Verificación con WhatsApp: accede rápido y seguro
Asegura más inicios de sesión, previene el fraude y reduce costos usando WhatsApp para la entrega de OTP
Nam Hing Chau
Responsable de Marketing
Síntesis
WhatsApp OTP envía códigos de verificación por WhatsApp en vez de SMS: mayor entrega, interfaz familiar y menor coste donde el SMS falla o es caro, como en India. Te explicamos cómo implementarlo y desmitificamos los bots de OTP ilimitados y la seguridad del cifrado de extremo a extremo.
WhatsApp OTP utiliza la API de WhatsApp Business para enviar contraseñas de un solo uso mediante WhatsApp en lugar de SMS. El objetivo es el mismo: confirmar un número de teléfono en registros, inicios de sesión o acciones sensibles, pero la entrega, el cumplimiento normativo y el control de seguridad son mucho más avanzados.
Esta guía es una referencia técnica para desarrolladores y equipos de producto que integran WhatsApp OTP. Explicamos cómo funciona bajo el capó, qué necesitas para configurarlo, las normativas obligatorias, la seguridad y las estrategias de fallback.
Si aún estás evaluando si este es el canal adecuado, empieza por cómo y por qué enviar OTP por WhatsApp. Para una visión más amplia sobre canales de verificación, consulta nuestra guía de mejores proveedores de OTP.
WhatsApp OTP vs SMS OTP: Comparativa Directa
WhatsApp OTP | SMS OTP | |
Infraestructura de entrega | Datos de Internet (Wi-Fi o móvil) | Red de operadora móvil |
Riesgo de filtrado de operadora | Ninguno | Alto en algunos mercados |
Cifrado de extremo a extremo | Sí | No |
Velocidad de entrega | Menos de 2 segundos (habitual) | 5-30 segundos; puede fallar por completo |
Coste | Tarifa por categoría, no por destino; más económico a nivel internacional | Más alto, sobre todo para destinos internacionales |
Plantilla obligatoria | Sí (aprobada por Meta) | No |
Opt-in del usuario requerido | Sí | No (para transaccionales) |
Funciona sin cobertura móvil | Sí (solo Wi-Fi) | No |
Vulnerable a SIM swap | No | Sí |
Mejores mercados | India, Brasil, Indonesia, LATAM, Europa Occidental | Respaldo global, Norteamérica, mercados con baja adopción de WhatsApp |
Cómo funciona WhatsApp OTP
El flujo de verificación es similar al SMS OTP, con tres diferencias clave: WhatsApp valida la existencia del número antes de enviar, exige plantillas aprobadas y requiere el consentimiento explícito del usuario.
Paso 1: Entrada del número de teléfono El usuario introduce su número. Tu backend comprueba mediante la API si el número está registrado en WhatsApp. Si no lo está, la API devuelve un callback de no entregado y tu sistema activa el fallback por SMS.
Paso 2: Generación del OTP Tu backend genera un código de 6 dígitos con un tiempo de expiración. El estándar es de 5 a 10 minutos, o menos para operaciones financieras sensibles.
Paso 3: Envío de plantilla de mensaje Envías el OTP a través de la API de Cloud de WhatsApp usando una plantilla aprobada. La estructura es fija; el código se inyecta como variable dinámica al enviar. Ejemplo:
"Tu código de verificación es {{1}}. Expira en 5 minutos. No lo compartas con nadie."
Paso 4: Recepción e introducción del código El mensaje llega al chat de WhatsApp en un par de segundos. El usuario copia el código o pulsa el enlace directo integrado.
Paso 5: Validación Tu backend comprueba el código con el valor guardado, verifica que esté activo y que los intentos estén dentro del límite. Si es correcto, inicia la sesión.
