OTP via WhatsApp oficial: código de confirmação por API

Por que OTP no WhatsApp oficial

O OTP (One-Time Password) é o código de uso único que confirma que o usuário realmente controla aquele número — usado em cadastro, login, recuperação de conta e confirmação de operações sensíveis.

Enviando pelo WhatsApp oficial (WhatsApp Business Platform, a partir de um número verificado) você tem melhor entregabilidade que SMS, menor custo e mais confiança para o usuário — sem automação não oficial que corre risco de bloqueio.

WhatsApp vs SMS vs E-mail para OTP

O canal de envio muda o custo, a entrega e a taxa de conversão do seu fluxo de verificação. Comparativo dos três canais mais usados:

Valores de custo de SMS são estimativas de mercado; o preço do WhatsApp oficial aqui é o praticado pela entrar.api.br (R$ 0,03 por OTP enviado).

Como funciona

A integração são dois endpoints, autenticados com o header Authorization: Bearer SEU_API_SECRET:

1. Enviar — POST /api/otp/send gera o código e o envia pelo WhatsApp, devolvendo um otpId.
2. Verificar — POST /api/otp/verify confere o otpId com o código digitado pelo usuário.

1. Enviar o OTP

Envie o telefone do usuário no formato internacional (E.164). A resposta traz o otpId que você guarda para verificar depois.

A resposta confirma na hora se o envio foi aceito. Você não precisa de webhook nem de polling: a confirmação de que a mensagem chegou é o próprio verify — se o usuário digita o código certo, é porque recebeu.

curl -X POST https://cpf.entrar.api.br/api/otp/send \
  -H "Authorization: Bearer SEU_API_SECRET" \
  -H "Content-Type: application/json" \
  -d '{"telefone":"+5511999999999"}'

# → { "ok": true, "otpId": "...", "status": "pending" }

Como o usuário recebe no WhatsApp

2. Verificar o OTP

Envie o otpId e o codigo que o usuário digitou. Se conferir, a resposta traz verified: true.

curl -X POST https://cpf.entrar.api.br/api/otp/verify \
  -H "Authorization: Bearer SEU_API_SECRET" \
  -H "Content-Type: application/json" \
  -d '{"otpId":"...","codigo":"123456"}'

# → { "ok": true, "verified": true }

Exemplos em Node.js, PHP e Python

O mesmo fluxo de envio (/api/otp/send) nas linguagens mais usadas. A verificação segue o mesmo padrão, trocando a URL e o corpo.

Node.js (fetch)

const res = await fetch("https://cpf.entrar.api.br/api/otp/send", {
  method: "POST",
  headers: {
    "Authorization": "Bearer SEU_API_SECRET",
    "Content-Type": "application/json",
  },
  body: JSON.stringify({ telefone: "+5511999999999" }),
});
const data = await res.json(); // { ok: true, otpId: "...", status: "pending" }

PHP (cURL)

$ch = curl_init("https://cpf.entrar.api.br/api/otp/send");
curl_setopt_array($ch, [
  CURLOPT_RETURNTRANSFER => true,
  CURLOPT_POST => true,
  CURLOPT_HTTPHEADER => [
    "Authorization: Bearer SEU_API_SECRET",
    "Content-Type: application/json",
  ],
  CURLOPT_POSTFIELDS => json_encode(["telefone" => "+5511999999999"]),
]);
$data = json_decode(curl_exec($ch), true); // ["ok" => true, "otpId" => "..."]

Python (requests)

import requests

res = requests.post(
    "https://cpf.entrar.api.br/api/otp/send",
    headers={"Authorization": "Bearer SEU_API_SECRET"},
    json={"telefone": "+5511999999999"},
)
data = res.json()  # { "ok": True, "otpId": "...", "status": "pending" }

Autenticação

Toda requisição precisa do header Authorization: Bearer SEU_API_SECRET. Você gera, revela e rotaciona o API Secret no painel, dentro do seu app. Mantenha o segredo apenas no back-end — nunca exponha em código de front-end.

Preço

R$ 0,03 por OTP enviado (chamada ao /api/otp/send). A verificação (/api/otp/verify) é gratuita — você paga apenas pelo envio. Créditos por PIX, sem mensalidade.

Segurança e boas práticas

• Códigos de uso único, que expiram em 10 minutos.
• Limite tentativas de verificação por otpId para evitar força bruta.
• Aplique rate-limit no seu lado para não reenviar OTP em excesso ao mesmo número.
• Guarde o API Secret só no servidor.

Confiabilidade e suporte

• Infraestrutura na AWS e no Google Cloud, com servidores no Brasil.
• Suporte direto: WhatsApp (66) 99685-2025 ou contato@entrar.api.br.

Quem já usa a entrar.api.br

Empresas e instituições que usam a entrar.api.br em produção — de cadastro de vestibular a plataformas com alto volume de envios diários:

Perguntas frequentes