WhatsApp ve SMS OTP Mesajları: Güvenlik ve Dolandırıcılık

Bu rehber, kayıt, oturum açma, ödeme veya hesap kurtarma için tek kullanımlık şifre (OTP) gönderen ürün yöneticileri, mühendisler ve güvenlik ekipleri için hazırlandı. WhatsApp kimlik doğrulama şablonlarının nasıl çalıştığını, kodların SMS ile nasıl iletileceğini, yedeklemenin nasıl tasarlanacağını ve gerçek kullanıcılara zarar vermeden SMS pumping gibi OTP dolandırıcılığının nasıl durdurulacağını kapsar.

İyi bir OTP mesajını ne belirler?

İyi bir OTP mesajı saniyeler içinde ulaşır, girmesi kolaydır, yeniden kullanılamaz ve açıkça sizden geldiği anlaşılır. Bu rehberdeki diğer her şey bu dört özelliği destekler.

• Hızlı: ilk denemede saniyeler içinde iletilir.
• Kolay: mümkün olduğunda otomatik doldurma veya kopyalama; metin içinde aranmaya gerek yok.
• Güvenli: kısa ömürlü, tek kullanımlık, en az altı haneli ve "paylaşmayın" uyarılı.
• Güvenilir: WhatsApp'ta doğrulanmış işletme adı, SMS'te kayıtlı SMS başlığı (Sender ID).

WhatsApp kimlik doğrulama şablonları nasıl çalışır?

WhatsApp, tek kullanımlık şifreler için bir kimlik doğrulama şablonu şart koşar. Metin Meta tarafından hazır belirlenir; örneğin "123456 doğrulama kodunuzdur", isteğe bağlı bir güvenlik önerisi ("Güvenliğiniz için bu kodu paylaşmayın") ve isteğe bağlı bir son kullanma alt bilgisiyle. Meta'nın dokümantasyonuna göre kimlik doğrulama şablonları URL, medya veya emoji içeremez ve parametreler 15 karakterle sınırlıdır.

Üç iletim türünden birini seçersiniz:

Meta'nın dokümantasyonundan bilinmeye değer iki nokta daha:

• Bağlı cihaz güvenliği Cloud API'de varsayılan olarak açıktır: kodlar yalnızca kullanıcının birincil cihazına gider ve bağlı cihazlarda maskelenir.
• iOS otomatik doldurma: Meta, 15 Haziran 2026'dan itibaren iOS 26 ve sonrasında klavye önerilerinin, entegrasyon gerekmeden WhatsApp bildiriminden OTP otomatik doldurma sunduğunu belirtir.

Kodları pazarlama veya bilgilendirme (Utility) şablonuyla gönderirseniz, Meta o şablonu reddedilmek üzere zamanlayabilir ve bu karara itiraz edilemez. WhatsApp şablon kategorileri rehberimize bakın.

OTP'ler SMS ile nasıl gönderilmeli?

SMS hâlâ evrensel kanaldır: veri veya uygulama olmadan çalışır. Güvenilir kılmak için:

1. BAE ve Suudi Arabistan gibi kayıt gerektiren pazarlarda kayıtlı bir işlemsel SMS başlığı (Sender ID) kullanın ve pazarlamayı bundan uzak tutun. SMS başlığı kayıt rehberimize bakın.
2. Mesajı tek segmentte tutun. Kodu başa koyun, markayı yazın, son kullanma süresini belirtin ve bir uyarı ekleyin: "123456 Najm kodunuzdur. 5 dakika geçerlidir. Asla paylaşmayın." Arapça metin Unicode kullandığından bir segmente daha az karakter sığar.
3. Android'de (SMS Retriever API biçimi) ve iOS'ta (one-time-code alanı) SMS otomatik doldurmayı destekleyin; kullanıcılar kodu elle yazmasın.
4. Yedekleme ve izlemenin gerçek sinyallere sahip olması için iletim raporu döndüren kaliteli bağlantılar üzerinden yönlendirin.

NIST SP 800-63B, SIM değiştirme, numara taşıma ve araya girme riskleri nedeniyle kamu telefon şebekesi (SMS ve sesli arama) üzerinden OTP'leri kısıtlı bir doğrulayıcı olarak sınıflandırır ve göndermeden önce SIM değişikliği gibi risk göstergelerinin kontrol edilmesini önerir. Yüksek değerli işlemler için SMS OTP'yi diğer sinyallerle birleştirin veya passkey gibi daha güçlü faktörler sunun.

OTP iletimi ve yedekleme nasıl tasarlanır?

En iyi kanaldan bir kez gönderin, iletim onayı için kısa süre bekleyin ve bir kez yedek kanala geçin. Maliyet ve dolandırıcılık, denetimsiz yeniden denemelerde patlar.

1. Birincil kanalı kullanıcı başına seçin: daha önce WhatsApp ile doğrulayan veya onu seçen kullanıcılar için WhatsApp, aksi halde SMS.
2. Doğrulama oturumu başına bir kod üretin, kısa bir pencere için geçerli ve bir kez kabul edilen.
3. Dakikalarla değil saniyelerle ölçülen kısa bir zaman aşımı boyunca iletildi durumunu bekleyin.
4. İletilmediyse diğer kanala bir kez yedekleyin; aynı kodu yeniden kullanın veya ilkini geçersiz kılın.
5. Otomatik tekrarlar yerine görünür bir geri sayımla kullanıcı tarafından başlatılan yeniden gönderim sunun.
6. Telefon numarası, cihaz ve oturum başına yeniden gönderim ve denemeleri sınırlayın.
7. Her gönderim için kanalı, durumu, gecikmeyi ve doğrulama sonucunu kaydedin.

