SMS OTP vs WhatsApp OTP vs Telegram OTP em 2026: comparação de custos, entrega e segurança

Resposta curta: utilize primeiro os canais de aplicação e mantenha o SMS como rede de segurança. Um código Telegram custa 0,01 $ por mensagem entregue através da Gateway API oficial da Telegram. Uma mensagem de autenticação WhatsApp é faturada apenas quando é entregue, à taxa da Meta para o país do utilizador. O SMS chega a todos os números de telemóvel, com ou sem uma aplicação, pelo que é o fallback que completa o registo quando os outros dois falham. Nenhum dos três é imune a phishing, pelo que o trabalho de segurança é o mesmo para todos: limites de taxa, tempos de vida curtos dos códigos e verificações de número. BroadNet OTP e a nossa marca irmã MyOTP.App enviam códigos através destes canais a partir de uma única API.

Como funciona cada canal OTP?

Os três canais entregam o mesmo: um código curto que prova que o utilizador controla um número de telemóvel. O que difere é o percurso. SMS OTP viaja da sua plataforma para o operador de telemóvel do utilizador e chega à aplicação de mensagens do telemóvel. Não necessita de ligação à internet, de aplicação nem de conta, razão pela qual ainda possui o maior alcance. WhatsApp OTP é uma mensagem enviada através da Plataforma WhatsApp Business utilizando um modelo aprovado na categoria de autenticação da Meta. Telegram OTP é enviada através da Gateway API da Telegram e chega à aplicação Telegram na conta registada para esse número de telemóvel.

Modelos de autenticação WhatsApp

Meta permite apenas texto fixo nos modelos de autenticação: o código, uma linha de segurança opcional ("Para sua segurança, não partilhe este código.") e um aviso de expiração opcional. Não pode adicionar texto de marketing. Cada modelo inclui um de três botões. Um botão de copiar código copia o código para a área de transferência. Um botão de preenchimento automático com um toque passa o código diretamente para a sua aplicação Android, e a Meta chama-lhe "a solução preferencial". Um modelo de toque zero, disponível apenas em Android, permite que a sua aplicação receba o código sem que o utilizador saia da aplicação. A expiração do código pode ser definida de 1 a 90 minutos (Meta, modelos de autenticação).

Gateway API da Telegram

A Gateway API da Telegram é a forma oficial de uma empresa enviar códigos de verificação para utilizadores Telegram. Chama o método sendVerificationMessage com o número de telemóvel do utilizador, e a Telegram gera um código de 4 a 8 dígitos ou envia um fornecido por si. O código é válido por 30 a 3.600 segundos. Os relatórios de entrega (enviado, entregue, lido, expirado ou revogado) são enviados para um endereço de callback HTTPS que indicar. Também pode ter mensagens assinadas por um canal Telegram verificado que seja seu, para que os utilizadores vejam a sua marca. Antes do envio, a checkSendAbility informa se o número pode receber um código. Uma verificação positiva é cobrada como uma mensagem, e o envio que se segue é gratuito. Uma verificação negativa não tem custo (Telegram, referência Gateway API).

Qual é o custo de cada canal?

Os três canais são faturados de formas diferentes, por isso compare o custo por verificação concluída, e não o preço por mensagem.

• Telegram: A página de produto da Telegram indica 0,01 $ por código entregue, com reembolsos automáticos para códigos que não sejam entregues dentro do período de validade definido. O pagamento é feito através de créditos pré-pagos, e a Telegram afirma que aceita pagamento em TON. Os seus termos estabelecem que as compras de créditos são definitivas e que as cobranças são, de outra forma, finais quando uma mensagem é enviada, pelo que deve ler ambas as páginas antes de planear o seu orçamento (Telegram, Termos da Gateway).
• WhatsApp: A Meta cobra por mensagem entregue desde 1 de julho de 2025. A taxa depende da categoria do template e do código de país do número do utilizador, e os escalões de volume mensal reduzem a taxa de autenticação à medida que envia mais. A taxa de mensagem de serviço que a Meta introduziu a 1 de outubro de 2026 não se aplica a templates de autenticação (Meta, preços).
• WhatsApp para remetentes baseados no estrangeiro: se a sua empresa estiver sediada num país diferente do utilizador e enviar mais de 750.000 mensagens fora da janela de atendimento ao cliente para utilizadores nesse mercado num período móvel de 30 dias, a Meta aplica uma taxa de autenticação internacional mais elevada. Desde 1 de outubro de 2026, isto abrange 18 mercados, incluindo a Arábia Saudita, os Emirados Árabes Unidos, o Egito, o Iraque, o Kuwait e Omã (Meta, taxas de autenticação internacional).
• SMS: paga por mensagem submetida à rede, à taxa correspondente ao país de destino e ao operador. Os preços variam amplamente entre países, pelo que deve consultar a página de preços OTP e as taxas de SMS por país para os mercados que serve.

