Безопасность и конфиденциальность WhatsApp Business API

Это руководство для CTO, специалистов по информационной безопасности, DPO и руководителей по комплаенсу, которым нужно согласовать проект на WhatsApp Business API или ответить на вопрос клиента о нём. Вы узнаете, где данные шифруются, а где доступны в читаемом виде, кто их хранит и как долго, какие меры контроля остаются на вашей стороне и о чём спросить поставщика сообщений до подписания договора.

Шифруется ли WhatsApp Business API сквозным шифрованием?

Не так, как обычные пользовательские чаты. Meta сообщает, что в Cloud API сообщения передаются в зашифрованном виде по протоколу Signal между клиентом и Cloud API, который действует от имени компании. Cloud API расшифровывает их и пересылает компании по HTTPS, защищённому TLS; для исходящих сообщений процесс идёт в обратном порядке.

На практике это означает следующее:

• Между телефоном клиента и Cloud API от Meta: шифрование по протоколу Signal.
• Внутри Cloud API: сервис может читать сообщения для обработки; Meta сообщает, что данные в состоянии покоя шифруются, а ключами Cloud API управляет от имени компании.
• Между Cloud API и вашим провайдером или серверами: TLS при передаче, а далее та защита, которую применяют ваш провайдер и вы.

Поэтому клиентам честнее сказать так: «зашифровано при передаче и защищено шифрованием WhatsApp до нашего поставщика услуг», а не «прочитать могут только вы и клиент». Meta также сообщает, что при предоставлении Cloud API выступает обработчиком данных (data processor) или поставщиком услуг для компании, если законодательство о защите данных использует такие понятия.

Где хранятся данные и как долго?

Данные находятся как минимум в трёх местах, и у каждого свой срок хранения. Перед согласованием проекта опишите все три.

Meta обрабатывает трафик Cloud API в своих дата-центрах. Если содержимое сообщений в состоянии покоя должно храниться в конкретной стране, Meta предлагает локальное хранение (local storage) — настройку для каждого бизнес-номера. При его включении содержимое сообщений по-прежнему может обрабатываться за рубежом, пока используется (в Cloud API — до 60 минут), а затем сохраняется только в выбранном регионе. Включить или отключить эту настройку можно только тогда, когда номер не зарегистрирован. Поддерживаемые регионы перечислены в документации Meta по регистрации, поэтому до того, как на это рассчитывать, убедитесь, что опция доступна для вашей страны.

Локальное хранение касается только стороны Meta. Где провайдер хранит диалоги и резервные копии, спрашивайте у него отдельно.

Какие нормы применяются?

Это зависит от того, где находитесь вы и ваши клиенты. В странах Персидского залива (GCC) правила законного обработки данных, получения согласия, ограничения целей и трансграничной передачи устанавливают закон ОАЭ о защите персональных данных и закон Саудовской Аравии о защите персональных данных, за соблюдением которого следит SDAIA; отраслевые регуляторы в банковской сфере, здравоохранении и телекоммуникациях могут добавлять свои требования. Если клиенты находятся в ЕС или Великобритании, применяется GDPR. В документации Meta сказано, что клиенты Cloud API должны самостоятельно выполнять свои обязанности по законам о защите данных.

Считайте этот раздел ориентиром, а не юридической консультацией. Попросите юристов определить, какие законы применяются к вашим конкретным потокам данных.

Кто должен иметь доступ и как его организовать?

Сбои в контроле доступа приводят к инцидентам чаще, чем слабая криптография. Закройте следующие уровни:

1. Бизнес-портфолио Meta. Держите WhatsApp Business Account (WABA) в собственном бизнес-портфолио, включите двухфакторную аутентификацию для администраторов и сразу удаляйте уволившихся сотрудников.
2. PIN двухэтапной проверки. Шестизначный PIN защищает регистрацию вашего номера. Храните его в своём менеджере паролей, а не в почтовом ящике вендора. Подпишитесь на вебхук безопасности Meta: он сообщает об изменениях PIN и попытках отключить двухэтапную проверку.
3. API-токены. Используйте токены системного пользователя только с нужными правами, храните их в хранилище секретов и меняйте при смене сотрудников или вендоров.
4. Endpoint вебхука. Принимайте только HTTPS, проверяйте подпись payload от Meta с помощью секрета вашего приложения и не записывайте полные payload в общие консоли.
5. Доступ операторов. Выдавайте операторам ролевой доступ только к тем очередям, которые они обслуживают, ограничивайте массовую выгрузку и фиксируйте, кто что просматривал или выгружал.
6. Доступ вендора. Выясните, какие сотрудники провайдера могут получить доступ к вашим диалогам, по какой процедуре и как этот доступ фиксируется.

