Краткий ответ: сначала используйте каналы приложений, а SMS держите в качестве резервного варианта. Одноразовый пароль Telegram стоит 0,01 $ за доставленное сообщение через официальный Gateway API компании Telegram. За сообщение для WhatsApp-аутентификации плата взимается только в момент доставки по тарифу Meta для страны пользователя. SMS охватывает каждый мобильный номер, независимо от наличия приложения, поэтому этот метод является резервным способом завершить регистрацию, если два других не сработали. Ни один из трех методов не защищен от фишинга, поэтому требования к безопасности одинаковы для всех: ограничение частоты запросов, короткий срок действия кодов и проверка номеров. BroadNet OTP и наш родственный бренд MyOTP.App отправляют коды через эти каналы из единого API.
Данные проверены 23 октября 2026 года в документации по шлюзу и условиях использования Telegram, документации по ценам и шаблонам аутентификации WhatsApp от Meta, NIST SP 800-63B-4, в Центре жалоб на интернет-преступления FBI, документации для разработчиков Google и Apple, а также на myotp.app. Цены и правила могут меняться, поэтому проверяйте информацию в первоисточнике перед подписанием договора.
| Вопрос | SMS OTP | WhatsApp OTP | Telegram OTP |
|---|---|---|---|
| Способ получения кода | В виде текстового сообщения от мобильной сети | Как шаблон аутентификации в приложении WhatsApp | Как сообщение в приложении Telegram, которое можно подписать через ваш верифицированный канал Telegram |
| Нужно ли пользователю приложение? | Нет, подойдет любой мобильный телефон | Да, необходима учетная запись WhatsApp, привязанная к этому номеру | Да, необходима учетная запись Telegram, привязанная к этому номеру |
| Порядок тарификации | За каждое сообщение, отправленное в сеть, по тарифу соответствующей страны и оператора | За каждое доставленное сообщение по тарифу Meta на аутентификацию для страны пользователя | 0,01 $ за каждый доставленный код, одинаковая ставка для всех стран |
| Автозаполнение кода | Android SMS Retriever API; автозаполнение одноразового пароля в iOS и веб-интерфейсах | Копирование кода, автозаполнение в одно касание и кнопки без касания | Пользователь считывает или копирует код в Telegram |
| Срок действия кода, который вы можете установить | Устанавливается вашей системой | от 1 до 90 минут | от 30 до 3 600 секунд |
| Основной риск мошенничества | SMS pumping и подмена SIM-карты | Захват аккаунта WhatsApp | Захват аккаунта Telegram |
Как работает каждый канал OTP?
Все три канала обеспечивают одно и то же: короткий проверочный код, который подтверждает, что пользователь контролирует номер телефона. Различается только путь доставки. SMS OTP передается с вашей платформы мобильному оператору пользователя и поступает в приложение для сообщений на телефоне. Для этого не требуется интернет-соединение, приложение или аккаунт, именно поэтому этот канал по-прежнему имеет самый широкий охват. WhatsApp OTP — это сообщение, отправленное через платформу WhatsApp Business с использованием утвержденного шаблона в категории аутентификации Meta. Telegram OTP отправляется через Gateway API платформы Telegram и поступает в приложение Telegram на аккаунте, зарегистрированном на этот номер телефона.
Шаблоны аутентификации WhatsApp
Meta допускает использование только фиксированных формулировок в шаблонах аутентификации: код, необязательная строка безопасности («В целях безопасности не передавайте этот код») и необязательное уведомление об истечении срока действия. Вы не можете добавлять маркетинговый текст. Каждый шаблон содержит одну из трех кнопок. Кнопка «копировать код» копирует код в буфер обмена. Кнопка автозаполнения в одно касание передает код напрямую в ваше приложение Android, и Meta называет это «предпочтительным решением». Шаблон с нулевым касанием (zero-tap), доступный только в Android, позволяет вашему приложению получать код без выхода пользователя из приложения. Срок действия кода можно установить от 1 до 90 минут (Meta, шаблоны аутентификации).