O exemplo prático abaixo é hipotético. Utiliza preços arredondados para mostrar como funciona o cálculo, não taxas reais de qualquer país: SMS a 0,040 $ por mensagem, WhatsApp a 0,0135 $ por mensagem entregue (a tarifa de tabela WhatsApp da BroadNet) e Telegram a 0,01 $ por código entregue. Cada estratégia envia 1.000 códigos, e qualquer utilizador que o canal da aplicação não consiga alcançar recebe um SMS em vez disso.

Duas coisas determinam o resultado real: a quota de utilizadores que estão acessíveis em cada aplicação em cada país, e a rapidez com que muda para SMS. O nosso guia de custos de WhatsApp vs SMS OTP fornece a fórmula de equilíbrio país por país, e o estimador de custos de OTP calcula os valores com os seus próprios volumes.

Qual canal entrega com maior fiabilidade?

O SMS chega a mais pessoas porque necessita apenas de um número de telemóvel ativo, mas a entrega depende da rota. Códigos enviados através de ligações diretas ao operador com um ID de remetente registado chegam rapidamente e devolvem um recibo de entrega; códigos em rotas cinzentas podem ser filtrados sem aviso prévio. O WhatsApp e o Telegram entregam através da internet, pelo que também funcionam via Wi-Fi quando o utilizador não tem sinal de rede móvel, por exemplo, enquanto viaja para o estrangeiro. Falham quando o utilizador não tem conta nesse número, removeu a aplicação ou está offline até que o código expire.

É por isso que o estado de entrega é mais importante do que o canal. A Meta reporta mensagens enviadas, entregues e lidas para WhatsApp, e o Telegram publica o mesmo tipo de estado para o seu endereço de callback. Utilize esses sinais para decidir quando enviar o SMS, em vez de esperar que o utilizador peça um novo código.

Qual canal é o mais seguro?

Nenhum canal OTP é resistente a phishing: se um website falso persuadir um utilizador a digitar o código, o atacante poderá utilizá-lo. As diferenças residem na forma como um atacante pode intercetar o código.

• SMS e SIM swap. Um atacante que convença um operador a transferir o número da vítima para um novo cartão SIM recebe as mensagens de texto da vítima. O Internet Crime Complaint Center do FBI registou 1.611 queixas de SIM swap com perdas ajustadas superiores a 68 milhões de dólares em 2021 (FBI IC3). O National Institute of Standards and Technology dos EUA classifica o OTP através da rede móvel como um autenticador "restrito": os serviços podem ainda utilizá-lo, mas devem oferecer aos utilizadores uma alternativa que não seja restrita e explicar os riscos (NIST SP 800-63B-4).
• WhatsApp e Telegram. Os códigos viajam dentro da aplicação em vez de passarem pela rede móvel, pelo que um SIM swap isolado não expõe uma sessão existente. O risco desloca-se para a própria conta da aplicação: se um atacante registar ou assumir o controlo da conta WhatsApp ou Telegram do utilizador, os códigos irão para o atacante. Incentive os utilizadores a ativar a verificação em dois passos que ambas as aplicações oferecem.
• O preenchimento automático reduz o phishing em todos os canais. A API SMS Retriever do Android lê um código que contém o hash de 11 caracteres da sua aplicação, e os códigos vinculados ao domínio da Apple terminam com uma linha como "@example.com #123456", pelo que o código é sugerido apenas no seu website ou aplicação real (Google, Apple). Os botões de um toque e de zero toques do WhatsApp oferecem o mesmo benefício dentro da sua aplicação Android.

