OTP no WhatsApp e SMS: segurança, entrega e fraude

Este guia é para gerentes de produto, engenheiros e equipes de segurança que enviam senhas de uso único (OTPs) para cadastro, login, pagamentos ou recuperação de conta. Ele mostra como funcionam os modelos de autenticação do WhatsApp, como entregar códigos por SMS, como desenhar o fallback e como combater fraudes de OTP, como o SMS pumping, sem prejudicar usuários reais.

O que faz uma boa mensagem de OTP?

Uma boa mensagem de OTP chega em segundos, é fácil de digitar, não pode ser reutilizada e é claramente identificada como sua. Tudo o mais neste guia sustenta essas quatro propriedades.

• Rápida: entregue em segundos na primeira tentativa.
• Simples: preenchimento automático ou cópia sempre que possível; sem precisar procurar no texto.
• Segura: curta duração, uso único, pelo menos seis dígitos, com o aviso "não compartilhe".
• Confiável: nome de empresa verificado no WhatsApp ou ID de remetente registrado no SMS.

Como funcionam os modelos de autenticação do WhatsApp?

O WhatsApp exige um modelo de autenticação para senhas de uso único. O texto é predefinido pela Meta, por exemplo "123456 é o seu código de verificação", com uma recomendação de segurança opcional ("Para sua segurança, não compartilhe este código") e um rodapé de expiração opcional. Segundo a documentação da Meta, os modelos de autenticação não podem incluir URLs, mídia ou emojis, e os parâmetros são limitados a 15 caracteres.

Você escolhe um dos três tipos de entrega:

Mais dois pontos da documentação da Meta valem a atenção:

• A segurança de dispositivos vinculados vem ativada por padrão na Cloud API: os códigos vão apenas ao dispositivo principal do usuário e ficam mascarados nos dispositivos vinculados.
• Preenchimento automático no iOS: a Meta informa que, a partir de 15 de junho de 2026, no iOS 26 e posteriores, as sugestões do teclado oferecem o preenchimento automático de OTP a partir da notificação do WhatsApp, sem integração.

Se você enviar códigos por um modelo de marketing ou de utilidade, a Meta pode programar a rejeição desse modelo, e essa decisão não pode ser contestada. Veja nosso guia sobre as categorias de modelos do WhatsApp.

Como enviar OTPs por SMS?

O SMS continua sendo o canal universal: funciona sem dados e sem app. Para torná-lo confiável:

1. Use um ID de remetente transacional registrado nos mercados que exigem registro, como Emirados Árabes Unidos e Arábia Saudita, e mantenha o marketing fora dele. Veja nosso guia de registro de ID de remetente.
2. Mantenha a mensagem em um único segmento. Coloque o código primeiro, cite a marca, informe a validade e adicione um aviso: "123456 é o seu código Najm. Válido por 5 minutos. Nunca compartilhe." Textos em árabe usam Unicode, portanto cabem menos caracteres por segmento.
3. Ofereça preenchimento automático por SMS no Android (formato da SMS Retriever API) e no iOS (campo de código de uso único), para que o usuário não precise digitar o código.
4. Roteie por conexões de qualidade que devolvam relatórios de entrega, para que o fallback e o monitoramento tenham sinais reais.

A NIST SP 800-63B classifica OTPs enviados pela rede telefônica pública (SMS e voz) como autenticador restrito, por causa dos riscos de troca de SIM, portabilidade de número e interceptação, e recomenda verificar indicadores de risco, como troca de SIM, antes do envio. Para ações de alto valor, combine o OTP por SMS com outros sinais ou ofereça fatores mais fortes, como passkeys.

Como desenhar a entrega de OTP e o fallback?

Envie uma vez pelo melhor canal, aguarde brevemente a confirmação de entrega e recorra ao fallback uma única vez. É nas tentativas descontroladas que custo e fraude explodem.

