Actualizado el 25/10/2026
Proteger una cuenta business en la API de WhatsApp implica cuatro capas: el PIN de verificación en dos pasos del número, la autenticación en dos pasos y los permisos de quienes acceden al portafolio comercial de Meta, los tokens y webhooks de tu sistema y la atención a las estafas de falso soporte. La mayoría de los incidentes no viene de una falla técnica de Meta, sino de una credencial filtrada, el acceso olvidado de un exempleado o alguien que hizo clic en un enlace de «Meta Support». Esta guía muestra qué configurar en cada capa.
Las capas que necesitan protección
| Capa | Qué puede hacer un atacante | Protección principal |
|---|---|---|
| Número de teléfono | Registrar el número en otro lugar y recibir tus mensajes | PIN de verificación en dos pasos |
| Portafolio comercial de Meta | Agregar personas, cambiar el medio de pago, tocar plantillas y números | 2FA obligatoria, pocos administradores, revisión de accesos |
| Tokens de API | Enviar mensajes en nombre de la empresa y leer datos | Token con alcance mínimo, guardado en una bóveda, revocable |
| Webhook | Inyectar eventos falsos en tu sistema | Validación de firma, HTTPS, URL no obvia |
| Panel de atención | Leer conversaciones de clientes | Inicio de sesión individual, permisos por cola, baja rápida |
| Teléfono (con coexistencia) | Responder como la empresa desde la app | Verificación en dos pasos en la app, revisión de dispositivos vinculados |
PIN de verificación en dos pasos del número
Todo número en la Cloud API tiene, o puede tener, un PIN de seis dígitos. Según la documentación de verificación en dos pasos, pasa a ser obligatorio para registrar el número. En la práctica, es lo que impide que alguien que consiguió el código de verificación por SMS registre tu número en otra cuenta u otro proveedor.
Para definir o cambiar el PIN por la API:
curl -X POST "https://graph.facebook.com/v26.0/PHONE_NUMBER_ID" \
-H "Authorization: Bearer $TOKEN_META" \
-H "Content-Type: application/json" \
-d '{ "pin": "583920" }'La respuesta exitosa es {"success": true}. Puntos importantes de la documentación:
- No hay endpoint para desactivar la verificación en dos pasos.
- ¿Olvidaste el PIN? Puedes restablecerlo en el WhatsApp Manager, en la configuración del número, pestaña de verificación en dos pasos, opción de cambiar el PIN.
- El PIN se está retirando para los números elegibles de la Cloud API, con un despliegue gradual. En los números ya elegibles, la pestaña de verificación en dos pasos deja de aparecer en el WhatsApp Manager. Mientras la pestaña aparezca, el PIN aplica a tu número.
Buenas prácticas para el PIN:
- Nada de
123456, fechas de fundación ni los últimos dígitos del registro fiscal. - Guárdalo en el gestor de contraseñas de la empresa, no en la planilla del equipo.
- Cámbialo cuando alguien que lo conocía deje la empresa o el proveedor.
- El PIN solo se pide en el registro. Si un proveedor lo solicita fuera de una migración que tú iniciaste, desconfía.
Si vas a liberar un número que ya está en WhatsApp, necesitarás el PIN al momento del registro. Para cambiar de proveedor, ahora compartes la cuenta de WhatsApp con el nuevo socio, sin migrar el número; aun así, deja el PIN documentado antes, por si te lo piden.
Portafolio comercial: quién accede a qué
El portafolio comercial (antes Business Manager) es la llave de todo: números, plantillas, medio de pago, verificación de la empresa. El Servicio de ayuda para empresas de Meta indica que la autenticación en dos pasos ya es obligatoria en portafolios con 90 días o más y recomienda exigirla a todas las personas con acceso. Está en el Centro de seguridad, dentro de la configuración del negocio.
Qué configurar:
- Exige 2FA a todos, no solo a los administradores. Prefiere una app de autenticación o una llave de acceso antes que el SMS.
- Más de un administrador, pero pocos. Meta recomienda tener más de una persona con control total, para que el portafolio no quede huérfano si alguien se va. Pero cada administrador extra es otra puerta.
- Acceso parcial para el día a día. Quien solo crea plantillas o monitorea números no necesita control total.
- Usuario del sistema para integraciones. Los tokens de integración deben pertenecer a un usuario del sistema, no a la cuenta personal de un desarrollador. Consulta token permanente con usuario del sistema.
- Revisión periódica. Una vez por trimestre, lista personas, socios y usuarios del sistema y elimina lo que no tenga dueño.
- Baja el mismo día. Quien deja la empresa pierde el acceso al portafolio, al panel de atención y a las bóvedas de contraseñas en su último día.
Tokens y webhooks
En la API oficial de WhatsApp, quien tiene el token envía mensajes como tu empresa. Trátalo como una contraseña bancaria:
- Variable de entorno o bóveda de secretos, nunca en el código ni en el repositorio.
- Alcance mínimo. Un token por integración, limitado al número que usa.
- Revocación rápida. Ten claro dónde revocarlo y prueba el procedimiento antes de necesitarlo.
- Rotación. Cámbialo cuando alguien con acceso se vaya o ante cualquier sospecha.