Para ações de alto valor, como a alteração de uma conta de pagamento, adicione uma verificação que não dependa apenas do código. O NIST sugere analisar sinais de risco, como uma alteração recente de SIM ou portabilidade de número, antes de enviar um código. Os nossos guias sobre fraude de SIM swap e normas de segurança OTP detalham estes controlos.

E quanto à fraude de SMS pumping?

O SMS pumping, também chamado de tráfego artificialmente inflacionado, ocorre quando bots preenchem o seu formulário de registo com números controlados por um fraudador, frequentemente em destinos dispendiosos. Cada código que envia garante ao fraudador uma parte da taxa de terminação. Os canais de aplicações alteram este cenário: as taxas de WhatsApp e Telegram são pagas a Meta e Telegram, pelo que esse modelo de pagamento não funciona aí, e o checkSendAbility da Telegram indica se um número é uma conta Telegram real antes de pagar pelo envio. No entanto, cada código enviado continua a ter um custo, pelo que um bot ainda pode aumentar a sua fatura. Mantenha os mesmos controlos em todos os canais: limites de taxa por número, por endereço IP e por país, um desafio de bot no formulário, validação de número com uma pesquisa HLR e alertas quando o tráfego para um país aumenta subitamente. O nosso guia de SMS pumping explica o ataque em detalhe.

Como construir um fallback que nunca pague duas vezes?

1. 1Escolha o primeiro canal por país. Comece pelo canal que a maioria dos seus utilizadores nesse país possui, com o menor custo por verificação concluída. Onde o WhatsApp custa mais do que um SMS local, comece com SMS.
2. 2Verifique antes de enviar. Para Telegram, chame checkSendAbility e passe o seu ID de pedido para o envio, para que a verificação e a mensagem partilhem um único custo. Para WhatsApp, as taxas da Meta incidem apenas sobre mensagens entregues, pelo que tentar WhatsApp primeiro não tem custo para utilizadores que não tenham uma conta WhatsApp.
3. 3Aguarde pelo estado de entrega, não por um temporizador fixo. Se o canal da aplicação não tiver reportado "entregue" dentro de uma janela curta definida por si, por exemplo, entre 10 a 20 segundos, envie o SMS.
4. 4Utilize um único código em todos os canais. Envie o mesmo código, com a mesma validade, através do canal de fallback, para que tanto uma mensagem WhatsApp ou Telegram tardia como o SMS funcionem, e o utilizador nunca fique confuso com dois códigos diferentes.
5. 5Interrompa o outro canal assim que o código for utilizado. O Telegram permite-lhe revogar uma mensagem que ainda não foi entregue, embora os códigos revogados não sejam reembolsados. Marque o código como utilizado no seu próprio sistema para que não possa ser introduzido duas vezes.
6. 6Ofereça voz como último passo. Para utilizadores que não conseguem receber mensagens de texto, uma chamada de voz OTP lê o código em voz alta.

Como é que MyOTP e BroadNet OTP se encaixam?

MyOTP.App é a API OTP de autosserviço do Grupo BroadNet. De acordo com o myotp.app, envia códigos através de SMS, WhatsApp e Telegram com uma única chave API e um saldo de créditos, podendo escolher o canal em cada pedido através de um único campo. Os códigos Telegram passam pela Telegram Gateway API e podem reverter automaticamente para SMS quando o utilizador não usar o Telegram. A página de preços da MyOTP lista um plano Starter a $20 por mês e um plano Business a $25 por mês, sendo que a verificação de um código é gratuita. Saiba mais na nossa página de produto MyOTP.

BroadNet OTP é o serviço empresarial para remetentes de alto volume. Envia SMS através de ligações diretas com o operador e adiciona redundância automática, validação de números e controlos de fraude, tais como limites de taxa por número e por endereço IP. Para códigos WhatsApp, a BroadNet é um Business Solution Provider oficial da Meta, e a nossa WhatsApp Business API gere os templates de autenticação e a sua aprovação.

Perguntas frequentes

O OTP WhatsApp é mais barato que o OTP SMS?