Gateway API от Telegram
Gateway API от Telegram — это официальный способ отправки кодов подтверждения пользователям Telegram. Вы вызываете sendVerificationMessage, указывая номер телефона пользователя, и Telegram либо генерирует код из 4–8 цифр, либо отправляет предоставленный вами. Код действителен от 30 до 3600 секунд. Отчеты о доставке (отправлено, доставлено, прочитано, истекло или отозвано) передаются на указанный вами адрес обратного вызова (callback) HTTPS. Вы также можете подписывать сообщения через верифицированный канал Telegram, принадлежащий вам, чтобы пользователи видели ваш бренд. Перед отправкой checkSendAbility проверяет, может ли данный номер в принципе принимать коды. Успешная проверка тарифицируется как одно сообщение, а последующая отправка после нее становится бесплатной. Неудачная проверка не стоит ничего (Telegram, справочник Gateway API).
Сколько стоит каждый канал?
Оплата за три канала производится по-разному, поэтому сравнивайте стоимость одной завершенной верификации, а не цену за одно сообщение.
- Telegram: На странице продукта Telegram указана цена 0,01 $ за доставленный код с автоматическим возвратом средств за коды, которые не были доставлены в течение установленного вами срока. Вы платите с помощью предоплаченных кредитов, а Telegram сообщает, что принимает оплату в TON. Согласно условиям, покупка кредитов является окончательной, равно как и списание средств при отправке сообщения, поэтому ознакомьтесь с обеими страницами перед планированием бюджета (Telegram, Условия использования шлюза).
- WhatsApp: С 1 июля 2025 года Meta взимает плату за каждое доставленное сообщение. Тариф зависит от категории шаблона и международного телефонного кода номера пользователя, а при увеличении ежемесячного объема трафика стоимость аутентификации снижается. Сбор за сервисные сообщения, введенный Meta 1 октября 2026 года, не распространяется на шаблоны аутентификации (Meta, ценообразование).
- WhatsApp для отправителей из-за рубежа: если ваш бизнес находится в другой стране, отличной от страны пользователя, и отправляет более 750 000 сообщений пользователям на этом рынке вне окна обслуживания в течение скользящего 30-дневного периода, Meta применяет повышенный международный тариф на аутентификацию. С 1 октября 2026 года это правило распространяется на 18 рынков, включая Саудовскую Аравию, ОАЭ, Египет, Ирак, Кувейт и Оман (Meta, международные тарифы на аутентификацию).
- SMS: вы платите за каждое сообщение, переданное в сеть, по тарифу страны назначения и оператора. Цены существенно различаются в зависимости от страны, поэтому ознакомьтесь со страницей цен на OTP и страновыми тарифами SMS для рынков, которые вы обслуживаете.
Приведенный ниже пример является гипотетическим. В нем используются округленные цены, чтобы показать принцип расчета, а не реальные тарифы для какой-либо страны: SMS по 0,040 $ за сообщение, WhatsApp по 0,0135 $ за доставленное сообщение (списочный тариф WhatsApp BroadNet) и Telegram по 0,01 $ за доставленный код. Каждая стратегия предполагает отправку 1 000 кодов, а любому пользователю, которого не удается достичь через приложение, вместо этого отправляется SMS.
| Стратегия (гипотетическая) | Коды, отправленные через канал приложения | Коды, отправленные через SMS | Общая стоимость для 1 000 пользователей |
|---|---|---|---|
| Только SMS | 0 | 1 000 × 0,040 $ = 40,00 $ | 40,00 $ |
| сначала WhatsApp, 60% доставлено на WhatsApp | 600 × 0,0135 $ = 8,10 $ | 400 × 0,040 $ = 16,00 $ | 24,10 $ |
| сначала Telegram, 50% номеров доступны на Telegram | 500 × 0,01 $ = 5,00 $ | 500 × 0,040 $ = 20,00 $ | 25,00 $ |
На реальный результат влияют два фактора: доля Ваших пользователей, доступных в каждом приложении в каждой стране, и то, насколько быстро Вы переходите на SMS. Наше руководство по стоимости OTP через WhatsApp и SMS содержит формулу точки безубыточности для каждой страны, а калькулятор стоимости OTP позволяет произвести расчеты на основе Ваших объемов.
