OTP-сообщения в WhatsApp и SMS: безопасность, доставка, фрод

Это руководство для продакт-менеджеров, инженеров и команд безопасности, которые отправляют одноразовые пароли (OTP) при регистрации, входе, платежах или восстановлении доступа. В нём разобрано, как работают аутентификационные шаблоны WhatsApp, как доставлять коды по SMS, как выстроить резервный канал и как остановить OTP-фрод, например SMS pumping, не мешая реальным пользователям.

Каким должно быть хорошее OTP-сообщение?

Хорошее OTP-сообщение приходит за считаные секунды, его легко ввести, его нельзя использовать повторно, и оно явно отправлено вами. Всё остальное в этом руководстве поддерживает эти четыре свойства.

• Быстрое: доставляется за считаные секунды с первой попытки.
• Удобное: по возможности автозаполнение или копирование; не нужно искать код в тексте.
• Безопасное: короткоживущее, одноразовое, не менее шести цифр, с предупреждением «никому не сообщайте».
• Вызывающее доверие: подтверждённое имя компании в WhatsApp или зарегистрированное имя отправителя в SMS.

Как работают аутентификационные шаблоны WhatsApp?

Для одноразовых кодов WhatsApp требует использовать аутентификационный шаблон (authentication). Текст задан Meta заранее, например «123456 — ваш код подтверждения», с необязательной рекомендацией по безопасности («В целях безопасности не сообщайте этот код») и необязательным нижним колонтитулом со сроком действия. Согласно документации Meta, аутентификационные шаблоны не могут содержать URL, медиафайлы и эмодзи, а параметры ограничены 15 символами.

Вы выбираете один из трёх типов доставки:

Ещё два момента из документации Meta, которые стоит знать:

• Защита связанных устройств (linked device security) включена по умолчанию в Cloud API: коды приходят только на основное устройство пользователя и скрываются на связанных устройствах.
• Автозаполнение на iOS: Meta сообщает, что с 15 июня 2026 года на iOS 26 и новее подсказки клавиатуры предлагают автозаполнение OTP из уведомления WhatsApp без интеграции.

Если вы отправляете коды через маркетинговый или служебный шаблон, Meta может поставить такой шаблон на отклонение, и это решение нельзя обжаловать. Читайте наше руководство по категориям шаблонов WhatsApp.

Как отправлять OTP по SMS?

SMS остаётся универсальным каналом: он работает без интернета и приложения. Чтобы доставка была надёжной:

1. Используйте зарегистрированное транзакционное имя отправителя, или альфа-имя, на рынках, где требуется регистрация, например в ОАЭ и Саудовской Аравии, и не отправляйте с него маркетинговые сообщения. Читайте наше руководство по регистрации имени отправителя.
2. Укладывайтесь в один сегмент. Поставьте код в начало, назовите бренд, укажите срок действия и добавьте предупреждение: «123456 — ваш код Najm. Действует 5 минут. Никому его не сообщайте.» Арабский текст использует Unicode, поэтому в сегмент помещается меньше символов.
3. Поддержите автозаполнение SMS на Android (формат SMS Retriever API) и iOS (поле one-time-code), чтобы пользователям не приходилось вводить код вручную.
4. Отправляйте через качественные подключения, которые возвращают отчёты о доставке (DLR), чтобы у резервного канала и мониторинга были реальные сигналы.

NIST SP 800-63B относит OTP, передаваемые по телефонной сети общего пользования (SMS и голос), к ограниченным (restricted) аутентификаторам из-за рисков подмены SIM-карты, переноса номера и перехвата и рекомендует перед отправкой проверять признаки риска, например смену SIM-карты. Для действий с высокой ценой сочетайте SMS OTP с другими сигналами или предлагайте более надёжные факторы, например ключи доступа (passkeys).

Как выстроить доставку OTP и резервный канал?

Отправьте код один раз по лучшему каналу, коротко подождите подтверждения доставки и один раз переключитесь на резервный канал. Именно из-за неконтролируемых повторных отправок растут расходы и фрод.

