WhatsApp与短信验证码指南：安全、送达与防欺诈

本指南面向为注册、登录、支付或账号找回发送一次性密码（OTP）的产品经理、工程师和安全团队。内容涵盖WhatsApp身份验证模板的工作原理、如何通过短信发送验证码、如何设计备用通道，以及如何在不影响真实用户的前提下遏制短信泵送等验证码欺诈。

什么样的验证码消息才算好？

好的验证码消息几秒内到达，输入方便，无法重复使用，并且一眼就能看出来自您。本指南的其余内容都是为这四个特性服务的。

• **快：**首次尝试即可在几秒内送达。
• **易用：**尽可能支持自动填充或复制；无需在文字里寻找。
• **安全：**短时效、一次性、至少六位，并带有“请勿泄露”的提醒。
• **可信：**WhatsApp上是已验证的企业名称，短信上是已报备的Sender ID。

WhatsApp身份验证模板如何运作？

WhatsApp要求一次性验证码使用身份验证模板。文案由Meta预设，例如“123456 是您的验证码”，并带有可选的安全提示（“为了您的安全，请勿泄露此验证码”）和可选的有效期页脚。根据Meta的文档，身份验证模板不能包含URL、媒体或emoji，参数限制为15个字符。

您可以从三种送达方式中选择一种：

Meta文档中还有两点值得了解：

• 关联设备安全在Cloud API上默认开启：验证码只会发送到用户的主设备，在关联设备上则被遮蔽。
• **iOS自动填充：**Meta表示，自2026年6月15日起，在iOS 26及更高版本上，键盘建议可无需集成，直接从WhatsApp通知中提供验证码自动填充。

如果您通过营销类或实用型模板发送验证码，Meta可能会将该模板安排为拒绝，且该决定无法申诉。请参阅我们的WhatsApp模板类别指南。

验证码应如何通过短信发送？

短信仍然是通用渠道：无需数据网络或应用即可使用。要让它可靠：

1. 在要求报备的市场（如阿联酋和沙特阿拉伯），使用已报备的事务类Sender ID，并且不要用它发营销内容。请参阅我们的Sender ID报备指南。
2. **让消息保持在一个分段内。**验证码放在最前，写明品牌，说明有效期，并加上提醒：“123456 是您的Najm验证码。5分钟内有效。切勿告知他人。”阿拉伯语文本使用Unicode，每个分段能容纳的字符更少。
3. 在Android（SMS Retriever API格式）和iOS（one-time-code字段）上支持短信自动填充，让用户不必手动输入。
4. 经由有质量保证的连接路由，这些连接会返回送达报告，让备用通道和监控有真实信号可依。

NIST SP 800-63B因SIM卡交换、号码携转和拦截风险，将通过公共电话网络（短信和语音）发送的OTP归类为受限验证器，并建议在发送之前检查SIM卡变更等风险指标。对于高价值操作，请把短信验证码与其他信号结合，或提供通行密钥（passkey）等更强的认证因素。

如何设计验证码的送达与备用通道？

在最佳渠道发送一次，短暂等待送达确认，只回退一次。失控的重试正是成本和欺诈暴涨的源头。

1. **按用户选择主渠道：**曾通过WhatsApp验证或主动选择它的用户走WhatsApp，否则走短信。
2. **每个验证会话只生成一个验证码，**在短时间窗口内有效，且只被接受一次。
3. 等待“已送达”状态，超时时间很短，以秒而不是分钟计。
4. 如果未送达，只回退一次到另一个渠道，复用同一个验证码或使第一个失效。
5. **提供由用户发起的重发，**配有可见的倒计时，而不是自动重复发送。
6. 按手机号、设备和会话限制重发和尝试次数。
7. 对每次发送记录渠道、状态、延迟和验证结果。

如何防范短信泵送和验证码欺诈？

短信泵送，又称人为虚增流量（AIT），发生在机器人向某些号段请求验证码，而有人通过终止这些流量获利的时候。每条消息都由您付费，却没有任何真实用户去完成验证。防范需要分层进行。

控制措施清单

• **地域白名单：**只允许向有客户所在的国家发送验证码；新增国家需要经过审核。
• 按手机号、IP地址、设备、会话和号码前缀限流。
• 在验证码请求之前（而不是之后）进行机器人防护（挑战或风险评分）。
• **转化率监控：**某个国家或号码前缀的验证转化率急剧下降时发出告警。
• **号码校验：**拒绝格式错误、连续或明显无效的号码。
• 按目的地设置花费告警和每日上限。
• 重发采用指数退避，不做无限次自动重试。
• 对已使用WhatsApp的用户优先走WhatsApp，因为身份验证模板绑定的是WhatsApp账号，而不是高价的短信终止线路。
• **应急手册：**谁可以屏蔽某个国家或号码前缀，以及多快能完成。

同时也要保护用户：永远不要在电话或聊天中索要验证码，并在消息中说明这一点，当手机号或SIM卡发生变更时要求重新认证。

实战示例：卡塔尔的一款配送应用

“Rafeeq Delivery”（虚构）负责验证新用户并确认高价值订单。

• Android用户收到带一键自动填充的WhatsApp身份验证模板；iOS和网页用户收到复制验证码。
• **备用通道：**如果WhatsApp的送达在短暂超时内未确认，同一验证码会通过已报备的事务类Sender ID，经短信发送一次。
• **限制：**每个号码每小时最多三次验证码请求，对设备和IP设置上限，验证码目的地限制在应用实际运营的海湾国家。
• **监控：**某天夜里，发往海湾以外某号码前缀的验证码请求激增，验证几乎为零。地域白名单自动将其拦截；由于该国家从未启用，这次事件没有产生任何费用。
• **结果：**团队每周跟踪每次成功验证的花费以及各渠道的验证转化率，并按市场调整主渠道。

常见错误与局限

• 在WhatsApp上使用营销类或实用型模板发送验证码。
• **验证码有效期过长或可重复使用，**或者在新验证码生成后旧码仍然有效。
• **无限次重发，**既招来泵送，也让用户烦躁。
• 注册验证码没有地域限制。
• **在验证码短信里混入促销文案，**可能导致Sender ID被封。
• 对高风险操作只把验证码当作唯一因素。
• **忽视成本变化。**Meta按接收方市场对已送达的身份验证模板计费；请到Meta价目表确认最新价格。

OmniChannels.ai 如何提供帮助

OmniChannels.ai支持带一键、零点击和复制验证码的WhatsApp身份验证模板，同时支持实用型和营销类模板，并提供手机预览和审核状态跟踪。短信通过BroadNet Technologies的运营商直连网络送达，语音验证码则覆盖无法接收文字短信的用户，因此您可以把WhatsApp、短信和语音验证码组合起来，并按场景配置渠道回退。带汇总与高级视图、筛选和CSV导出的送达报告，帮助您按渠道监控送达情况。验证码发送与送达Webhook的说明见公开的REST API文档。