Team Inbox APIЕщё
1msg official logo

WhatsApp Business API для OTP входа на новом устройстве

Сценарий отправляет пользователю в WhatsApp шаблон с кодом подтверждения, если попытка входа отмечена как выполненная с нового устройства.

Обзор сценария

Сценарий отправляет пользователю шаблон аутентификации в WhatsApp с одноразовым кодом подтверждения, когда попытка входа распознаётся как выполненная с нового устройства. Кнопка «Копировать код» позволяет вставить код в экран подтверждения входа.

Пример шаблона

{{1}} — ваш проверочный код. Для вашей безопасности не передавайте этот код никому.

Скопировать код
  • {{1}}
    одноразовый код подтверждения для входа с нового устройства (цифры)
  • “Скопировать код”
    кнопка — исправлено в шаблоне Meta
WhatsApp Business API for new device login otp

Когда использовать

Используйте этот сценарий, когда пользователь входит с нового устройства или браузера, и вам нужно убедиться, что это действительно он, прежде чем открыть сессию, но открытого чата в WhatsApp ещё нет — текстовое сообщение не разрешено на старте. Он подходит для IAM и веб- или мобильных приложений, которые обнаруживают незнакомые конечные точки, команд безопасности аккаунтов, блокирующих несанкционированные входы, и интеграторов, передающих события фингерпринта устройства или движка рисков через API 1MSG.

Остановить неавторизованный доступ с новых устройств
Одна переменная в теле содержит заново сгенерированный OTP в шаблоне аутентификации, поэтому пользователь должен подтвердить вход в WhatsApp до того, как ваш бэкенд откроет сессию с неизвестного устройства или браузера.
Быстрый ввод кода на экране входа
Кнопка копирования кода содержит те же цифры, что и одиночная переменная в теле, поэтому пользователь нажимает «Скопировать код» и вставляет его в форму подтверждения вместо того, чтобы вводить вручную из другого канала.
Согласованная доставка при холодном старте
Только утверждённый шаблон аутентификации может открыть разговор; ваш бэкенд отправляет код в теле и параметрах кнопки, когда срабатывает событие входа с нового устройства.
Очистить журнал аудита для повторных попыток
Статус доставки фиксируется при отправке шаблона, чтобы команды безопасности могли повторить попытку или уведомить о сбоях, пока серверная часть проверяет код, отправленный пользователем.

Как это работает

  1. Триггер

    Пользователь входит в систему с нового устройства или браузера, и ваша система помечает попытку как подозрительную.

    event · triggered

  2. Захватить событие

    Ваш сервер генерирует одноразовый код подтверждения и выясняет WhatsApp-номер пользователя.

    phone: "+…"

  3. Собрать и отправить

    Шаблонное сообщение строится с кодом в теле и тем же значением в параметре кнопки «Копировать код».

    POST /sendTemplate

  4. Доставлено

    Пользователь получает сообщение в WhatsApp и копирует код или читает его.

    delivered

  5. Отслеживание статуса

    Ваш сервер проверяет отправленный код и разрешает или блокирует сессию нового устройства; ошибки доставки обрабатываются по правилам платформы.

    status: "read"

WhatsApp Business API for new device login otp

Техническая реализация

Предварительные условия

  1. Ключ API 1MSG · Как получить API-ключ
  2. Аккаунт WhatsApp Business · Как подключить WABA
  3. Шаблон WhatsApp · Как одобрить шаблон WABA
  4. Согласие клиента на коммуникацию · Как управлять согласием клиентов

Примеры кода

#!/usr/bin/env bash
set -euo pipefail

# === Configuration (replace "___" placeholders) ===

API_BASE_URL="https://api.1msg.io"        # production 1MSG API base URL
CHANNEL_ID="___"                           # channel ID from 1MSG dashboard
API_TOKEN="___"                            # channel JWT token (Bearer)

TEMPLATE_NAME="___"                        # approved template name
TEMPLATE_NAMESPACE="___"                   # template namespace (required — send fails without it)
TEMPLATE_LANGUAGE="___"                    # template language code, e.g. "en"



# === Test data ===
TEST_PHONE="___"                 # client phone in international format
TEST_CODE="___"         # {{1}} otp code

PHONE_NORM="$(printf '%s' "$TEST_PHONE" | tr -cd '0-9')"

for pair in "CHANNEL_ID=$CHANNEL_ID" "API_TOKEN=$API_TOKEN" \
            "TEMPLATE_NAME=$TEMPLATE_NAME" "TEMPLATE_NAMESPACE=$TEMPLATE_NAMESPACE" \
            "TEMPLATE_LANGUAGE=$TEMPLATE_LANGUAGE" "TEST_PHONE=$TEST_PHONE" \
            "TEST_CODE=$TEST_CODE"; do
    val="${pair#*=}"
    if [ -z "$val" ] || [ "$val" = "___" ]; then
        echo "Missing configuration value: ${pair%%=*}" >&2
        exit 1
    fi
done

if [ -z "$PHONE_NORM" ]; then
    echo "Error: phone number has no digits after normalization" >&2
    exit 1
fi

URL="${API_BASE_URL%/}/${CHANNEL_ID}/sendTemplate"