1. Выберите основной канал для каждого пользователя: WhatsApp для тех, кто раньше подтверждал номер через WhatsApp или выбрал его; для остальных — SMS.
2. Генерируйте один код на сессию верификации, с коротким сроком действия и однократным приёмом.
3. Ждите статуса «доставлено» в течение короткого тайм-аута, измеряемого секундами, а не минутами.
4. Переключайтесь на резервный канал (fallback) один раз, если сообщение не доставлено: отправьте тот же код или аннулируйте первый.
5. Предложите повторную отправку по инициативе пользователя с видимым обратным отсчётом вместо автоматических повторов.
6. Ограничьте число повторных отправок и попыток на номер телефона, устройство и сессию.
7. Логируйте канал, статус, задержку и результат верификации для каждой отправки.

Как предотвратить SMS pumping и OTP-фрод?

SMS pumping, или искусственно завышенный трафик (AIT), возникает, когда боты запрашивают OTP на диапазоны номеров, где кто-то зарабатывает на терминации трафика. Вы платите за каждое сообщение, а реальный пользователь код так и не вводит. Защита строится в несколько уровней.

Контрольный список мер

• Геоограничения: разрешайте OTP только в страны, где у вас есть клиенты; для добавления новых требуйте проверки.
• Лимиты запросов на номер телефона, IP-адрес, устройство, сессию и префикс номера.
• Защита от ботов (проверка или оценка риска) до запроса OTP, а не после.
• Мониторинг конверсии: оповещение, когда конверсия верификации по стране или префиксу резко падает.
• Валидация номеров: отклоняйте некорректные, последовательные или явно недействительные номера.
• Оповещения о расходах и дневные лимиты по направлениям.
• Экспоненциальная задержка при повторных отправках и никаких неограниченных автоматических повторов.
• Отдавайте приоритет WhatsApp для пользователей, которые им пользуются: аутентификационные шаблоны привязаны к аккаунту WhatsApp, а не к премиальной SMS-терминации.
• Инструкция на случай инцидента: кто может заблокировать страну или префикс и как быстро.

Защищайте и самих пользователей: никогда не запрашивайте код в звонке или чате, напишите об этом в сообщении и требуйте повторной аутентификации при смене номера телефона или SIM-карты.

Пример: приложение доставки в Катаре

«Rafeeq Delivery» (вымышленный пример) верифицирует новых пользователей и подтверждает дорогие заказы.

• Пользователи Android получают аутентификационный шаблон WhatsApp с автозаполнением one-tap; пользователи iOS и веба получают шаблон с копированием кода.
• Резервный канал: если доставка в WhatsApp не подтверждена за короткий тайм-аут, тот же код один раз уходит по SMS с зарегистрированного транзакционного имени отправителя.
• Лимиты: три запроса кода на номер в час, ограничение на устройство и IP, а OTP-направления ограничены странами GCC, где работает приложение.
• Мониторинг: однажды ночью запросы OTP на префикс за пределами GCC резко растут, а верификаций почти нет. Геоограничения блокируют их автоматически; инцидент ничего не стоит, потому что эта страна никогда не была включена.
• Результат: команда каждую неделю отслеживает расход на одну успешную верификацию и конверсию верификации по каналам и корректирует основной канал по рынкам.

Типичные ошибки и ограничения

• Использование маркетинговых или служебных шаблонов для OTP в WhatsApp.
• Долгоживущие или многоразовые коды, а также коды, которые остаются действительными после выпуска нового.
• Неограниченные повторные отправки, которые провоцируют pumping и раздражают пользователей.
• Отсутствие геоограничений для OTP при регистрации.
• Рекламный текст в OTP-SMS, из-за которого имя отправителя могут заблокировать.
• OTP как единственный фактор для действий с высоким риском.
• Игнорирование изменений стоимости. Meta тарифицирует доставленные аутентификационные шаблоны по рынку получателя; актуальные ставки уточняйте в прайс-листе Meta.

Чем помогает OmniChannels.ai

OmniChannels.ai поддерживает аутентификационные шаблоны WhatsApp с OTP через one-tap, zero-tap и копирование кода, а также служебные и маркетинговые шаблоны, с предпросмотром на телефоне и отслеживанием статуса одобрения. SMS доставляются через операторское подключение BroadNet Technologies, а голосовой OTP охватывает пользователей, которые не могут получать текстовые сообщения. Так вы можете сочетать WhatsApp, SMS и голос для OTP с резервным каналом, настроенным под каждый сценарий. Отчёты о доставке со сводным и расширенным видом, фильтрами и экспортом в CSV помогают отслеживать доставку по каналам. Отправка OTP и вебхуки доставки описаны в открытой документации по REST API.