SMS pumping ve OTP dolandırıcılığı nasıl önlenir?

Yapay şişirilmiş trafik (AIT) olarak da bilinen SMS pumping, botların, trafiği sonlandırmaktan birilerinin kâr ettiği numara aralıklarına OTP istediğinde ortaya çıkar. Her mesajın bedelini siz ödersiniz; hiçbir gerçek kullanıcı doğrulama yapmaz. Önleme katmanlıdır.

Kontrol listesi

• Coğrafi izinler: OTP hedeflerine yalnızca müşterilerinizin bulunduğu ülkelerde izin verin; yenisini eklemek için inceleme isteyin.
• Telefon numarası, IP adresi, cihaz, oturum ve numara öneki başına hız sınırları.
• OTP isteğinden sonra değil, önce bot koruması (meydan okuma veya risk puanlama).
• Dönüşüm izleme: bir ülke veya önek için doğrulama dönüşümü keskin biçimde düştüğünde uyarı verin.
• Numara doğrulama: hatalı biçimli, ardışık veya açıkça geçersiz numaraları reddedin.
• Hedef başına harcama uyarıları ve günlük üst sınırlar.
• Yeniden gönderimlerde üstel geri çekilme; sınırsız otomatik yeniden deneme yok.
• Kullanıcı WhatsApp'taysa WhatsApp'ı tercih edin; çünkü kimlik doğrulama şablonları premium bir SMS sonlandırmasına değil, bir WhatsApp hesabına bağlıdır.
• Olay el kitabı: bir ülkeyi veya öneki kimin, ne kadar hızlı engelleyebileceği.

Ayrıca kullanıcıları da koruyun: kodu asla bir aramada veya sohbette istemeyin, bunu mesajda belirtin ve telefon numarası veya SIM değiştiğinde yeniden kimlik doğrulaması isteyin.

Uygulamalı örnek: Katar'da bir teslimat uygulaması

"Rafeeq Delivery" (kurgusal) yeni kullanıcıları doğruluyor ve yüksek değerli siparişleri onaylıyor.

• Android kullanıcıları tek dokunuşlu otomatik doldurmalı bir WhatsApp kimlik doğrulama şablonu alır; iOS ve web kullanıcıları kod kopyalama alır.
• Yedekleme: WhatsApp iletimi kısa bir zaman aşımı içinde onaylanmazsa aynı kod, kayıtlı bir işlemsel SMS başlığından bir kez SMS ile gider.
• Sınırlar: numara başına saatte üç kod isteği, cihaz ve IP başına bir üst sınır ve OTP hedeflerinin uygulamanın faaliyet gösterdiği Körfez ülkeleriyle sınırlanması.
• İzleme: bir gece, Körfez dışı bir önekten gelen OTP istekleri neredeyse sıfır doğrulamayla fırlıyor. Coğrafi izinler bunları otomatik olarak engelliyor; ülke hiç etkinleştirilmediği için olay bir maliyet yaratmıyor.
• Sonuç: ekip haftalık olarak başarılı doğrulama başına harcamayı ve kanal başına doğrulama dönüşümünü izliyor ve birincil kanalı pazara göre ayarlıyor.

Yaygın hatalar ve sınırlar

• WhatsApp'ta OTP'ler için pazarlama veya bilgilendirme şablonları kullanmak.
• Uzun ömürlü veya yeniden kullanılabilir kodlar ya da yenisi verildikten sonra da geçerli kalan kodlar.
• Sınırsız yeniden gönderim; pumping'i davet eder ve kullanıcıları yıldırır.
• Kayıt OTP'lerinde coğrafi kısıtlama olmaması.
• OTP SMS'ine promosyon metni karıştırmak; SMS başlığının engellenmesine yol açabilir.
• Yüksek riskli eylemler için OTP'yi tek faktör saymak.
• Maliyet değişikliklerini göz ardı etmek. Meta, iletilen kimlik doğrulama şablonlarını alıcı pazara göre faturalar; güncel fiyatları Meta'nın fiyat listesinden teyit edin.

OmniChannels.ai nasıl yardımcı olur?

OmniChannels.ai; tek dokunuşlu, sıfır dokunuşlu ve kod kopyalama OTP'li WhatsApp kimlik doğrulama şablonlarını, bilgilendirme ve pazarlama şablonlarıyla birlikte, telefon önizlemesi ve onay takibiyle destekler. SMS, BroadNet Technologies'in operatör bağlantısıyla iletilir; sesli OTP ise metin alamayan kullanıcıları kapsar. Böylece kullanım senaryosu başına yapılandırılan kanal yedeklemesiyle OTP için WhatsApp, SMS ve sesli aramayı birleştirebilirsiniz. Özet ve gelişmiş görünümleri, filtreleri ve CSV dışa aktarımı olan iletim raporları, iletimi kanal bazında izlemenize yardımcı olur. OTP gönderimi ve iletim webhook'ları herkese açık REST API içinde belgelenmiştir.