Código de verificación por WhatsApp: cómo enviar mediante la API oficial con seguridad y sin perder el registro

El formato: qué se puede y qué no se puede

Un modelo de autenticación está compuesto por:

• Texto estándar con el código. Una frase predefinida por Meta, traducida al idioma del modelo, informando que ese es el código de verificación. El código entra como variable.
• Aviso de seguridad opcional. La frase que orienta al cliente a no compartir el código.
• Aviso de validez opcional. La información de que el código expira en determinado número de minutos.
• Botón. Copiar código, o autocompletado en los escenarios soportados.

Y lo que queda fuera:

• Enlaces y URLs en el cuerpo del mensaje.
• Imagen, video o documento en el encabezado.
• Emojis y texto promocional.
• Cualquier contenido que no sea el código — bienvenidas, ofertas, instrucciones de uso del producto.

Intentar evadir este formato usando la categoría de utilidad para enviar código con texto personalizado suele fallar: Meta revisa la categoría de los modelos y puede reclasificar o rechazar.

Los tres tipos de botón

Copiar código

El botón más simple y que funciona en cualquier dispositivo. El cliente toca, el código va al portapapeles y lo pega en la aplicación o en el sitio. Es la elección estándar para quien verifica en sitio, en computadora o en aplicaciones para iPhone.

Autocompletado con un toque

Disponible para aplicaciones Android. Al tocar el botón, WhatsApp entrega el código directamente a la aplicación de la empresa, que lo llena sola. Requiere configuración técnica en la aplicación — identificación del paquete y firma — y, si el dispositivo no cumple los requisitos, el mensaje cae al botón de copiar.

Autocompletado sin toque

También en Android, el código se entrega a la aplicación sin ninguna acción del cliente. Es la experiencia más fluida y la que exige más cuidado: Meta pide que la empresa acepte condiciones específicas de uso, y la aplicación debe estar preparada para recibir el código con seguridad.

El Método Código en Tres Capas

Una verificación confiable no depende solo del modelo. Necesita tres capas funcionando juntas.

Capa 1 — Generación segura

• Código aleatorio generado en el servidor, nunca en la aplicación o en el navegador.
• Validez corta, de pocos minutos, informada en el mensaje.
• Uso único: después de validado, el código ya no sirve.
• Límite de intentos erróneos antes de bloquear y exigir nuevo código.

Capa 2 — Entrega observable

• Registro del estado de cada envío: enviado, entregado, fallido — y el motivo de la falla.
• Tiempo de espera antes de permitir reenvío, para evitar que el cliente pida cinco códigos seguidos.
• Canal alternativo definido — normalmente SMS o correo electrónico — cuando el número no tiene WhatsApp o la entrega falla.

Capa 3 — Protección contra abuso

• Límite de solicitudes por número de teléfono, por IP y por dispositivo en una ventana de tiempo.
• Bloqueo de patrones sospechosos: secuencias de números, muchas solicitudes para países diferentes, picos fuera del patrón.
• Monitoreo del costo diario, para detectar ataques antes de la factura.

El flujo completo, paso a paso

• 1. El cliente informa el número de celular en el registro o inicio de sesión.
• 2. El sistema valida el formato del número y verifica los límites de solicitud.
• 3. El servidor genera el código, lo guarda con validez y envía el modelo de autenticación por la API oficial.
• 4. La pantalla muestra: "Enviamos un código a tu WhatsApp terminado en 4821" y un contador para reenvío.
• 5. Se monitorea el estado del mensaje. Si falla o no se entrega en algunos segundos, la pantalla ofrece el canal alternativo.
• 6. El cliente pega o tiene el código autocompletado; el servidor valida, marca como usado y continúa.
• 7. Intentos erróneos por encima del límite bloquean el código y piden uno nuevo.

El costo y la cuenta

Meta cobra los mensajes de modelo por categoría, y la autenticación tiene precio propio, que varía según el país del número de destino. La tabla oficial cambia periódicamente, por lo que la cuenta debe hacerse con los valores vigentes. La estructura de la comparación con SMS, en números ilustrativos:

• Volumen: 50.000 códigos por mes.
• Costo por SMS con el proveedor actual: R$ 0,09 — R$ 4.500 por mes.
• Tasa de finalización de la verificación por SMS: 88% — se pierden 6.000 verificaciones.
• Costo hipotético por mensaje de autenticación en WhatsApp: R$ 0,07 — R$ 3.500 por mes.
• Si la tasa de finalización sube a 93% con WhatsApp y botón de copiar, son 2.500 verificaciones más por mes.