Requisitos técnicos
Para enviar OTP por WhatsApp necesitas:
Una cuenta verificada en Meta Business Manager
Un número de teléfono para WhatsApp Business registrado en Meta
Al menos una plantilla de mensaje aprobada con una variable de OTP
Acceso a la API de WhatsApp Cloud (directo o mediante un proveedor como Prelude)
Un backend seguro para gestionar la generación, almacenamiento, expiración y validación del código
La aprobación de plantillas por parte de Meta suele tardar de 24 a 48 horas en el primer envío. Las plantillas de autenticación se aprueban más rápido que las de marketing. Una vez aprobadas, se pueden usar indefinidamente.
Con un proveedor como Prelude, el proceso es inmediato. Al ser un Meta Business Solution Provider (BSP), integramos WhatsApp como canal nativo, eliminando complicaciones de terceros.
La API Verify gestiona todo el ciclo: inicio, envío, reintentos, validación de códigos y fallback automático entre más de 30 proveedores. Conectas tu cuenta de WhatsApp Business a Prelude mediante Embedded Signup de Meta y envías desde tu marca. Además, Prelude admite mensajería bidireccional en WhatsApp para recibir y responder dentro del margen de 24 horas.
Cumplimiento normativo de WhatsApp OTP
WhatsApp es más estricto que el SMS. Cumplir con sus políticas es obligatorio para evitar suspensiones de cuenta.
Consentimiento explícito (Opt-in). Debes obtener el consentimiento del usuario antes de enviar cualquier mensaje, incluidos los OTP. Debe ser una acción clara e inequívoca; una casilla premarcada en el registro no es válida.
Solo plantillas aprobadas. No se permiten mensajes de texto libre fuera de las ventanas de atención al cliente. Cada plantilla de OTP debe ser revisada y aprobada por Meta previamente.
Límites de envío (Rate limits). WhatsApp limita los mensajes por número y cuenta. Aunque los límites superan el volumen de uso normal de la mayoría de productos, conviene monitorizarlos a gran escala.
Reglas de contenido. Las plantillas de OTP deben ser estrictamente transaccionales, neutrales y sin ofertas comerciales. Solo deben incluir el código, la caducidad y una advertencia de seguridad.
Límites de frecuencia y seguridad
La seguridad del OTP y las directrices de la plataforma van de la mano. Estas son las mejores prácticas:
Expiración del código: Limita la validez a un rango de 5 a 10 minutos. Para banca o recuperación de cuentas, reduce a 2 o 3 minutos. Indica la caducidad en el mensaje.
Límite de intentos: Bloquea e invalida el código tras 3 o 5 intentos fallidos para evitar ataques de fuerza bruta.
Frecuencia de reenvío: Establece una espera obligatoria entre peticiones (lo ideal son 30-60 segundos) y limita el total de OTP por usuario y hora (un máximo de 5 evita abusos de coste).
Validación previa del número: Confirma que el número existe en WhatsApp antes del envío. Ahorrarás costes de entrega y detectarás números VoIP o sospechosos de fraude.
Para profundizar en seguridad multicanal, consulta nuestra guía de buenas prácticas de OTP.
Cuándo usar WhatsApp OTP
No se trata de sustituir por completo al SMS. La elección idónea depende de tu geografía y de tus usuarios.
Usa WhatsApp OTP si: | Usa SMS OTP si: |
Tus usuarios están en India, Brasil, Indonesia, LATAM o Europa Occidental. | Tus usuarios están en Norteamérica o mercados con bajo uso de WhatsApp. |
La entrega de SMS está por debajo del 90% en esa región. | No tienes el consentimiento (opt-in) de tus usuarios actuales. |
Los costes de SMS internacional impactan en tus resultados de volumen. | Tus usuarios tienen mala conexión de datos pero cobertura móvil estable. |
Buscas cifrado de extremo a extremo por defecto. | Las regulaciones locales obligan a utilizar SMS para tu caso de uso. |
WhatsApp es el canal de comunicación preferido de tu audiencia. | Tu base de clientes opera en entornos corporativos tradicionales (B2B, empresas). |
WhatsApp como canal principal: Ideal en mercados con alta adopción (India, Brasil, México, España). Si la entrega de SMS en un país baja del 90%, WhatsApp debe ser tu primera opción.
