Segurança da conta business no WhatsApp: PIN, acessos e golpes

Atualizado em 25/10/2026

Proteger uma conta business na API do WhatsApp envolve quatro camadas: o PIN de verificação em duas etapas do número, a autenticação de dois fatores e as permissões de quem acessa o portfólio empresarial na Meta, os tokens e webhooks do seu sistema e a atenção a golpes de falso suporte. A maior parte dos incidentes não vem de falha técnica da Meta, mas de credencial vazada, acesso esquecido de ex-funcionário ou alguém que clicou num link de “Meta Support”. Este guia mostra o que configurar em cada camada.

As camadas que precisam de proteção

Camada	O que um invasor consegue	Proteção principal
Número de telefone	Registrar o número em outro lugar e receber suas mensagens	PIN de verificação em duas etapas
Portfólio empresarial na Meta	Adicionar pessoas, trocar forma de pagamento, mexer em templates e números	2FA obrigatória, poucos administradores, revisão de acessos
Tokens de API	Enviar mensagens em nome da empresa e ler dados	Token com escopo mínimo, guardado em cofre, revogável
Webhook	Injetar eventos falsos no seu sistema	Validação de assinatura, HTTPS, URL não óbvia
Painel de atendimento	Ler conversas de clientes	Login individual, permissões por fila, desligamento rápido
Celular (na coexistência)	Responder como a empresa pelo app	Verificação em duas etapas no app, revisão de aparelhos conectados

PIN de verificação em duas etapas do número

Todo número na Cloud API tem, ou pode ter, um PIN de seis dígitos. Segundo a documentação de verificação em duas etapas, ele passa a ser exigido para registrar o número. Na prática, é o que impede alguém que conseguiu o código de verificação por SMS de registrar o seu número em outra conta ou outro provedor.

Para definir ou trocar o PIN pela API:

curl -X POST "https://graph.facebook.com/v26.0/PHONE_NUMBER_ID" \
  -H "Authorization: Bearer $TOKEN_META" \
  -H "Content-Type: application/json" \
  -d '{ "pin": "583920" }'

A resposta de sucesso é {"success": true}. Pontos importantes da documentação:

• Não há endpoint para desativar a verificação em duas etapas.
• Esqueceu o PIN? Dá para redefinir no WhatsApp Manager, nas configurações do número, aba de verificação em duas etapas, opção de alterar o PIN.
• O PIN está sendo descontinuado para números elegíveis da Cloud API, com liberação gradual. Nos números já elegíveis, a aba de verificação em duas etapas some do WhatsApp Manager. Enquanto a aba aparecer, o PIN vale para o seu número.

Boas práticas para o PIN:

• Nada de 123456, data de fundação ou final do CNPJ.
• Guarde num gerenciador de senhas da empresa, não na planilha do time.
• Troque quando alguém que conhecia o PIN sair da empresa ou do fornecedor.
• O PIN só é pedido no registro. Se um fornecedor pede o PIN fora de uma migração que você iniciou, desconfie.

Quem vai liberar um número que já está no WhatsApp precisa do PIN no momento do registro. Para trocar de provedor, hoje você compartilha a conta do WhatsApp com o novo parceiro, sem migrar o número; ainda assim, deixe o PIN documentado antes, caso ele seja pedido.

Quer testar enquanto lê? Crie sua conta na Vectalk e envie a primeira mensagem pela API oficial. Criar conta grátis →

Portfólio empresarial: quem tem acesso a quê

O portfólio empresarial (antigo Business Manager) é a chave de tudo: números, templates, forma de pagamento, verificação da empresa. A Central de Ajuda da Meta para Empresas diz que a autenticação de dois fatores já é obrigatória em portfólios com 90 dias ou mais e recomenda exigi-la de todas as pessoas com acesso. Ela fica na Central de Segurança, dentro das configurações do negócio.

O que configurar:

1. Exija 2FA de todos, não só dos administradores. Prefira aplicativo autenticador ou chave de acesso a SMS.
2. Mais de um administrador, poucos administradores. A Meta recomenda ter mais de uma pessoa com controle total, para o portfólio não ficar órfão se alguém sair. Mas cada administrador a mais é mais uma porta.
3. Acesso parcial para o dia a dia. Quem só cria templates ou acompanha números não precisa de controle total.
4. Usuário do sistema para integrações. Tokens de integração devem ser de um usuário do sistema, não da conta pessoal de um desenvolvedor. Veja token permanente com usuário do sistema.
5. Revisão periódica. Uma vez por trimestre, liste pessoas, parceiros e usuários do sistema e remova o que não tem dono.
6. Desligamento no mesmo dia. Quem sai da empresa perde o acesso ao portfólio, ao painel de atendimento e aos cofres de senha no último dia de trabalho.

A verificação da empresa também ajuda: ela confirma a identidade do negócio e dificulta que alguém se passe pela sua marca.

Tokens e webhooks

Na API oficial do WhatsApp, quem tem o token envia mensagens como a sua empresa. Trate-o como senha de banco:

• Variável de ambiente ou cofre de segredos, nunca no código ou no repositório.
• Escopo mínimo. Um token por integração, limitado ao número que ela usa.
• Revogação rápida. Saiba onde revogar e teste o procedimento antes de precisar.
• Rotação. Troque quando alguém com acesso sair ou quando houver suspeita.

