Código de verificação pelo WhatsApp: como mandar códigos de acesso com a API oficial

O que é o modelo de autenticação

Autenticação é uma das três categorias de modelo da API oficial do WhatsApp, ao lado de marketing e utilidade. Ela existe para uma única coisa: mandar uma senha de uso único (o famoso OTP, "one-time password") para confirmar que a pessoa é quem diz ser.

A Meta lista os momentos em que isso é usado:

• criação de conta nova;
• acesso, recuperação ou integridade da conta;
• confirmação de pedido ou transação.

E é taxativa: só modelos de autenticação podem mandar código de verificação. Tentar mandar código por modelo de marketing ou utilidade é proibido, e a revisão recorrente da Meta rejeita modelos de marketing ou utilidade que deveriam ser autenticação.

Como o modelo é montado

Diferente dos outros modelos, o de autenticação tem texto padronizado pela Meta. Você não escreve o corpo livremente. As partes:

Regras de conteúdo oficiais:

• Sem link, sem mídia, sem emoji no conteúdo ou nas variáveis.
• Variáveis de até 15 caracteres.
• O modelo é criado a partir da biblioteca de modelos de autenticação da Meta.

Os três tipos de botão

Copiar código

O cliente toca no botão, o WhatsApp copia o código para a área de transferência, e ele cola no seu app ou site. Funciona em qualquer aparelho e não exige mudança no seu aplicativo. É o mais simples de implantar.

Preenchimento com um toque

No Android, o botão abre o seu aplicativo e entrega o código automaticamente. Exige uma alteração no código do app Android. A Meta considera esse o formato preferido, porque o cliente não precisa sair do fluxo.

No iPhone, desde o iOS 26, o próprio sistema reconhece o código na notificação do WhatsApp e oferece o preenchimento pelo teclado, sem nenhuma integração. Em versões anteriores do iOS, use copiar código.

Sem toque

O aplicativo Android da empresa recebe o código direto do WhatsApp, sem o cliente tocar em nada. É o formato mais fluido e também o que exige mais integração.

Segurança: só no aparelho principal

Os modelos de autenticação têm uma proteção que vem ligada e não pode ser desligada: a mensagem só é entregue no aparelho principal do WhatsApp do cliente. Ela não aparece no WhatsApp Web nem em outros aparelhos conectados. Isso dificulta golpes em que alguém tem acesso a um computador com o WhatsApp da vítima aberto.

Outro ponto de segurança é o tempo de tentativa de entrega. Para modelos de autenticação, a API tenta entregar por 10 minutos por padrão (contra 30 dias das outras mensagens), e esse tempo pode ser ajustado. Não faz sentido entregar um código vencido horas depois.

Boas práticas que a Meta recomenda:

1. Confirme o número de WhatsApp do usuário antes de mandar o código para ele.
2. Deixe claro que o código vai pelo WhatsApp, principalmente se você oferece outras formas (SMS, e-mail).
3. Avise quando o app capturou o código, no preenchimento automático, para o cliente saber que deu certo.

Quanto custa

Para números do Brasil, na tabela em reais da Meta em vigor desde 1º de outubro de 2026, a mensagem de autenticação custa R$ 0,035 por entrega. A autenticação tem desconto por volume:

O volume é somado em todas as contas do portfólio empresarial e zera todo mês. Para alguns países, a Meta cobra uma tarifa internacional de autenticação, mais alta, de empresas que se qualificam por mandar códigos para fora do país principal. Para o Brasil, a tabela em reais não tem tarifa internacional.

Uma conta rápida: um app com 20.000 logins por mês paga 20.000 × R$ 0,035 = R$ 700 em códigos pelo WhatsApp.

WhatsApp ou SMS para código de verificação?

Muitas empresas usam os dois: WhatsApp como padrão e SMS como alternativa para quem não tem WhatsApp ou quando a entrega falha dentro do tempo.

Passo a passo para começar

1. Tenha a API oficial conectada (direto pela Meta ou por um provedor) e forma de pagamento cadastrada.
2. No Gerenciador do WhatsApp, vá em Modelos de mensagem > Criar modelo e escolha a categoria Autenticação.
3. Escolha o tipo de botão: copiar código, um toque ou sem toque.
4. Ligue ou desligue o aviso de segurança e defina a validade (1 a 90 minutos).
5. Escolha o idioma (português do Brasil).
6. Envie. Modelos de autenticação da biblioteca seguem as regras de conteúdo da Meta.
7. No seu sistema, gere o código, mande o modelo com o código como variável e valide o que o cliente digitar.
8. Se usar um toque ou sem toque, implemente a parte do aplicativo Android conforme a documentação da Meta.