Какой канал обеспечивает более надежную доставку?
SMS охватывает больше всего людей, так как требуется только активный номер мобильного телефона, но доставка зависит от маршрута. Коды, отправленные через прямые соединения с оператором с зарегистрированным именем отправителя, приходят быстро и возвращают отчет о доставке; коды через серые маршруты могут быть отфильтрованы без предупреждения. WhatsApp и Telegram осуществляют доставку через интернет, поэтому они также работают через Wi-Fi, например, когда у пользователя нет мобильного сигнала во время поездок за границу. Они не сработают, если у пользователя нет аккаунта на этом номере, если он удалил приложение или находится в офлайн-режиме до истечения срока действия кода.
Именно поэтому статус доставки важнее, чем сам канал. Meta сообщает о статусах «отправлено», «доставлено» и «прочитано» для сообщений WhatsApp, а Telegram передает аналогичные статусы на Ваш адрес callback. Используйте эти сигналы, чтобы решить, когда отправлять SMS, вместо того чтобы ждать, пока пользователь запросит новый код.
Какой канал является наиболее безопасным?
Ни один канал OTP не обладает устойчивостью к фишингу: если поддельный веб-сайт убедит пользователя ввести код, злоумышленник сможет его использовать. Различия заключаются в том, как именно злоумышленник может перехватить код.
- SMS и подмена SIM-карты. Злоумышленник, который убеждает оператора перенести номер жертвы на новую SIM карту, получает доступ к текстовым сообщениям жертвы. Центр жалоб на интернет-преступления FBI зафиксировал 1 611 жалоб на подмену SIM с совокупным ущербом более 68 млн долларов в 2021 году (FBI IC3). Национальный институт стандартов и технологий США классифицирует OTP через телефонную сеть как «ограниченный» аутентификатор: сервисы все еще могут использовать его, но обязаны предлагать пользователям альтернативу, которая не является ограниченной, и разъяснять риски (NIST SP 800-63B-4).
- WhatsApp и Telegram. Коды передаются внутри приложения, а не через мобильную сеть, поэтому одна лишь подмена SIM не раскрывает существующую сессию. Риск переходит на сам аккаунт приложения: если злоумышленник зарегистрирует или захватит аккаунт пользователя в WhatsApp или Telegram, коды будут приходить злоумышленнику. Рекомендуйте пользователям включать двухэтапную проверку, которую предлагают оба приложения.
- Автозаполнение снижает риск фишинга на всех каналах. Функция SMS Retriever API в Android считывает код, содержащий 11-символьный хеш Вашего приложения, а коды Apple с привязкой к домену заканчиваются строкой вида «@example.com #123456», поэтому код предлагается только на Вашем реальном веб-сайте или в приложении (Google, Apple). Кнопки в одно касание и без касания в WhatsApp дают тот же эффект внутри Вашего приложения Android.
Для критически важных действий, таких как изменение реквизитов для выплат, добавьте проверку, которая не зависит только от кода. NIST рекомендует анализировать сигналы риска, такие как недавнее изменение SIM или перенос номера, прежде чем отправлять код. Наши руководства по мошенничеству с подменой SIM и стандартам безопасности OTP подробно описывают эти меры контроля.
Как насчет мошенничества с SMS pumping?
