Código de verificação pelo WhatsApp: como enviar pela API oficial com segurança e sem perder cadastro

O formato: o que pode e o que não pode

Um modelo de autenticação é composto por:

• Texto padrão com o código. Uma frase pré-definida pela Meta, traduzida para o idioma do modelo, informando que aquele é o código de verificação. O código entra como variável.
• Aviso de segurança opcional. A frase orientando o cliente a não compartilhar o código.
• Aviso de validade opcional. A informação de que o código expira em determinado número de minutos.
• Botão. Copiar código, ou preenchimento automático nos cenários suportados.

E o que fica de fora:

• Links e URLs no corpo da mensagem.
• Imagem, vídeo ou documento no cabeçalho.
• Emojis e texto promocional.
• Qualquer conteúdo que não seja o código — boas-vindas, oferta, instrução de uso do produto.

Tentar contornar esse formato usando a categoria de utilidade para mandar código com texto personalizado costuma dar errado: a Meta revisa a categoria dos modelos e pode reclassificar ou recusar.

Os três tipos de botão

Copiar código

O botão mais simples e o que funciona em qualquer aparelho. O cliente toca, o código vai para a área de transferência e ele cola no aplicativo ou no site. É a escolha padrão para quem verifica em site, em computador ou em aplicativos para iPhone.

Preenchimento com um toque

Disponível para aplicativos Android. Ao tocar no botão, o WhatsApp entrega o código diretamente ao aplicativo da empresa, que o preenche sozinho. Exige configuração técnica no aplicativo — identificação do pacote e assinatura — e, se o aparelho não atender aos requisitos, a mensagem cai para o botão de copiar.

Preenchimento sem toque

Também no Android, o código é entregue ao aplicativo sem nenhuma ação do cliente. É a experiência mais fluida e a que exige mais cuidado: a Meta pede que a empresa aceite condições específicas de uso, e o aplicativo precisa estar preparado para receber o código com segurança.

O Método Código em Três Camadas

Uma verificação confiável não depende só do modelo. Ela precisa de três camadas funcionando juntas.

Camada 1 — Geração segura

• Código aleatório gerado no servidor, nunca no aplicativo ou no navegador.
• Validade curta, de poucos minutos, informada na mensagem.
• Uso único: depois de validado, o código não serve mais.
• Limite de tentativas erradas antes de bloquear e exigir novo código.

Camada 2 — Entrega observável

• Registro do status de cada envio: enviado, entregue, falhou — e o motivo da falha.
• Tempo de espera antes de permitir reenvio, para evitar que o cliente peça cinco códigos seguidos.
• Canal alternativo definido — normalmente SMS ou e-mail — quando o número não tem WhatsApp ou a entrega falha.

Camada 3 — Proteção contra abuso

• Limite de solicitações por número de telefone, por IP e por dispositivo em uma janela de tempo.
• Bloqueio de padrões suspeitos: sequências de números, muitos pedidos para países diferentes, picos fora do padrão.
• Monitoramento do custo diário, para perceber ataque antes da fatura.

O fluxo completo, passo a passo

• 1. O cliente informa o número de celular no cadastro ou login.
• 2. O sistema valida o formato do número e verifica os limites de solicitação.
• 3. O servidor gera o código, grava com validade e envia o modelo de autenticação pela API oficial.
• 4. A tela mostra: "Enviamos um código para o seu WhatsApp terminado em 4821" e um contador para reenvio.
• 5. O status da mensagem é acompanhado. Se falhar ou não for entregue em alguns segundos, a tela oferece o canal alternativo.
• 6. O cliente cola ou tem o código preenchido; o servidor valida, marca como usado e segue.
• 7. Tentativas erradas acima do limite bloqueiam o código e pedem um novo.

O custo e a conta

A Meta cobra as mensagens de modelo por categoria, e a autenticação tem preço próprio, que varia por país do número de destino. A tabela oficial muda periodicamente, então a conta deve ser feita com os valores vigentes. A estrutura da comparação com SMS, em números ilustrativos:

• Volume: 50.000 códigos por mês.
• Custo por SMS com o fornecedor atual: R$ 0,09 — R$ 4.500 por mês.
• Taxa de conclusão da verificação por SMS: 88% — perdem-se 6.000 verificações.
• Custo hipotético por mensagem de autenticação no WhatsApp: R$ 0,07 — R$ 3.500 por mês.
• Se a taxa de conclusão sobe para 93% com WhatsApp e botão de copiar, são 2.500 verificações a mais por mês.