WhatsApp como canal de fallback (respaldo): Si mantienes el SMS como principal, usa WhatsApp como alternativa automatizada ante fallos de entrega. Prelude gestiona este desvío sin código adicional en tu backend.
SMS como canal principal: Mantén el SMS en regiones con infraestructuras sólidas de telefonía o si pedir el opt-in de WhatsApp añade fricción en el registro, especialmente en entornos corporativos B2B.
No uses WhatsApp OTP si: No cuentas con el consentimiento explícito del usuario. Infringir esta norma de cumplimiento pone en riesgo tu cuenta.
Arquitectura de Fallback
Ningún canal es 100% infalible a nivel global. Un flujo robusto requiere un sistema de fallback automático que recupere la autenticación sin molestar al usuario.
Secuencia estándar de Prelude para mercados donde prima WhatsApp:
Intento por WhatsApp OTP: entrega inmediata si el usuario está registrado.
Si falla, desvío a SMS: rescata a los usuarios que no usan la app.
Si el SMS falla, desvío a llamada de voz: para zonas con mala cobertura de mensajería.
Para mercados donde prima el SMS:
Intento por SMS OTP
Si falla o expira, desvío a WhatsApp
Si WhatsApp no se entrega, desvío a llamada de voz
La API de Prelude toma la decisión de enrutamiento al instante según el país de destino, el rendimiento de entrega y tus preferencias configuradas. No tienes que programar flujos complejos.
Para saber más sobre enrutamiento multicanal, lee nuestra guía sobre tasas de entrega de SMS.
¿Qué es lo siguiente?
La API Verify de Prelude unifica el ciclo de verificación en WhatsApp, SMS, RCS y autenticación por red silenciosa, con fallback inteligente entre más de 30 proveedores, detección de fraude y analíticas integradas. Las empresas suelen aumentar su conversión entre un 20% y un 30% mientras reducen costes mensuales un 30-40%. Mira cómo funciona o pruébalo gratis.
Lecturas recomendadas:
Por qué y cómo enviar OTP por WhatsApp para decidir si es el canal adecuado para tu producto.
Preguntas frecuentes
¿Puedo automatizar el envío de OTP por WhatsApp?
Sí, y es lo recomendable. El propósito de la API de WhatsApp Business es automatizar el envío de OTP a escala. Eso sí, "automatizado" no significa sin reglas: debes seguir la política de plantillas y consentimiento de WhatsApp.
¿Qué ocurre si un usuario no tiene WhatsApp?
Lo ideal es validar si el número está registrado en WhatsApp antes de enviar. Si no lo está, se desvía a SMS. Los proveedores avanzados resuelven esta lógica de forma nativa sin que tengas que programarla.
¿Puedo enviar OTPs sin una plantilla aprobada?
No. Para casos que no sean de soporte técnico inmediato, WhatsApp no permite texto libre. Todo mensaje de verificación OTP debe utilizar una plantilla previamente autorizada por Meta.
¿Puedo usar el mismo mensaje OTP para todos los usuarios?
Sí, siempre que partas de una plantilla autorizada. Al no poder enviar mensajes libres fuera del soporte activo, tu plantilla tendrá una estructura genérica con variables del tipo {{1}} que se rellenan dinámicamente con el código al enviar.
¿Es el OTP por WhatsApp más barato que el SMS?
Sí, en muchos mercados estratégicos. Las tarifas de autenticación de WhatsApp se basan en la categoría del mensaje y no en el operador de destino. Esto evita los recargos internacionales de SMS, que encarecen el canal en países como India, Brasil, Francia o Alemania.
¿Cómo gestiono a los usuarios que no aceptan mensajes de WhatsApp?
Configura el SMS como canal base y ofrece WhatsApp de manera opcional en el registro. Quienes acepten recibir notificaciones por WhatsApp recibirán el OTP por ahí; al resto se les enviará por SMS. No envíes mensajes de WhatsApp sin consentimiento previo.
¿Cuánto tarda Meta en aprobar una plantilla?
