels.ai/pt/tools/otp-message-generator/" language: "pt" updated: "2026-10-10" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" --- # Gerador de mensagem OTP para SMS e WhatsApp Canonical: https://omnichannels.ai/pt/tools/otp-message-generator/ Language: pt Publisher: OmniChannels.ai by BroadNet Technologies Um bom SMS de OTP traz o código primeiro, cita a marca, informa a validade e avisa para nunca compartilhar, por exemplo: "482913 e seu codigo Acme. Expira em 5 minutos. Nao compartilhe com ninguem." Mantenha em um segmento (160 caracteres GSM-7 ou 70 Unicode) e sem links. Para preenchimento automático no Android, inclua o hash de 11 caracteres do app; para iOS e web, termine com "@seudominio.com #482913". ## Como criar uma mensagem OTP 1. **Informe a marca e as regras do código:** Digite o nome do app ou da marca, escolha o tamanho do código (4 a 8 caracteres), só números ou letras e números, e por quantos minutos ele vale. 2. **Escolha idioma e canal:** Inglês, árabe, francês, espanhol, alemão ou português, depois SMS, WhatsApp ou ambos. O árabe é contado como Unicode (70 caracteres por SMS). 3. **Adicione os dados de preenchimento automático:** Se quiser, cole o hash de 11 caracteres do seu app Android e o seu domínio. A ferramenta monta os formatos SMS Retriever, vinculado ao domínio e combinado, e confere o limite de 140 bytes. 4. **Copie a mensagem ou o código:** Copie uma variante de SMS, o JSON do modelo de WhatsApp ou uma requisição cURL ou Node.js para a nossa API de SMS e revise o checklist de segurança antes de entrar em produção. ## O que um bom modelo de SMS de OTP precisa ter Uma mensagem de verificação tem uma única função: levar o código certo à pessoa certa, rápido e sem facilitar abusos. A maioria dos usuários lê o código na notificação da tela de bloqueio, que mostra só a primeira linha, mais ou menos. Por isso, coloque o código no início ou perto dele e deixe a marca clara, para o usuário saber qual serviço enviou. O tamanho pesa no custo e na confiabilidade. Um SMS GSM-7 comporta 160 caracteres e, quando dividido, 153 por parte. Um único caractere fora do alfabeto GSM-7 (uma letra árabe, um emoji, um apóstrofo tipográfico ou letras como "ó", "ã" e "ç") muda a mensagem inteira para UCS-2: 70 caracteres, ou 67 por parte. Só a palavra "código" já força Unicode. Um OTP em duas partes custa o dobro. O gerador mostra a codificação e os segmentos de cada variante e pode trocar letras acentuadas para manter o texto em GSM-7. - Código no início: "482913 e seu codigo Acme" aparece na prévia da notificação. - Nome da marca: mostra qual serviço enviou o código e dificulta o phishing. - Validade: "Expira em 5 minutos" define a expectativa e limita o uso indevido. - Aviso: "Não compartilhe este código com ninguém, nem com nossa equipe." - Sem links: as operadoras costumam filtrar OTPs com URL, e links acostumam o usuário ao phishing. ## Preenchimento automático no Android: o formato SMS Retriever A API SMS Retriever do Google permite que um app Android leia o SMS de verificação sem permissão de SMS e sem o usuário digitar nada. Segundo a documentação do Google, a mensagem deve ter no máximo 140 bytes, conter o código de uso único e incluir uma string hash de 11 caracteres que identifica o app. Esses 140 bytes equivalem a 160 caracteres GSM-7 ou 70 UCS-2, ou seja, a mensagem precisa caber em um único SMS. O hash são os 11 primeiros caracteres de um hash SHA-256 em base64 calculado a partir do nome do pacote e do certificado de assinatura. O exemplo do Google coloca o hash em uma linha própria no fim: "Your ExampleApp code is: 123ABC78", uma linha em branco e "FA+9qCX9VSu". Calcule-o com o keystore de produção e deixe-o fixo no servidor; o Google recomenda não usar hashes calculados no cliente. Versões antigas da documentação exigiam que a mensagem começasse com "<#>". A página atual não cita mais esse prefixo, que não atrapalha, mas ocupa 4 caracteres. Se você não controla o formato da mensagem, a alternativa é a API SMS User Consent: o usuário autoriza com um toque a leitura daquela mensagem. ## iPhone e web: códigos vinculados ao domínio O iOS e o macOS detectam códigos em SMS recebidos e os sugerem acima do teclado quando o campo está marcado como código de uso único: textContentType = .oneTimeCode em um app nativo ou autocomplete="one-time-code" em um campo HTML, conforme a documentação para desenvolvedores da Apple. Desde o iOS 14 e o macOS Big Sur, o Safari também aceita códigos vinculados à origem, definidos na especificação do WICG "Origin-bound one-time codes delivered via SMS". Nesse formato, a última linha da mensagem é "@example.com #747723": o domínio precedido de @, exatamente um espaço e o código precedido de #. Um terceiro valor opcional, "@embedded.example", indica um site incorporado. Pode haver texto legível antes da última linha, mas qualquer texto entre os valores a invalida. O preenchimento automático só oferece o código nesse domínio ou nos apps associados a ele, o que dificulta muito o phishing. O gerador também cria uma mensagem combinada, com o hash do Android e a linha do domínio, que cabe em 140 