SMS pumping, также называемый искусственным завышением трафика, происходит, когда боты заполняют вашу форму регистрации номерами, которые контролируются мошенником, часто в дорогих направлениях. За каждый отправленный вами код мошенник получает долю от платы за терминацию. Каналы приложений меняют эту картину: сборы за WhatsApp и Telegram выплачиваются Meta и Telegram, поэтому такая модель выплат там не работает, а checkSendAbility от Telegram показывает, является ли номер реальным Telegram аккаунтом, прежде чем вы оплатите отправку. Однако каждый отправленный код все равно стоит денег, поэтому бот все еще может увеличить ваш счет. Используйте одинаковые меры контроля для всех каналов: ограничение частоты запросов (rate limits) на номер, на IP-адрес и на страну, проверку на бота в форме, валидацию номера с помощью поиска HLR и оповещения при резком скачке трафика в одну страну. Наше руководство по SMS pumping подробно объясняет этот тип атаки.
Как настроить резервный канал (fallback) так, чтобы не платить дважды?
- Выбирайте первый канал для каждой страны. Начинайте с канала, который есть у большинства ваших пользователей в этой стране, при минимальной стоимости за завершенную верификацию. Если WhatsApp стоит дороже, чем местный SMS, начинайте с SMS.
- Проверяйте перед отправкой. Для Telegram вызовите checkSendAbility и передайте его request ID в запрос на отправку, чтобы проверка и сообщение стоили одну комиссию за оба действия. Для WhatsApp Meta взимает плату только за доставленные сообщения, поэтому попытка использовать WhatsApp в первую очередь ничего не стоит для пользователей, у которых нет аккаунта WhatsApp.
- Ориентируйтесь на статус доставки, а не на фиксированный таймер. Если канал приложения не сообщил о статусе «доставлено» в течение установленного вами короткого окна (например, от 10 до 20 секунд), отправляйте SMS.
- Используйте один код для всех каналов. Отправляйте тот же самый код с тем же сроком действия через резервный канал, чтобы и запоздалое сообщение WhatsApp или Telegram, и SMS работали корректно, и пользователь не путался в двух разных кодах.
- Отключайте другой канал, как только код будет использован. Telegram позволяет отозвать сообщение, которое еще не было доставлено, хотя за отозванные коды возврат средств не производится. Отмечайте код как использованный в вашей собственной системе, чтобы его нельзя было ввести дважды.
- Предлагайте голос в качестве последнего шага. Для пользователей, которые не могут получать текстовые сообщения, голосовой звонок с OTP зачитает код вслух.
Как соотносятся MyOTP и BroadNet OTP?
MyOTP.App — это сервис самообслуживания OTP API от группы BroadNet. Согласно myotp.app, он отправляет коды через SMS, WhatsApp и Telegram с использованием одного API ключа и единого кредитного баланса, при этом вы выбираете канал для каждого запроса с помощью одного поля. Telegram коды проходят через Telegram Gateway API и могут автоматически переключаться на SMS, если пользователь не пользуется Telegram. На странице с тарифами MyOTP указан план Starter за $20 в месяц и план Business за $25 в месяц, а проверка кода бесплатна. Подробнее на нашей странице продукта MyOTP.
BroadNet OTP — это корпоративный сервис для отправителей с большим объемом трафика. Он отправляет SMS через прямые соединения с операторами и включает автоматический fallback, валидацию номеров и средства защиты от мошенничества, такие как ограничение частоты запросов на номер и на IP-адрес. Для WhatsApp кодов BroadNet является официальным Meta Business Solution Provider, а наш WhatsApp Business API управляет шаблонами аутентификации и их одобрением.
Часто задаваемые вопросы
Является ли WhatsApp OTP дешевле, чем SMS OTP?
Часто, но не везде. Meta взимает плату за каждое доставленное сообщение аутентификации по тарифу, установленному для каждой страны, а цены SMS варьируются в зависимости от страны и оператора. Сравните эти два тарифа для каждого рынка, а затем учтите стоимость отправки SMS пользователям, которые не получают сообщение WhatsApp.
Сколько стоит Telegram OTP?