Suele tardar entre 24 y 48 horas en el primer envío. Las plantillas enfocadas a autenticación se validan más rápido que las comerciales. Una vez aprobadas, no requieren nueva validación a menos que alteres su estructura.
WhatsApp OTP utiliza la API de WhatsApp Business para enviar contraseñas de un solo uso mediante WhatsApp en lugar de SMS. El objetivo es el mismo: confirmar un número de teléfono en registros, inicios de sesión o acciones sensibles, pero la entrega, el cumplimiento normativo y el control de seguridad son mucho más avanzados.
Esta guía es una referencia técnica para desarrolladores y equipos de producto que integran WhatsApp OTP. Explicamos cómo funciona bajo el capó, qué necesitas para configurarlo, las normativas obligatorias, la seguridad y las estrategias de fallback.
Si aún estás evaluando si este es el canal adecuado, empieza por cómo y por qué enviar OTP por WhatsApp. Para una visión más amplia sobre canales de verificación, consulta nuestra guía de mejores proveedores de OTP.
WhatsApp OTP vs SMS OTP: Comparativa Directa
WhatsApp OTP | SMS OTP | |
Infraestructura de entrega | Datos de Internet (Wi-Fi o móvil) | Red de operadora móvil |
Riesgo de filtrado de operadora | Ninguno | Alto en algunos mercados |
Cifrado de extremo a extremo | Sí | No |
Velocidad de entrega | Menos de 2 segundos (habitual) | 5-30 segundos; puede fallar por completo |
Coste | Tarifa por categoría, no por destino; más económico a nivel internacional | Más alto, sobre todo para destinos internacionales |
Plantilla obligatoria | Sí (aprobada por Meta) | No |
Opt-in del usuario requerido | Sí | No (para transaccionales) |
Funciona sin cobertura móvil | Sí (solo Wi-Fi) | No |
Vulnerable a SIM swap | No | Sí |
Mejores mercados | India, Brasil, Indonesia, LATAM, Europa Occidental | Respaldo global, Norteamérica, mercados con baja adopción de WhatsApp |
Cómo funciona WhatsApp OTP
El flujo de verificación es similar al SMS OTP, con tres diferencias clave: WhatsApp valida la existencia del número antes de enviar, exige plantillas aprobadas y requiere el consentimiento explícito del usuario.
Paso 1: Entrada del número de teléfono El usuario introduce su número. Tu backend comprueba mediante la API si el número está registrado en WhatsApp. Si no lo está, la API devuelve un callback de no entregado y tu sistema activa el fallback por SMS.
Paso 2: Generación del OTP Tu backend genera un código de 6 dígitos con un tiempo de expiración. El estándar es de 5 a 10 minutos, o menos para operaciones financieras sensibles.
Paso 3: Envío de plantilla de mensaje Envías el OTP a través de la API de Cloud de WhatsApp usando una plantilla aprobada. La estructura es fija; el código se inyecta como variable dinámica al enviar. Ejemplo:
"Tu código de verificación es {{1}}. Expira en 5 minutos. No lo compartas con nadie."
Paso 4: Recepción e introducción del código El mensaje llega al chat de WhatsApp en un par de segundos. El usuario copia el código o pulsa el enlace directo integrado.
Paso 5: Validación Tu backend comprueba el código con el valor guardado, verifica que esté activo y que los intentos estén dentro del límite. Si es correcto, inicia la sesión.
Requisitos técnicos
Para enviar OTP por WhatsApp necesitas:
Una cuenta verificada en Meta Business Manager
Un número de teléfono para WhatsApp Business registrado en Meta
Al menos una plantilla de mensaje aprobada con una variable de OTP
Acceso a la API de WhatsApp Cloud (directo o mediante un proveedor como Prelude)
Un backend seguro para gestionar la generación, almacenamiento, expiración y validación del código
La aprobación de plantillas por parte de Meta suele tardar de 24 a 48 horas en el primer envío. Las plantillas de autenticación se aprueban más rápido que las de marketing. Una vez aprobadas, se pueden usar indefinidamente.
