WhatsApp验证码与短信验证码：成本、送达与回退

如何在每个渠道上发送验证码？

在WhatsApp上，发送已获批的模板，并把验证码作为正文变量。对于复制验证码按钮，请在buttonsTemplateVariable中传入相同的验证码。

curl -X POST https://api.broadnet.me/whatsapp/message/sendbulk \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -F batchId=0 \
  -F destinationNo=971500000000 \
  -F messageType=TEMPLATE \
  -F templateName=login_code \
  -F templateLanguage=en_US \
  -F bodyTemplateVariables=482913 \
  -F buttonsTemplateVariable=482913

这里的login_code是您自己已获批身份验证模板的占位符。在短信上，请用JSON调用POST /sms/sendSms：

curl -X POST https://api.broadnet.me/sms/sendSms \
  -H "Authorization: Bearer $BROADNET_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "senderId": "OmniDemo",
    "destinationNumber": "971500000000",
    "message": "Your OmniDemo code is 482913",
    "messageType": "TEXT"
  }'

请注意区别：WhatsApp使用multipart表单数据并返回batchId；短信使用JSON并以纯文本返回消息ID。完整示例见我们关于通过API发送WhatsApp的指南和通过API发送短信。

如何构建WhatsApp优先、短信回退的投递？

先在WhatsApp上发送，等待状态，必要时再通过短信发送一次。我们的状态在各渠道之间是统一的，所以同一个处理程序可以同时驱动两者。

1. 在服务器上**生成验证码，**只存储带有效期的哈希，并限制尝试次数。
2. **发送WhatsApp模板，**并记录batchId和您自己的操作ID。
3. 根据用户的耐心，在您选定的时间窗口内，等待Webhook上的DELIVERED。
4. **如果FAILED、REJECTED或未能及时送达，**让第一个验证码失效，生成新的验证码并发送短信。
5. 按号码和按会话限制回退次数。
6. **记录哪个渠道成功，**以便按国家调整顺序。

超时后避免盲目重试，因为该API没有幂等键；请按错误与限制中所述，先检查状态再重发。渠道顺序在OmniChannels.ai中按使用场景配置，总体设计见我们的渠道回退策略。关于Webhook处理，请参阅Webhook指南。语音验证码是另一个回退步骤；请参阅语音验证码指南，语音价格请联系销售。

欺诈和滥用有何不同？

两种渠道都会招来滥用，所以请在上线前建立控制措施。短信有一个众所周知的问题：攻击者向他们从中获利的号码触发验证码，虚增您的流量。WhatsApp也并非免疫，因为任何按请求发送消息的端点，都可能被滥用来产生成本或骚扰某个号码。

适用于两者的控制措施：

• 按手机号码、IP地址、设备和账号限制验证码请求的频率。
• 发送前**验证号码；**请参阅HLR查询。
• **限制回退，**使攻击者无法让每次请求触发两条消息。
• **观察转化：**请求很多而完成验证的很少，是一个警告信号。
• 屏蔽您不服务的目的地。
• **短有效期和有限的尝试次数，**且不重复使用验证码。

请阅读短信泵送欺诈防范，并使用欺诈计算器估算风险敞口。根据NIST SP 800-63B-4，带外验证码是一种有已知局限的认证器类型，因此对付款或账户找回等高风险操作，请使用更强的方法。

我应当选择哪个？

按受众和风险决定，然后测试。

实战示例：海湾地区的类网约车应用

“Rafiq Rides”（虚构）在阿联酋、沙特阿拉伯和埃及验证新的司机和乘客账号。

• **设计：**首选带复制验证码的WhatsApp身份验证模板；短暂等待仍没有DELIVERED状态时，回退到短信。
• **控制：**每个号码每小时三次验证码请求、每个IP的限制、首次发送前的号码验证，以及每个会话一次回退。
• **衡量：**短时间内完成的验证，按渠道和国家拆分；失败和回退的占比。
• **调优：**在某个WhatsApp送达较弱的国家，团队把顺序调换为短信优先。
• **成本：**按国家用价格工具测算，并每月对照实际发送量复查。

常见错误有哪些？

• **比较一个全球价格，**而不是按国家和每个已验证用户比较。
• **同时通过两个渠道发送，**使成本和被滥用面翻倍。
• 无限制的重新发送按钮。
• 回退后复用旧的验证码。
• 记录验证码或把它放在URL中发送。
• WhatsApp渠道没有用户同意记录。
• **到处承诺零点击。**请核对当前的设备支持情况。
• **局限：**本指南描述的是机制。送达、成本和设备支持因国家、线路和Meta的规则而异，应在您的市场中测试。

OmniChannels.ai 如何提供帮助

OmniChannels.ai在一个API中涵盖这两个渠道：作为Meta官方Business Solution Provider的WhatsApp身份验证模板（一键、零点击和复制验证码），以及通过BroadNet运营商直连的A2P短信，渠道回退按使用场景配置，状态统一为一种Webhook格式。我们的团队与您一起准备发件人ID和WhatsApp注册；审批仍由Meta和监管机构决定。请查看验证码解决方案、验证码短信API和开发者文档。