OTP por WhatsApp vs OTP por SMS: custo, entrega e fallback

Como envio o código em cada canal?

No WhatsApp, envie o template aprovado com o código como variável do corpo. Para um botão de copiar código, passe o mesmo código em buttonsTemplateVariable.

curl -X POST https://api.broadnet.me/whatsapp/message/sendbulk \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -F batchId=0 \
  -F destinationNo=971500000000 \
  -F messageType=TEMPLATE \
  -F templateName=login_code \
  -F templateLanguage=en_US \
  -F bodyTemplateVariables=482913 \
  -F buttonsTemplateVariable=482913

Aqui login_code é um espaço reservado para o seu próprio template de autenticação aprovado. No SMS, chame POST /sms/sendSms com JSON:

curl -X POST https://api.broadnet.me/sms/sendSms \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "senderId": "OmniDemo",
    "destinationNumber": "971500000000",
    "message": "Your OmniDemo code is 482913",
    "messageType": "TEXT"
  }'

Note as diferenças: o WhatsApp usa multipart form data e devolve um batchId; o SMS usa JSON e devolve o ID da mensagem como texto simples. Os exemplos completos estão nos nossos guias de envio de WhatsApp por API e de envio de SMS por API.

Como monto a entrega que começa pelo WhatsApp com fallback por SMS?

Envie pelo WhatsApp, aguarde um status e depois envie uma única vez por SMS, se necessário. Nossos status são normalizados entre os canais, então o mesmo handler pode conduzir os dois.

1. Gere o código no seu servidor, guarde apenas um hash com uma validade e limite as tentativas.
2. Envie o template de WhatsApp e registre o batchId e o seu ID de operação.
3. Aguarde o DELIVERED no webhook por uma janela que você escolher, conforme a paciência do usuário.
4. Se houver FAILED, REJECTED ou nenhuma entrega a tempo, invalide o primeiro código, gere um novo e envie o SMS.
5. Limite os fallbacks por número e por sessão.
6. Registre qual canal teve sucesso, para ajustar a ordem por país.

Evite novas tentativas às cegas após timeouts, porque a API não tem chave de idempotência; verifique o status antes de reenviar, como descrito em Erros e limites. A ordem dos canais é configurada por caso de uso na OmniChannels.ai, e o desenho geral está na nossa estratégia de fallback entre canais. Para o tratamento de webhooks, veja o guia de webhooks. O OTP por voz é outra etapa de fallback; veja o guia de OTP por voz e fale com vendas sobre o preço da voz.

Como fraude e abuso diferem?

Os dois canais atraem abusos, então construa controles antes de lançar. O SMS tem um problema bem conhecido: atacantes disparam códigos para números dos quais lucram, inflando o seu tráfego. O WhatsApp não é imune, porque qualquer endpoint que envia uma mensagem sob demanda pode ser abusado para gerar custo ou assediar um número.

Controles que valem para ambos:

• Limite a taxa de solicitações de código por número de telefone, por endereço IP, por dispositivo e por conta.
• Valide os números antes de enviar; veja consulta HLR.
• Limite o fallback para que um atacante não consiga disparar duas mensagens por solicitação.
• Observe a conversão: muitas solicitações com poucas verificações concluídas são um sinal de alerta.
• Bloqueie destinos que você não atende.
• Validade curta e tentativas limitadas, sem reutilização de código.

Leia prevenção de fraude de SMS pumping e use a calculadora de fraude para estimar a exposição. Pela NIST SP 800-63B-4, os códigos fora de banda são um tipo de autenticador com limites conhecidos, então use métodos mais fortes para ações de alto risco, como pagamentos ou recuperação de conta.

Qual devo escolher?

Decida pelo público e pelo risco e depois teste.

Exemplo prático: um app estilo transporte por aplicativo no Golfo

O "Rafiq Rides" (sintético) verifica contas de novos motoristas e passageiros nos Emirados Árabes Unidos, na Arábia Saudita e no Egito.

• Desenho: template de autenticação do WhatsApp com copiar código primeiro; fallback por SMS após uma curta espera sem status DELIVERED.
• Controles: três solicitações de código por número por hora, um limite por IP, validação do número antes do primeiro envio e um fallback por sessão.
• Medição: verificação concluída em um curto período, dividida por canal e país; parcela de falhas e de fallback.
• Ajuste: em um país em que a entrega pelo WhatsApp é mais fraca, a equipe inverte a ordem para SMS primeiro.
• Custos: simulados por país com as ferramentas de preços, revisados todo mês com os envios reais.

Quais são os erros comuns?

• Comparar um único preço global, em vez de por país e por usuário verificado.
• Enviar pelos dois canais ao mesmo tempo, o que dobra o custo e a superfície de abuso.
• Botões de reenvio ilimitados.
• Reutilizar o código antigo após o fallback.
• Registrar códigos em logs ou enviá-los em URLs.
• Nenhum registro de consentimento para o canal WhatsApp.
• Prometer zero toque em todo lugar. Confira o suporte atual de dispositivos.
• Limites: este guia descreve o mecanismo. Entrega, custo e suporte de dispositivos variam por país, rota e pelas regras da Meta, e devem ser testados nos seus mercados.

Como a OmniChannels.ai ajuda

A OmniChannels.ai cobre os dois canais em uma única API: templates de autenticação do WhatsApp (um toque, zero toque e copiar código) como Meta Business Solution Provider oficial e SMS A2P pela conectividade direta com operadoras da BroadNet, com fallback entre canais configurado por caso de uso e status normalizados em um único formato de webhook. Nossa equipe prepara com você os registros de sender ID e de WhatsApp; as aprovações ficam com a Meta e os reguladores. Veja a solução de OTP, a API de SMS para OTP e a documentação para desenvolvedores.