Con un proveedor como Prelude, el proceso es inmediato. Al ser un Meta Business Solution Provider (BSP), integramos WhatsApp como canal nativo, eliminando complicaciones de terceros.
La API Verify gestiona todo el ciclo: inicio, envío, reintentos, validación de códigos y fallback automático entre más de 30 proveedores. Conectas tu cuenta de WhatsApp Business a Prelude mediante Embedded Signup de Meta y envías desde tu marca. Además, Prelude admite mensajería bidireccional en WhatsApp para recibir y responder dentro del margen de 24 horas.
Cumplimiento normativo de WhatsApp OTP
WhatsApp es más estricto que el SMS. Cumplir con sus políticas es obligatorio para evitar suspensiones de cuenta.
Consentimiento explícito (Opt-in). Debes obtener el consentimiento del usuario antes de enviar cualquier mensaje, incluidos los OTP. Debe ser una acción clara e inequívoca; una casilla premarcada en el registro no es válida.
Solo plantillas aprobadas. No se permiten mensajes de texto libre fuera de las ventanas de atención al cliente. Cada plantilla de OTP debe ser revisada y aprobada por Meta previamente.
Límites de envío (Rate limits). WhatsApp limita los mensajes por número y cuenta. Aunque los límites superan el volumen de uso normal de la mayoría de productos, conviene monitorizarlos a gran escala.
Reglas de contenido. Las plantillas de OTP deben ser estrictamente transaccionales, neutrales y sin ofertas comerciales. Solo deben incluir el código, la caducidad y una advertencia de seguridad.
Límites de frecuencia y seguridad
La seguridad del OTP y las directrices de la plataforma van de la mano. Estas son las mejores prácticas:
Expiración del código: Limita la validez a un rango de 5 a 10 minutos. Para banca o recuperación de cuentas, reduce a 2 o 3 minutos. Indica la caducidad en el mensaje.
Límite de intentos: Bloquea e invalida el código tras 3 o 5 intentos fallidos para evitar ataques de fuerza bruta.
Frecuencia de reenvío: Establece una espera obligatoria entre peticiones (lo ideal son 30-60 segundos) y limita el total de OTP por usuario y hora (un máximo de 5 evita abusos de coste).
Validación previa del número: Confirma que el número existe en WhatsApp antes del envío. Ahorrarás costes de entrega y detectarás números VoIP o sospechosos de fraude.
Para profundizar en seguridad multicanal, consulta nuestra guía de buenas prácticas de OTP.
Cuándo usar WhatsApp OTP
No se trata de sustituir por completo al SMS. La elección idónea depende de tu geografía y de tus usuarios.
Usa WhatsApp OTP si: | Usa SMS OTP si: |
Tus usuarios están en India, Brasil, Indonesia, LATAM o Europa Occidental. | Tus usuarios están en Norteamérica o mercados con bajo uso de WhatsApp. |
La entrega de SMS está por debajo del 90% en esa región. | No tienes el consentimiento (opt-in) de tus usuarios actuales. |
Los costes de SMS internacional impactan en tus resultados de volumen. | Tus usuarios tienen mala conexión de datos pero cobertura móvil estable. |
Buscas cifrado de extremo a extremo por defecto. | Las regulaciones locales obligan a utilizar SMS para tu caso de uso. |
WhatsApp es el canal de comunicación preferido de tu audiencia. | Tu base de clientes opera en entornos corporativos tradicionales (B2B, empresas). |
WhatsApp como canal principal: Ideal en mercados con alta adopción (India, Brasil, México, España). Si la entrega de SMS en un país baja del 90%, WhatsApp debe ser tu primera opción.
WhatsApp como canal de fallback (respaldo): Si mantienes el SMS como principal, usa WhatsApp como alternativa automatizada ante fallos de entrega. Prelude gestiona este desvío sin código adicional en tu backend.
SMS como canal principal: Mantén el SMS en regiones con infraestructuras sólidas de telefonía o si pedir el opt-in de WhatsApp añade fricción en el registro, especialmente en entornos corporativos B2B.