Как обращаться с PII в шаблонах и чатах?

Собирайте минимум данных и никогда не запрашивайте то, что запрещает политика. Политика WhatsApp для бизнес-сообщений гласит, что компании не должны передавать и просить людей передавать полные номера платёжных карт, номера финансовых счетов, номера удостоверений личности и другие чувствительные идентификаторы.

Практические правила:

• Шаблоны: не помещайте чувствительные данные в переменные. Пишите «ваш заказ, оканчивающийся на 4821», а не полные данные счёта; параметры шаблона — это содержимое сообщения, и хранятся они так же, как любые другие сообщения.
• Платежи и идентификация: отправляйте кнопку CTA URL со ссылкой на защищённую веб-страницу вместо сбора данных в чате.
• OTP-коды: используйте аутентификационные шаблоны (authentication) и короткий срок действия; см. наше руководство по безопасности OTP.
• Медиафайлы: по умолчанию считайте изображения и документы, присланные клиентами, чувствительными и задайте для них срок хранения.
• Выгрузки: CSV-выгрузки диалогов и отчётов — самые лёгкие для утечки данные. Ограничьте их и ведите журнал.

О чём спросить поставщика WhatsApp API?

Используйте этот чек-лист при закупке. Просите подтверждения, а не красивые слова.

1. Кто владеет WABA и бизнес-портфолио Meta, в котором она находится, и можем ли мы перейти к другому поставщику?
2. Где хранятся диалоги, медиафайлы и резервные копии, в каких странах?
3. Каков срок хранения по умолчанию и можно ли настроить удаление по типам данных?
4. Какие независимые оценки безопасности или сертификаты у вас есть? Запросите отчёты или сертификаты с указанием области действия.
5. Как фиксируются доступ сотрудников, действия администраторов и выгрузки, и можем ли мы видеть эти журналы?
6. Как хранятся API-токены и PIN двухэтапной проверки и кто может ими пользоваться?
7. Каких субпроцессоров вы используете и как мы узнаем об изменениях?
8. Каков ваш процесс уведомления об инцидентах и в какие сроки?
9. Используете ли вы данные наших сообщений для обучения ИИ-моделей? Условия платформы Meta ограничивают это, если компания привлекает ИИ-провайдера.
10. Можем ли мы подписать соглашение об обработке данных, учитывающее законы, которые применяются к нам?

Разбор на примере: согласование проекта в страховой компании из Абу-Даби

Условный пример. Компания «Falcon Assurance» хочет отправлять в WhatsApp обновления по страховым случаям. Служба безопасности описывает потоки данных: Cloud API от Meta, провайдер инбокса и система урегулирования убытков. Специалисты подтверждают роль Meta как обработчика данных и срок хранения 30 дней, проверяют, доступно ли локальное хранение для их страны, и запрашивают у провайдера места хранения и список субпроцессоров.

Они решают, что шаблоны по страховым случаям будут содержать только номера обращений, но не идентификаторы страхователей и не банковские реквизиты; платежи проходят через кнопку CTA URL на их портал. Операторы видят только очередь своего региона, выгрузки требуют согласования руководителя, а PIN хранится в корпоративном хранилище паролей. Итог согласования — задокументированная схема потоков данных и реестр рисков, а не одно «да» или «нет».

Типичные ошибки и честные ограничения

• Говорить клиентам, что чаты «сквозным шифрованием защищены до нас». Формулируйте точно.
• Оценивать только Meta. Самые долгоживущие данные находятся у провайдеров и в ваших собственных системах.
• Отдавать вендору владение WABA и PIN. Это усложняет контроль и миграцию.
• Нет правила хранения для инбокса. «Хранить вечно» — тоже решение, и часто неудачное.
• Чрезмерно полагаться на сертификаты. Проверяйте область их действия: они не охватывают вашу конфигурацию.

Как помогает OmniChannels.ai

OmniChannels.ai на базе BroadNet Technologies подключает компании к WhatsApp Business API через Meta Embedded Signup, при этом WhatsApp Business Account создаётся в собственном бизнес-портфолио Meta компании. Шаблоны можно просматривать заранее и отслеживать на этапе одобрения, поэтому команды могут проверить, какие данные содержит каждый шаблон, до отправки. BroadNet имеет сертификаты ISO/IEC 27001:2022, ISO/IEC 27018 и SOC 2 Type II и соответствует требованиям GDPR. Аутентификация API и вебхуки публично описаны на странице для разработчиков. Свяжитесь с нами, чтобы обсудить ваши вопросы по безопасности.