bytes em idiomas de alfabeto latino. Em árabe, envie os formatos Android e iOS separadamente. ## Modelos de autenticação do WhatsApp: o que dá para mudar O WhatsApp exige um modelo de autenticação para enviar senhas de uso único, e a Meta fixa o corpo. Em inglês, ele é " is your verification code." Você pode incluir a frase de segurança da Meta ("For your security, do not share this code.") e um rodapé de validade ("This code expires in minutes."), com code_expiration_minutes entre 1 e 90. Cada idioma usa a tradução fixa da Meta. URLs, mídia e emojis não são aceitos. O botão é escolha sua. Copiar código funciona em qualquer aparelho. O preenchimento com um toque abre seu app Android com o código e exige nome do pacote, hash de assinatura e um handshake. O modo sem toque (zero-tap, só Android) não tem botão: o WhatsApp entrega o código direto ao app. No iOS 26 e posteriores, as sugestões do teclado oferecem o código a partir da notificação, sem integração. O código tem até 15 caracteres e aparece duas vezes na requisição de envio: como parâmetro do corpo e do botão (sub_type "url"). O texto do botão de copiar tem limite de 25 caracteres. Configure message_send_ttl_seconds para que códigos vencidos não cheguem atrasados. Na Cloud API, essas mensagens são entregues só no aparelho principal do usuário. ## Checklist de segurança e estratégia de contingência A mensagem é a parte fácil; fraude e custos fora de controle vêm das regras em volta dela. Estas são recomendações comuns, não exigências legais. Ajuste os números ao seu risco. Monte o envio em cascata: WhatsApp primeiro quando o usuário tem o app, SMS depois de um prazo curto (por exemplo, 30 a 60 segundos sem confirmação de entrega) e, por último, uma ligação de voz que lê o código para telefones fixos e áreas com pouca cobertura. No Golfo, OTP é tráfego transacional, então regras promocionais como o prefixo "AD-" dos Emirados não se aplicam, mas o remetente geralmente precisa ser registrado. Confira as regras locais antes de lançar. - 6 dígitos é o padrão comum; gere os códigos com um gerador aleatório criptograficamente seguro. - Validade curta (5 a 10 minutos), uso único e guarde só um hash do código. - Limite envios por número e por IP, imponha espera para reenviar e bloqueie após cerca de 5 tentativas erradas. - Evite o SMS pumping (tráfego inflado artificialmente) liberando só os países de destino que você atende. - Nunca coloque o código em um link ou URL e nunca peça ao usuário para ditá-lo a um atendente. ## Perguntas sobre mensagens OTP ### Qual é o melhor formato de SMS de OTP? Código primeiro, marca, validade e aviso para não compartilhar, em um segmento e sem links: "482913 e seu codigo Acme. Expira em 5 minutos. Nao compartilhe com ninguem." Inclua uma linha com o hash do app para o Android e "@seudominio.com #482913" como última linha para iOS e web. ### Qual o tamanho máximo de um SMS de OTP? Busque um único segmento: 160 caracteres em GSM-7 ou 70 em Unicode (árabe ou português com acentos, por exemplo). O SMS Retriever do Google limita a mensagem a 140 bytes, o mesmo limite de um SMS. Mensagens maiores são divididas em partes de 153 ou 67 caracteres, cobradas uma a uma. ### O preenchimento automático do Android ainda precisa do prefixo <#>? Não. A documentação atual do SMS Retriever pede três coisas: no máximo 140 bytes, o código de uso único e o hash do app com 11 caracteres. O prefixo "<#>" vem de orientações antigas; mantê-lo não causa problema, mas ocupa 4 caracteres. ### Como fazer o OTP ser preenchido automaticamente no iPhone? Marque o campo como código de uso único (textContentType .oneTimeCode em apps, autocomplete="one-time-code" na web). O iOS passa a sugerir os códigos recebidos no Mensagens. Para vincular o código ao seu site, termine o SMS com "@seudominio.com #123456", com exatamente um espaço entre os dois valores. ### Posso personalizar o texto de um modelo de autenticação do WhatsApp? Não. A Meta fixa o corpo (" is your verification code.") e o traduz para cada idioma. Você só pode incluir a frase de segurança, um rodapé de validade de 1 a 90 minutos e escolher o botão de copiar código, um toque ou sem toque. URLs, mídia e emojis não são permitidos. ### É melhor enviar OTP por WhatsApp ou por SMS? Pelos dois. O WhatsApp oferece botões de copiar e de preenchimento com um toque e mostra o nome verificado da empresa; o SMS chega a qualquer celular, com ou sem internet. Um fluxo comum tenta o WhatsApp, passa para SMS após 30 a 60 segundos sem entrega e oferece ligação de voz no fim. ### Por que meu OTP em português sai como Unicode? Letras como ó, ã, ê e ç não fazem parte do alfabeto GSM-7, e uma só delas muda a mensagem para UCS-2, com 70 caracteres por SMS. Escreva sem acentos ("codigo", "nao") ou ative a troca de acentos no gerador para voltar aos 160 caracteres. ### É seguro colocar um link de login no SMS de OTP? Melhor evitar. Links em mensagens de verificação facilitam o phishing, são filtrados com mais frequência pelas operadoras e acostumam o usuário a tocar em links por SMS. Envie só o código e deixe o usuário digitá-lo ou preenchê-lo automaticamente.