1. Escolha o canal principal por usuário: WhatsApp para quem já se verificou por ele ou o escolheu; SMS nos demais casos.
2. Gere um código por sessão de verificação, válido por uma janela curta e aceito uma única vez.
3. Aguarde o status de entregue por um timeout curto, medido em segundos e não em minutos.
4. Recorra uma vez ao outro canal se não houver entrega, reutilizando o mesmo código ou invalidando o primeiro.
5. Ofereça reenvio iniciado pelo usuário com contagem regressiva visível, em vez de repetições automáticas.
6. Limite reenvios e tentativas por número, dispositivo e sessão.
7. Registre canal, status, latência e resultado da verificação em cada envio.

Como prevenir o SMS pumping e a fraude de OTP?

O SMS pumping, também chamado de tráfego artificialmente inflado (AIT), ocorre quando bots solicitam OTPs para faixas de números em que alguém lucra com a terminação do tráfego. Você paga por cada mensagem; nenhum usuário real chega a se verificar. A prevenção é feita em camadas.

Checklist de controles

• Permissões por país: permita destinos de OTP apenas em países onde você tem clientes; exija revisão para adicionar novos.
• Limites de taxa por número, endereço IP, dispositivo, sessão e prefixo de número.
• Proteção contra bots (desafio ou pontuação de risco) antes do pedido de OTP, não depois.
• Monitoramento de conversão: alerta quando a conversão da verificação cair bruscamente para um país ou prefixo.
• Validação de números: rejeitar números malformados, sequenciais ou claramente inválidos.
• Alertas de gasto e tetos diários por destino.
• Back-off exponencial nos reenvios e nenhuma nova tentativa automática ilimitada.
• Priorizar o WhatsApp para quem o usa, já que os modelos de autenticação são vinculados a uma conta de WhatsApp e não a uma terminação de SMS premium.
• Runbook de incidentes: quem pode bloquear um país ou prefixo e com que rapidez.

Proteja também os usuários: nunca peça o código em uma ligação ou chat, deixe isso claro na mensagem e exija nova autenticação quando o número de telefone ou o chip mudar.

Exemplo prático: um app de delivery no Catar

A "Rafeeq Delivery" (fictícia) verifica novos usuários e confirma pedidos de alto valor.

• Usuários Android recebem um modelo de autenticação do WhatsApp com preenchimento automático one-tap; usuários de iOS e web recebem o copiar código.
• Fallback: se a entrega pelo WhatsApp não for confirmada em um timeout curto, o mesmo código segue uma única vez por SMS, a partir de um ID de remetente transacional registrado.
• Limites: três pedidos de código por número por hora, um teto por dispositivo e IP, e destinos de OTP restritos aos países do GCC em que o app opera.
• Monitoramento: numa noite, os pedidos de OTP para um prefixo fora do GCC disparam, com verificação praticamente nula. As permissões por país os bloqueiam automaticamente; o incidente não custa nada, porque o país nunca foi habilitado.
• Resultado: a equipe acompanha semanalmente o gasto por verificação concluída e a conversão da verificação por canal, e ajusta o canal principal por mercado.

Erros comuns e limites

• Usar modelos de marketing ou de utilidade para OTPs no WhatsApp.
• Códigos de longa duração ou reutilizáveis, ou que continuam válidos depois que um novo é emitido.
• Reenvios ilimitados, que convidam ao pumping e frustram os usuários.
• Nenhuma restrição geográfica nos OTPs de cadastro.
• Misturar texto promocional em SMS de OTP, o que pode levar ao bloqueio do ID de remetente.
• Tratar o OTP como único fator em ações de alto risco.
• Ignorar mudanças de custo. A Meta cobra os modelos de autenticação entregues por mercado do destinatário; confirme os valores atuais na tabela de preços da Meta.

Como a OmniChannels.ai ajuda

A OmniChannels.ai oferece modelos de autenticação do WhatsApp com OTP one-tap, zero-tap e copy-code, além de modelos de utilidade e marketing, com pré-visualização no celular e acompanhamento de aprovação. O SMS é entregue pela conectividade da BroadNet Technologies com as operadoras, e o OTP por voz atende usuários que não conseguem receber texto, para que você combine WhatsApp, SMS e voz para OTP com fallback entre canais configurado por caso de uso. Relatórios de entrega, com visões resumida e avançada, filtros e exportação em CSV, ajudam a monitorar a entrega por canal. O envio de OTP e os webhooks de entrega estão documentados na API REST pública.