Frequentemente, mas não em todos os locais. A Meta cobra por cada mensagem de autenticação entregue a uma taxa definida para cada país, e os preços do SMS variam consoante o país e o operador. Compare as duas taxas para cada mercado e inclua o custo de enviar um SMS para utilizadores que não recebam a mensagem WhatsApp.

Quanto custa o OTP Telegram?

A Gateway API da Telegram custa 0,01 $ por código entregue, o mesmo em todos os países, pago através de créditos pré-pagos. Uma verificação de capacidade de envio é cobrada apenas quando o número consegue receber códigos, e o envio que se segue é gratuito. A documentação da Telegram indica que os códigos não entregues dentro do seu período de validade são reembolsados automaticamente.

A Gateway API da Telegram é oficial?

Sim. A Telegram publica e gere a própria Gateway API em core.telegram.org/gateway. Os códigos chegam dentro da aplicação Telegram, e pode tê-los assinados por um canal Telegram verificado que seja da sua propriedade, para que os utilizadores vejam a sua marca.

O SMS OTP ainda é permitido segundo as diretrizes do NIST?

Sim. O NIST SP 800-63B-4, publicado em julho de 2025, classifica o OTP através da rede telefónica como um autenticador restrito. Um serviço que o utilize deve oferecer pelo menos uma alternativa que não seja restrita, informar os utilizadores sobre os riscos e planear um futuro no qual este possa deixar de ser aceite.

O WhatsApp OTP pode preencher o código automaticamente?

Sim, no Android. O preenchimento automático com um toque transfere o código para a sua aplicação com apenas um toque, e os modelos de zero toque entregam o código na sua aplicação sem qualquer toque. No iPhone, a documentação da Meta indica que o iOS 26 e versões posteriores podem sugerir o código através do teclado; para versões anteriores do iOS, utilize o botão de copiar código.

O que acontece se o utilizador não tiver WhatsApp ou Telegram?

A mensagem não pode ser entregue, pelo que deve enviar o código por SMS em alternativa. A checkSendAbility da Telegram informa antecipadamente se o número pode receber um código, sem qualquer custo quando não o pode. Com o WhatsApp, uma mensagem não entregue não é cobrada, permitindo que mude para SMS assim que não for recebido um relatório de entrega.

Os OTP por WhatsApp e Telegram travam o SMS pumping?

Eles removem o pagamento da taxa de terminação que impulsiona o pumping em SMS, mas não o tornam imune. Os bots ainda podem solicitar códigos para contas reais e aumentar a sua fatura, e o seu fallback de SMS ainda pode ser alvo de ataques. Mantenha limites de taxa, desafios de bot e alertas de país em todos os canais.

Qual canal de OTP deve um banco utilizar?

Os bancos geralmente necessitam do maior alcance possível e de um registo de auditoria claro, pelo que o SMS através de rotas diretas de operadoras permanece como o canal base, sendo o WhatsApp uma opção onde os clientes a prefiram. Consulte primeiro as regras do seu banco central: alguns reguladores exigem fatores adicionais para pagamentos, e o nosso guia sobre as regras de OTP para bancos abrange vários mercados.

Fontes

• Telegram, visão geral de Gateway API, referência de API e termos de serviço, consultados a 23 de outubro de 2026.
• Meta para Programadores, modelos de Autenticação, Preços e tarifas de Autenticação-internacional, consultados a 23 de outubro de 2026.
• NIST, SP 800-63B-4, Diretrizes de Identidade Digital: Autenticação e Gestão de Autenticadores, julho de 2025.
• FBI Internet Crime Complaint Center, Comunicado de Serviço Público sobre SIM swapping, 8 de fevereiro de 2022.
• Google, SMS Retriever API: construir uma mensagem de verificação; Apple, Ativar o AutoFill para códigos SMS associados ao domínio, consultados a 23 de outubro de 2026.
• MyOTP.App, página principal, preços e Telegram OTP, consultados a 23 de outubro de 2026.

Quer reduzir os custos de verificação sem perder o alcance? Fale com a BroadNet sobre OTP através de SMS e WhatsApp com fallback automático, ou comece em MyOTP.App para enviar as suas primeiras palavras-passe de utilização única através de SMS, WhatsApp e Telegram hoje mesmo.