Erros comuns

1. Mandar código em modelo de utilidade. Proibido; a Meta pode rejeitar o modelo.
2. Colocar link de "clique aqui para entrar". Link não é permitido em autenticação, e é exatamente o formato que golpistas imitam.
3. Validade longa demais. Código de 90 minutos é mais vulnerável. Para login, 5 a 10 minutos costumam bastar.
4. Não ter alternativa. Cliente sem WhatsApp ou com o celular sem internet precisa de outro caminho.
5. Reenviar várias vezes em segundos. Além do custo, a API limita mensagens para o mesmo número em sequência rápida (1 a cada 6 segundos, com rajadas curtas permitidas).
6. Esperar o código no WhatsApp Web. Ele só chega no celular principal.

O fluxo completo, em linguagem simples

Para quem vai pedir ao programador (ou ao fornecedor) que implemente, este é o caminho de uma ponta à outra:

1. O cliente pede o código no seu app ou site, informando o número de WhatsApp.
2. O seu sistema gera o código (por exemplo, seis dígitos), guarda junto com a hora de validade e o número.
3. O sistema chama a API do WhatsApp mandando o modelo de autenticação aprovado, com o código como variável e, se usar botão de um toque, o código também no botão.
4. A Meta tenta entregar no aparelho principal do cliente por até 10 minutos (ou o tempo que você configurou).
5. O sistema recebe os avisos de status: enviada, entregue, lida ou falhou.
6. O cliente digita, cola ou o app preenche o código.
7. O sistema confere o código e a validade, e libera o acesso.
8. Se falhar ou não chegar, o sistema oferece outra forma (SMS, e-mail) depois de um tempo combinado.

O passo 5 é o que diferencia uma implantação boa: com os avisos de status, o sistema sabe se o código chegou e pode oferecer a alternativa na hora certa, em vez de deixar o cliente esperando.

Quando o código não chega

Autenticação por tipo de negócio

Checklist de lançamento

Golpes: como proteger seus clientes

O código pelo WhatsApp é seguro quando o cliente sabe o que esperar. Três hábitos ajudam:

• Sempre o mesmo nome de exibição. Mensagens de código chegam com o nome aprovado da sua empresa.
• Aviso de segurança ligado: "não compartilhe este código". Golpes de clonagem pedem que a pessoa "repasse o código que chegou".
• Nunca pedir o código de volta pelo WhatsApp. O código é digitado no seu app ou site, não respondido na conversa. Se o seu atendimento pede o código, o cliente aprende o hábito que o golpista explora.

Diagnóstico: você precisa de autenticação pelo WhatsApp?

E a Certu?

A Certu atende clientes pelo WhatsApp com caixa de entrada, CRM e agente de IA; ela não é uma plataforma de envio de códigos de verificação para o login do seu aplicativo. Se o seu negócio precisa de autenticação, o caminho é integrar o modelo de autenticação ao seu sistema de login, direto pela API da Meta ou por um provedor especializado. Para o atendimento que vem depois do cadastro (dúvidas, agendamento, vendas, pós-venda), a Certu cuida das conversas no mesmo número.

O plano Start custa R$ 299 por mês e o Pro, R$ 599. A gente monta tudo pra você e as primeiras 200 mensagens, em até 7 dias, são por nossa conta. Se quiser ver o atendimento funcionando, conecte o número em certu.com.br/aprender.

Para ir mais fundo: preço da API do WhatsApp.

Fontes

• Meta for Developers: Modelos de autenticação, lida em 23/10/2026
• Meta for Developers: Categorização de modelos (diretrizes de autenticação), lida em 23/10/2026
• Meta for Developers: Preços na Plataforma do WhatsApp Business (tabela e níveis de volume em BRL, em vigor 1º/10/2026), lida em 23/10/2026
• Meta for Developers: Mensagens de serviço (tempo de vida das mensagens), lida em 23/10/2026
• Meta for Developers: Códigos de erro (131026, 131042, 131056), lida em 23/10/2026
• Meta for Developers: Sobre a plataforma (limite de mensagens para o mesmo usuário), lida em 23/10/2026

Leia também

• categorias de modelo
• como criar modelo de mensagem
• o que é a Cloud API
• a conta da empresa pode ser roubada?