Si 20% de las verificaciones completadas se convierten en cliente pagante con ticket de R$ 60, las 2.500 verificaciones extras valen cerca de R$ 30.000 por mes. En ese escenario, el ahorro en mensajes es el menor de los beneficios: lo principal es el registro que deja de ser abandonado. Cambia por los números reales de tu operación antes de decidir.

Cuándo WhatsApp no es la mejor opción

• Público con baja presencia en WhatsApp, como algunos mercados internacionales.
• Verificación del propio número de teléfono en escenarios regulados que exigen SMS o llamada.
• Volumen muy bajo, en que la configuración de la API y de los modelos no compensa.
• Operación sin capacidad técnica para implementar límites y monitoreo. En ese caso, contratar un proveedor que ya entregue estas capas es más seguro que improvisar.

En la mayoría de las operaciones brasileñas, la arquitectura más robusta es WhatsApp como canal principal y SMS como alternativa automática.

Autenticación y la calidad del número

Los mensajes de autenticación salen del mismo número y de la misma cuenta comercial usados en otras comunicaciones, y eso tiene consecuencias:

• Considera un número dedicado para códigos cuando la empresa también hace campañas de marketing en volumen. Así, un problema de calidad en campaña no afecta el inicio de sesión de los clientes.
• El límite de envío de la cuenta vale para todo. Una campaña grande en el mismo día de pico de registros puede competir por la misma capacidad.
• Solicitud de código no solicitada se convierte en denuncia. Cuando alguien escribe el número incorrecto, el dueño de ese número recibe un código que no pidió. La validación de formato y el límite de reenvío reducen esto.

Qué escribir en la pantalla, no en el mensaje

Como el mensaje está cerrado, la experiencia se completa en la pantalla del producto:

• Antes de enviar: "Vamos a enviar un código a tu WhatsApp." El cliente abre la aplicación ya esperando el mensaje.
• Después de enviar: el final del número, el nombre de la empresa que aparece en WhatsApp y el tiempo de validez.
• Si no llega: "¿No recibiste? Verifica si el número tiene WhatsApp o recibe por SMS." — con el contador de reenvío visible.
• Seguridad: "Nunca pedimos este código por teléfono o mensaje." Esta frase protege al cliente de estafas de ingeniería social.

Las métricas que muestran si la verificación está saludable

• Tasa de entrega: mensajes entregados sobre enviados, por país y por tipo de dispositivo cuando es posible.
• Tiempo hasta la entrega: código que llega después de treinta segundos ya genera pedido de reenvío.
• Tasa de finalización: verificaciones validadas sobre iniciadas. Es la métrica que conecta el canal con la facturación.
• Reenvíos por verificación: promedio alto indica retraso en la entrega o pantalla confusa.
• Uso del canal alternativo: cuántos necesitaron SMS o correo electrónico, y por qué.
• Costo por verificación completada, y no por mensaje enviado.

Checklist antes de poner en marcha

• Modelo de autenticación aprobado, con aviso de seguridad y validez.
• Botón probado en Android y iPhone, en sitio y en aplicación.
• Código generado en el servidor, con validez corta, uso único y límite de intentos.
• Límites de solicitud por número, IP y dispositivo configurados.
• Estado de entrega registrado y canal alternativo automático funcionando.
• Alerta de costo diario por encima de lo normal.
• Textos de pantalla revisados, incluyendo el aviso de que la empresa nunca pide el código.

Errores comunes en código de verificación por WhatsApp

• Usar modelo de utilidad o marketing para enviar código con texto propio.
• No limitar solicitudes y descubrir el fraude por la factura.
• No tener canal alternativo para quien no usa WhatsApp.
• Validez demasiado larga o código reutilizable.
• Permitir reenvío inmediato e ilimitado.
• Mezclar códigos y campañas en el mismo número sin evaluar el riesgo para la calidad.
• No monitorear estado de entrega y tratar todo "no recibí" como error del cliente.
• Configurar autocompletado sin probar en los dispositivos reales del público.

Por dónde empezar

Recopila tres números de la operación actual: volumen mensual de códigos, costo por envío y tasa de finalización de la verificación. Crea el modelo de autenticación con aviso de seguridad, validez y botón de copiar, e implementa las tres capas — generación segura, entrega observable y protección contra abuso — antes de liberar para todo el público. Prueba con una parte de los usuarios, compara tasa de finalización y costo con el SMS y solo entonces amplía, manteniendo el SMS como alternativa automática.