Gateway API от Telegram стоит 0,01 $ за доставленный код во всех странах, оплата производится с предоплаченных кредитов. Проверка возможности отправки тарифицируется только в том случае, если номер может принимать коды, а последующая отправка после этого становится бесплатной. В документации Telegram указано, что коды, не доставленные в течение срока их действия, возвращаются автоматически.
Является ли Gateway API от Telegram официальным?
Да. Telegram публикует и управляет самой Gateway API на core.telegram.org/gateway. Коды приходят внутри приложения Telegram, и вы можете получить их подпись от верифицированного Telegram канала, которым вы владеете, чтобы пользователи видели ваш бренд.
Разрешено ли использование SMS OTP в соответствии с правилами NIST?
Да. Согласно правилам NIST SP 800-63B-4, опубликованным в июле 2025 года, OTP через телефонную сеть классифицируется как ограниченный метод аутентификации. Сервис, использующий этот метод, должен предлагать как минимум одну альтернативу, не имеющую ограничений, информировать пользователей о рисках и заранее планировать ситуацию, когда этот метод может перестать считаться приемлемым.
Может ли WhatsApp OTP заполнять код автоматически?
Да, на Android. Функция заполнения в одно касание передает код в ваше приложение одним нажатием, а шаблоны с нулевым касанием доставляют его в приложение вообще без нажатий. Согласно документации Meta, в iOS 26 и более поздних версиях клавиатура может предлагать код; для более ранних версий iOS используйте кнопку копирования кода.
Что произойдет, если у пользователя нет WhatsApp или Telegram?
Сообщение не может быть доставлено, поэтому вместо этого отправьте код через SMS. checkSendAbility от Telegram заранее сообщает, может ли номер принимать код, а если номер не может принять код, проверка бесплатна. При использовании WhatsApp за недоставленное сообщение плата не взимается, поэтому вы можете переключиться на SMS сразу после того, как не придет отчет о доставке.
Защищают ли OTP через WhatsApp и Telegram от SMS pumping?
Они устраняют выплаты за терминацию, которые стимулируют SMS pumping, но это не делает вас полностью защищенными. Боты все еще могут запрашивать коды для реальных аккаунтов и увеличивать ваши расходы, а ваш резервный канал SMS также может стать целью. Всегда используйте ограничения частоты запросов (rate limits), проверку на ботов и оповещения по странам для каждого канала.
Какой канал OTP следует использовать банку?
Банкам обычно требуется максимально широкий охват и четкий аудиторский след, поэтому основным каналом остаются SMS через прямые маршруты операторов, а WhatsApp предлагается как опция там, где это предпочитают клиенты. Сначала ознакомьтесь с правилами вашего центрального банка: некоторые регуляторы требуют дополнительные факторы для платежей, и наше руководство по правилам OTP для банков охватывает несколько рынков.
Источники
- Telegram, обзор Gateway API, справочные материалы API и условия обслуживания, дата обращения: 23 октября 2026 г.
- Meta для разработчиков, шаблоны аутентификации, тарифы и международные тарифы на аутентификацию, дата обращения: 23 октября 2026 г.
- NIST, SP 800-63B-4, Руководство по цифровой идентификации: аутентификация и управление аутентификаторами, июль 2025 г.
- Центр жалоб на интернет-преступления FBI, публичное уведомление о SIM swapping, 8 февраля 2022 г.
- Google, SMS Retriever API: создание проверочного сообщения; Apple, включение функции AutoFill для SMS кодов, привязанных к домену, дата обращения: 23 октября 2026 г.
- MyOTP.App, главная страница, тарифы и Telegram OTP, дата обращения: 23 октября 2026 г.
Хотите снизить затраты на верификацию без потери охвата? Свяжитесь с BroadNet, чтобы узнать о OTP через SMS и WhatsApp с автоматическим переключением, или начните работу на MyOTP.App, чтобы отправить свои первые коды через SMS, WhatsApp и Telegram уже сегодня.