# params carries body and button blocks.

# {{1}} otp code → ${TEST_CODE}
read -r -d '' PAYLOAD <<JSON || true
{
  "phone": "${PHONE_NORM}",
  "template": "${TEMPLATE_NAME}",
  "namespace": "${TEMPLATE_NAMESPACE}",
  "language": { "policy": "deterministic", "code": "${TEMPLATE_LANGUAGE}" },
  "params": [
    {
      "type": "body",
      "parameters": [
        { "type": "text", "text": "${TEST_CODE}" }
      ]
    },
    {
      "type": "button",
      "sub_type": "url",
      "index": "0",
      "parameters": [ { "type": "text", "text": "${TEST_CODE}" } ]
    }

  ]
}
JSON

RESPONSE="$(curl -s -w '\n%{http_code}' -X POST "$URL" \
    -H "Content-Type: application/json" \
    -H "Authorization: Bearer ${API_TOKEN}" \
    -d "$PAYLOAD")"

HTTP_CODE="$(printf '%s' "$RESPONSE" | tail -n1)"
BODY="$(printf '%s' "$RESPONSE" | sed '$d')"

case "$BODY" in
    *'"sent":true'*) ok=1 ;;
    *) ok=0 ;;
esac

if [ "$HTTP_CODE" -ge 200 ] && [ "$HTTP_CODE" -lt 300 ] && [ "$ok" -eq 1 ]; then
    echo "Message sent to client."
    echo "API response: $BODY"
else
    echo "Send failed. HTTP status: $HTTP_CODE" >&2
    echo "$BODY" >&2
    exit 1
fi

Статус ответа и доставки

Коды HTTP 2xx и JSON "sent": trueозначают, что 1MSG принял сообщение для отправки — это не значит, что оно уже доставлено на телефон клиента. Сохраните idполе (выглядит как wamid.…), чтобы сопоставить уведомления о доставке.

200 OKОтвет
{
  "sent": true,
  "id": "wamid.HBgLMzgwNjM5...",
  "message": "Message accepted for delivery"
}
  • sent

    Принято для отправки — ещёне доставлено на телефон клиента

  • id

    Храните это — обратные вызовы доставки и hookInfo зависят от этого

Доставка приходит позже, отдельным обратным вызовом. Зарегистрируйте вебхук (POST …/webhook), и 1MSG отправит обновления статуса на ваш HTTPS-эндпоинт в формате верхнего уровня hooks[] payload.

200 OKВебхук статуса доставки — данные, которые вы получаете
{
  "hooks": [
    {
      "id": "gBGGeSaGViBfAgnlzOSHEwK9O6F",
      "type": "message",
      "status": "sent",
      "timestamp": "1654864094",
      "recipient_id": "556123122026"
    }
  ]
}
  • status

    sent, delivered, read — или статус отказа, если применимо

  • id

    Соотносит обратный вызов с id, возвращённым вызовом send

  • timestamp

    Unix-секунды в виде строки

Если вы предпочитаете не получать обратные вызовы, используйте вместо этого опрос GET {base}/{channel}/hookInfo?messageId=<id>. На практике доставка часто завершается за секунды, но контракт API этого не гарантирует, поэтому никогда не блокируйте процесс ожиданием.

Распространённые ошибки

СтатусОтветПричина
200Message was not sent: template is not definednamespace, template or language missing from the request body.
200template name (…) does not exist in <language>The template is approved in a different language than the one requested.
200Message was not sent: provide chatId, phone, bsuid, or usernameNo recipient the channel could resolve.
403access deniedThe token is wrong, or belongs to a different channel than the URL.
429too many requests. please try laterThe channel is over its send rate.

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ

Да, холодные сообщения в WhatsApp требуют шаблона, одобренного Meta.

Связанные

Подтверждение OTP
WhatsApp Business API для миграции sms на whatsapp otp
Отправляет одноразовый код подтверждения через шаблон аутентификации WhatsApp при переключении доставки OTP с SMS на WhatsApp.
Подтверждение OTP
WhatsApp Business API для безопасного подтверждения действий OTP
Сценарий отправляет шаблон аутентификации WhatsApp с одноразовым кодом, когда требуется подтвердить безопасное действие.
Подтверждение OTP
WhatsApp Business API для подтверждения доступа к сервису
Отправляет одноразовый код подтверждения через шаблон аутентификации WhatsApp, когда нужно подтвердить личность перед использованием защищённого сервиса.
Подтверждение OTP
WhatsApp Business API для подтверждения авторизации через otp
Отправляет одноразовый код через шаблон подтверждения WhatsApp, когда пользователю нужно подтвердить вход или доступ.
Подтверждение OTP
WhatsApp Business API для подтверждения нового входа
Отправляет одноразовый код подтверждения через шаблон WhatsApp, когда ваше приложение фиксирует вход с нового устройства, браузера или местоположения.
Подтверждение OTP
WhatsApp Business API для двухфакторной аутентификации
Сценарий отправляет в WhatsApp шаблон аутентификации с одноразовым проверочным кодом, если после основного входа требуется двухфакторная аутентификация.
Подтверждение OTP
WhatsApp Business API для кода проверки номера телефона
Отправляет разовый код через шаблон аутентификации WhatsApp, когда пользователь добавляет или меняет номер телефона.
Подтверждение OTP
WhatsApp Business API для сброса пароля с OTP-кодом
Отправляет одноразовый код через шаблон аутентификации WhatsApp, когда пользователь начинает сброс пароля.

Интегрируйте WhatsApp за часы
без проблем с инфраструктурой