No uses WhatsApp OTP si: No cuentas con el consentimiento explícito del usuario. Infringir esta norma de cumplimiento pone en riesgo tu cuenta.
Arquitectura de Fallback
Ningún canal es 100% infalible a nivel global. Un flujo robusto requiere un sistema de fallback automático que recupere la autenticación sin molestar al usuario.
Secuencia estándar de Prelude para mercados donde prima WhatsApp:
Intento por WhatsApp OTP: entrega inmediata si el usuario está registrado.
Si falla, desvío a SMS: rescata a los usuarios que no usan la app.
Si el SMS falla, desvío a llamada de voz: para zonas con mala cobertura de mensajería.
Para mercados donde prima el SMS:
Intento por SMS OTP
Si falla o expira, desvío a WhatsApp
Si WhatsApp no se entrega, desvío a llamada de voz
La API de Prelude toma la decisión de enrutamiento al instante según el país de destino, el rendimiento de entrega y tus preferencias configuradas. No tienes que programar flujos complejos.
Para saber más sobre enrutamiento multicanal, lee nuestra guía sobre tasas de entrega de SMS.
¿Qué es lo siguiente?
La API Verify de Prelude unifica el ciclo de verificación en WhatsApp, SMS, RCS y autenticación por red silenciosa, con fallback inteligente entre más de 30 proveedores, detección de fraude y analíticas integradas. Las empresas suelen aumentar su conversión entre un 20% y un 30% mientras reducen costes mensuales un 30-40%. Mira cómo funciona o pruébalo gratis.
Lecturas recomendadas:
Por qué y cómo enviar OTP por WhatsApp para decidir si es el canal adecuado para tu producto.
Preguntas frecuentes
¿Puedo automatizar el envío de OTP por WhatsApp?
Sí, y es lo recomendable. El propósito de la API de WhatsApp Business es automatizar el envío de OTP a escala. Eso sí, "automatizado" no significa sin reglas: debes seguir la política de plantillas y consentimiento de WhatsApp.
¿Qué ocurre si un usuario no tiene WhatsApp?
Lo ideal es validar si el número está registrado en WhatsApp antes de enviar. Si no lo está, se desvía a SMS. Los proveedores avanzados resuelven esta lógica de forma nativa sin que tengas que programarla.
¿Puedo enviar OTPs sin una plantilla aprobada?
No. Para casos que no sean de soporte técnico inmediato, WhatsApp no permite texto libre. Todo mensaje de verificación OTP debe utilizar una plantilla previamente autorizada por Meta.
¿Puedo usar el mismo mensaje OTP para todos los usuarios?
Sí, siempre que partas de una plantilla autorizada. Al no poder enviar mensajes libres fuera del soporte activo, tu plantilla tendrá una estructura genérica con variables del tipo {{1}} que se rellenan dinámicamente con el código al enviar.
¿Es el OTP por WhatsApp más barato que el SMS?
Sí, en muchos mercados estratégicos. Las tarifas de autenticación de WhatsApp se basan en la categoría del mensaje y no en el operador de destino. Esto evita los recargos internacionales de SMS, que encarecen el canal en países como India, Brasil, Francia o Alemania.
¿Cómo gestiono a los usuarios que no aceptan mensajes de WhatsApp?
Configura el SMS como canal base y ofrece WhatsApp de manera opcional en el registro. Quienes acepten recibir notificaciones por WhatsApp recibirán el OTP por ahí; al resto se les enviará por SMS. No envíes mensajes de WhatsApp sin consentimiento previo.
¿Cuánto tarda Meta en aprobar una plantilla?
Suele tardar entre 24 y 48 horas en el primer envío. Las plantillas enfocadas a autenticación se validan más rápido que las comerciales. Una vez aprobadas, no requieren nueva validación a menos que alteres su estructura.
Optimiza tu flujo de autenticación ahora
Envía SMS de verificación a todo el mundo: al mejor precio, con entrega garantizada y sin spam.