Se 20% das verificações concluídas viram cliente pagante com ticket de R$ 60, as 2.500 verificações extras valem cerca de R$ 30.000 por mês. Nesse cenário, a economia de mensagem é o menor dos ganhos: o principal é o cadastro que deixa de ser abandonado. Troque pelos números reais da sua operação antes de decidir.

Quando o WhatsApp não é a melhor opção

• Público com baixa presença no WhatsApp, como alguns mercados internacionais.
• Verificação do próprio número de telefone em cenários regulados que exigem SMS ou chamada.
• Volume muito baixo, em que a configuração da API e dos modelos não compensa.
• Operação sem capacidade técnica para implementar limites e monitoramento. Nesse caso, contratar um provedor que já entregue essas camadas é mais seguro do que improvisar.

Na maioria das operações brasileiras, a arquitetura mais robusta é WhatsApp como canal principal e SMS como alternativa automática.

Autenticação e a qualidade do número

Mensagens de autenticação saem do mesmo número e da mesma conta comercial usados em outras comunicações, e isso tem consequências:

• Considere um número dedicado para códigos quando a empresa também faz campanhas de marketing em volume. Assim, um problema de qualidade em campanha não afeta o login dos clientes.
• O limite de envio da conta vale para tudo. Uma campanha grande no mesmo dia de pico de cadastros pode disputar a mesma capacidade.
• Pedido de código não solicitado vira denúncia. Quando alguém digita o número errado, o dono daquele número recebe um código que não pediu. Validação de formato e limite de reenvio reduzem isso.

O que escrever na tela, não na mensagem

Como a mensagem é fechada, a experiência se completa na tela do produto:

• Antes de enviar: "Vamos enviar um código para o seu WhatsApp." O cliente abre o aplicativo já esperando a mensagem.
• Depois de enviar: o final do número, o nome da empresa que aparece no WhatsApp e o tempo de validade.
• Se não chegar: "Não recebeu? Verifique se o número tem WhatsApp ou receba por SMS." — com o contador de reenvio visível.
• Segurança: "Nunca pedimos esse código por telefone ou mensagem." Essa frase protege o cliente de golpe de engenharia social.

As métricas que mostram se a verificação está saudável

• Taxa de entrega: mensagens entregues sobre enviadas, por país e por tipo de aparelho quando possível.
• Tempo até a entrega: código que chega depois de trinta segundos já gera pedido de reenvio.
• Taxa de conclusão: verificações validadas sobre iniciadas. É a métrica que liga o canal ao faturamento.
• Reenvios por verificação: média alta indica atraso de entrega ou tela confusa.
• Uso do canal alternativo: quantos precisaram de SMS ou e-mail, e por quê.
• Custo por verificação concluída, e não por mensagem enviada.

Checklist antes de colocar no ar

• Modelo de autenticação aprovado, com aviso de segurança e validade.
• Botão testado em Android e iPhone, em site e em aplicativo.
• Código gerado no servidor, com validade curta, uso único e limite de tentativas.
• Limites de solicitação por número, IP e dispositivo configurados.
• Status de entrega registrado e canal alternativo automático funcionando.
• Alerta de custo diário acima do normal.
• Textos de tela revisados, incluindo o aviso de que a empresa nunca pede o código.

Erros comuns em código de verificação pelo WhatsApp

• Usar modelo de utilidade ou marketing para enviar código com texto próprio.
• Não limitar solicitações e descobrir a fraude pela fatura.
• Não ter canal alternativo para quem não usa WhatsApp.
• Validade longa demais ou código reaproveitável.
• Permitir reenvio imediato e ilimitado.
• Misturar códigos e campanhas no mesmo número sem avaliar o risco para a qualidade.
• Não acompanhar status de entrega e tratar todo "não recebi" como erro do cliente.
• Configurar preenchimento automático sem testar nos aparelhos reais do público.

Por onde começar

Levante três números da operação atual: volume mensal de códigos, custo por envio e taxa de conclusão da verificação. Crie o modelo de autenticação com aviso de segurança, validade e botão de copiar, e implemente as três camadas — geração segura, entrega observável e proteção contra abuso — antes de liberar para todo o público. Rode com uma parcela dos usuários, compare taxa de conclusão e custo com o SMS e só então amplie, mantendo o SMS como alternativa automática.