Grado bancario mensajería
para finanzas reguladas.

Los flujos OTP pasan por una puerta de cumplimiento que aplica el conjunto de reglas SCA correspondiente según el regulador: restricciones de canal, límites TTL, ventanas de reproducción y requisitos de vinculación. La puerta es de configuración, no de código, por lo que cuando SAMA redujo el TTL a 180 segundos en 2025, los clientes obtuvieron el nuevo comportamiento sin necesidad de redistribuir sus sistemas. La evidencia de auditoría se exporta en un formato aceptado por el regulador previa solicitud.

Dentro del intervalo TTL, redirigimos al siguiente operador, escalamos el canal (SMS → WhatsApp Business → IVR de voz) si su perfil de fraude lo permite y enviamos un webhook de "entrega degradada" a su servicio de autenticación para que pueda ofrecer al cliente una alternativa dentro de la aplicación. No se permite la facturación duplicada: la conmutación por error elimina los duplicados en el ID de OTP.

Los identificadores de remitente estándar se reciben en 5-10 días hábiles en los Emiratos Árabes Unidos, Arabia Saudita, Baréin y Catar; y en 7-15 días hábiles en Egipto y Jordania. Realizamos la preautorización de las marcas bancarias con los reguladores anualmente, por lo que los nuevos registros y las variantes menores suelen gestionarse en la misma semana. La rotación de identificadores de remitente de emergencia (respuesta a incidentes) cuenta con un acuerdo de nivel de servicio (SLA) de 24 horas para contratos empresariales.

Cada envío genera una línea de registro a prueba de manipulaciones, desde el borde TLS hasta el webhook DLR. Retención estándar de 90 días, nivel bancario de 7 años, con exportación SIEM a Splunk, QRadar, Sentinel y Elastic. Los mensajes marcados como fraudulentos se ponen en cuarentena durante la etapa de evaluación de reglas y se muestran en un webhook dedicado al que se suscribe su equipo de fraude.

Sí. Operamos en regiones de almacenamiento y borde en Riad (Arabia Saudita), Dubái (Emiratos Árabes Unidos) y El Cairo (Egipto). El enrutamiento, la generación de plantillas, el registro y el almacenamiento DLR se realizan localmente. La replicación transfronteriza es opcional y se aplica por carga de trabajo; nunca es la opción predeterminada. Las certificaciones de residencia de datos forman parte del paquete estándar de cumplimiento bancario.

Las plantillas incluyen referencias tokenizadas, nunca el código PAN ni el CVV sin procesar. La carga útil de transferencia contiene únicamente el ID de la conversación, el MSISDN verificado del cliente y un enlace profundo firmado a la plataforma de control de tarjetas alojada por el banco. Las plantillas de WhatsApp Business están preaprobadas por Meta y el regulador; las respuestas conversacionales se redirigen a su sistema principal mediante un webhook.

Cronograma típico: Semana 1: Revisión de seguridad, DPA, emisión del token de acceso a la API, inicio de la presentación de identificadores de remitente. Semanas 2-3: Creación de la integración, importación de reglas de fraude, configuración del webhook ISO-20022. Semana 4: Transición gradual, ejecución en paralelo con el proveedor anterior, activación del SLA firmado. La mayoría de los bancos alcanzan la plena producción en cuatro semanas; los sistemas complejos con múltiples jurisdicciones tardan entre 6 y 8 semanas.