En el webhook, el riesgo es que alguien envíe eventos falsos a tu URL. Si recibes los webhooks directamente de Meta, valida el encabezado X-Hub-Signature-256: Meta firma el payload con SHA-256 usando el secreto de la app, según la documentación de webhooks de la Graph API.
import crypto from 'node:crypto';
export function firmaValida(cuerpoCrudo, encabezado, appSecret) {
const esperado = 'sha256=' + crypto.createHmac('sha256', appSecret).update(cuerpoCrudo).digest('hex');
const a = Buffer.from(esperado);
const b = Buffer.from(encabezado || '');
return a.length === b.length && crypto.timingSafeEqual(a, b);
}Usa el cuerpo crudo de la solicitud, antes de cualquier JSON.parse, o la firma no coincidirá. Además: solo HTTPS, una URL con un segmento aleatorio difícil de adivinar y ninguna acción sensible (como un reembolso) disparada solo por un evento sin verificación.
Las estafas más comunes contra cuentas business
Las estafas cambian de disfraz, pero siguen pocos guiones:
| Estafa | Cómo llega | Qué hacer |
|---|---|---|
| Falso soporte de Meta | Mensaje o correo que dice que la cuenta será desactivada, con un enlace para «apelar» | No hacer clic. Revisar la cuenta entrando a Meta directamente, escribiendo la dirección en el navegador |
| Solicitud de socio maliciosa | Invitación de socio al portafolio con un enlace de phishing, enviada desde un dominio legítimo de Meta | No hacer clic en enlaces de invitaciones de personas o empresas que no conoces |
| Pedido del código de verificación | «Te mandé un código por error, ¿me lo reenvías?» | Nunca reenviar un código de SMS o llamada. Con el código y sin PIN, el número puede ser robado |
| Oferta de insignia verde | «Garantizamos la insignia verificada en 48 horas, solo necesitamos acceso» | La insignia la otorga Meta, no la venden terceros |
| Falso proveedor | «Actualiza tu token/PIN en este formulario» | Tu proveedor de API no necesita el PIN fuera de una migración que tú pediste |
Dos puntos de Meta sirven como regla práctica. Primero, Meta aconseja no responder mensajes que piden tu contraseña o datos de tarjeta de crédito. Segundo, Meta alerta sobre solicitudes de socio en el portafolio con enlaces de phishing que llegan desde facebookmail.com, un dominio legítimo; es decir, verificar el remitente no alcanza. Los correos sospechosos se pueden denunciar en phish@fb.com.
Si la cuenta ya fue comprometida
- Cambia contraseñas y activa 2FA para todos los que acceden al portafolio; elimina sesiones y dispositivos desconocidos.
- Revisa personas, socios y usuarios del sistema en el portafolio y elimina lo que no reconozcas.
- Revoca todos los tokens de API y genera nuevos.
- Cambia el PIN del número en el WhatsApp Manager.
- Revisa plantillas, números y medio de pago en busca de cambios.
- Evalúa el impacto en los datos de clientes. En Brasil, si hay riesgo relevante para los titulares, la LGPD (ley de protección de datos) exige comunicarlo a la ANPD y a los afectados. Consulta LGPD y WhatsApp.
Coexistencia: el teléfono también es una puerta de entrada
Con la coexistencia, el número queda en la app WhatsApp Business y en la API a la vez. Quien tenga el teléfono responde como la empresa. Activa la verificación en dos pasos en la propia app, revisa los dispositivos vinculados con frecuencia y define quién puede usar el teléfono. En el panel de atención, mantén inicios de sesión individuales y permisos por cola, como en la atención con varios agentes con la API.
Cómo hacerlo con Vectalk
Con Vectalk, la integración usa tokens propios de Vectalk, y las credenciales de Meta no quedan expuestas en tu aplicación. Según la documentación de tokens, cada token se guarda como hash, es válido hasta que se revoca y puede ser de organización o de instancia; prefiere el de instancia para limitar el alcance. Lista y revoca tokens en Configuración → API Tokens o por la API (GET y DELETE en /api/auth/api-tokens). El registro de número acepta el PIN en POST /api/phone-numbers/register. Para empezar, crea tu cuenta en apps.vectalk.com.br/register; para dudas de cuenta, consulta la Central de Ayuda.
Preguntas frecuentes
¿El PIN de la API es el mismo que la verificación en dos pasos de la app?
Cumplen una función parecida: ambos protegen el registro del número. El PIN de la Cloud API se define por la API o en el WhatsApp Manager y se pide cuando el número se registra en la plataforma.
¿Puedo desactivar el PIN del número en la API?
La documentación de Meta indica que no hay endpoint para desactivar la verificación en dos pasos. Puedes cambiar el PIN por la API o restablecerlo en el WhatsApp Manager. Para los números elegibles, Meta está retirando el PIN de forma gradual.
¿Cuántos administradores debe tener el portafolio?
Meta recomienda más de una persona con control total, para que el portafolio nunca quede sin dueño. Fuera de eso, cuantos menos, mejor: da acceso parcial a quien solo opera.
Recibí un mensaje de «Meta» diciendo que mi cuenta será desactivada. ¿Es real?
Trátalo como sospechoso. No hagas clic en el enlace; entra a Meta escribiendo la dirección en el navegador y revisa tu cuenta allí. Meta aconseja no responder mensajes que piden contraseñas o datos de tarjeta.
¿Qué hago si se filtra un token?
Revócalo de inmediato, genera otro, actualiza la integración y revisa los mensajes enviados en ese período para entender qué se hizo con él.
Fuentes oficiales consultadas el 25/10/2026: Verificación en dos pasos del número, Centro de seguridad del portafolio comercial, Exigir autenticación en dos pasos en el portafolio, Evitar estafas y phishing (Meta), Cómo saber si un correo es realmente de Meta, Webhooks de la Graph API: validación del payload, Docs de Vectalk: API Tokens, Docs de Vectalk: registrar número.