No webhook, o risco é alguém enviar eventos falsos para a sua URL. Se você recebe webhooks direto da Meta, valide o cabeçalho X-Hub-Signature-256: a Meta assina o payload com SHA-256 usando o segredo do app, segundo a documentação de webhooks da Graph API.

import crypto from 'node:crypto';

export function assinaturaValida(corpoBruto, cabecalho, appSecret) {
  const esperado = 'sha256=' + crypto.createHmac('sha256', appSecret).update(corpoBruto).digest('hex');
  const a = Buffer.from(esperado);
  const b = Buffer.from(cabecalho || '');
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

Use o corpo bruto da requisição, antes de qualquer JSON.parse, ou a assinatura não vai bater. Além disso: só HTTPS, URL com um segmento aleatório difícil de adivinhar e nenhuma ação sensível (como reembolso) disparada apenas por um evento sem conferência.

Golpes mais comuns contra contas business

Os golpes mudam de roupa, mas seguem poucos roteiros:

Golpe	Como chega	O que fazer
Falso suporte da Meta	Mensagem ou e-mail dizendo que a conta será desativada, com link para “recorrer”	Não clicar. Conferir a conta acessando a Meta diretamente, digitando o endereço no navegador
Pedido de parceria malicioso	Convite de parceiro no portfólio com link de phishing, vindo de domínio legítimo da Meta	Não clicar em links de convites de quem você não conhece
Pedido do código de verificação	“Te mandei um código por engano, pode me passar?”	Nunca repassar código de SMS ou ligação. Com código e sem PIN, o número pode ser roubado
Oferta de selo verde	“Garantimos o selo verde em 48 horas, só precisamos do acesso”	Selo é concedido pela Meta. Veja selo verde e conta oficial
Falso fornecedor	“Atualize seu token/PIN neste formulário”	Seu fornecedor de API não precisa do PIN fora de uma migração que você pediu

Dois pontos da Meta valem como regra de bolso. Primeiro, a Meta orienta a não responder mensagens que pedem senha ou dados de cartão de crédito. Segundo, a Meta alerta para convites de parceria no portfólio com links de phishing que chegam de facebookmail.com, um domínio legítimo; ou seja, conferir o remetente não basta. E-mails suspeitos podem ser denunciados para phish@fb.com.

Se a conta já foi comprometida

1. Troque senhas e ative 2FA de quem tem acesso ao portfólio; remova sessões e aparelhos desconhecidos.
2. Revise pessoas, parceiros e usuários do sistema no portfólio e remova o que não reconhece.
3. Revogue todos os tokens de API e gere novos.
4. Troque o PIN do número no WhatsApp Manager.
5. Confira templates, números e forma de pagamento em busca de alterações.
6. Avalie o impacto nos dados dos clientes. Se houver risco relevante aos titulares, a LGPD exige comunicação à ANPD e aos afetados. Veja LGPD e WhatsApp.

Se o número ficou restrito por envios feitos pelo invasor, o artigo sobre número bloqueado na API do WhatsApp mostra como recorrer.

Coexistência: o celular também é porta de entrada

Com a coexistência, o número fica no app WhatsApp Business e na API ao mesmo tempo. Quem estiver com o celular responde como a empresa. Ative a verificação em duas etapas no próprio app, revise os aparelhos conectados com frequência e defina quem pode usar o celular. No painel de atendimento, mantenha login individual e permissões por fila, como em multiatendimento com a API.

Como fazer isso com a Vectalk

Na Vectalk, a integração usa tokens da própria Vectalk, e as credenciais da Meta não ficam expostas na sua aplicação. Segundo a documentação de tokens, cada token é armazenado como hash, vale até ser revogado e pode ser de organização ou de instância; prefira o de instância para limitar o escopo. Liste e revogue tokens em Configurações → API Tokens ou pela API (GET e DELETE em /api/auth/api-tokens). O registro de número aceita o PIN em POST /api/phone-numbers/register. Para começar, crie sua conta em apps.vectalk.com.br/register; dúvidas de conta, na Central de Ajuda.

Perguntas frequentes

O PIN da API é o mesmo da verificação em duas etapas do app?

São parecidos na função: os dois protegem o registro do número. O PIN da Cloud API é definido pela API ou pelo WhatsApp Manager e é pedido quando o número é registrado na plataforma.

Posso desativar o PIN do número na API?

A documentação da Meta informa que não há endpoint para desativar a verificação em duas etapas. Dá para trocar o PIN pela API ou redefinir no WhatsApp Manager. Para números elegíveis, a Meta está descontinuando o PIN de forma gradual.

Quantos administradores o portfólio deve ter?

A Meta recomenda mais de uma pessoa com controle total, para o portfólio não ficar sem dono. Fora isso, quanto menos, melhor: use acesso parcial para quem só opera.

Recebi uma mensagem da “Meta” dizendo que minha conta será desativada. É real?

Trate como suspeita. Não clique no link; acesse a Meta digitando o endereço no navegador e confira a conta por lá. A Meta orienta a não responder mensagens que pedem senha ou dados de cartão.

O que faço se um token vazar?

Revogue na hora, gere outro, atualize a integração e confira o histórico de mensagens enviadas no período para entender o que foi feito com ele.

---

Fontes oficiais consultadas em 25/10/2026: Verificação em duas etapas do número, Central de Segurança do portfólio empresarial, Exigir autenticação de dois fatores no portfólio, Evitar golpes e phishing (Meta), Como saber se um e-mail é mesmo da Meta, Webhooks da Graph API: validação de payload, Docs da Vectalk: API Tokens, Docs da Vectalk: registrar número.