API no oficial de WhatsApp: cómo funciona, qué se rompe y el riesgo real
Por José Pedro · Cofundador de CRPRO
Una API no oficial de WhatsApp ocupa un lugar de dispositivo vinculado, sin contrato y sin aviso antes de romperse. Mira cómo funciona por dentro, cuánto cuesta hoy, qué cambió el 1 de octubre de 2026 y dónde vive el riesgo real de baneo frente a la API oficial.
Una API no oficial de WhatsApp es un servidor que se conecta a WhatsApp ocupando el mismo lugar que WhatsApp Web — el que se abre cuando alguien escanea un código QR en la pantalla. No es un producto de Meta, no tiene contrato y puede dejar de funcionar sin aviso. También es barata, se levanta en minutos y no cobra por mensaje, y por eso buena parte del mercado brasileño corre sobre ella. A continuación: cómo funciona por dentro, qué se rompe en la operación real y dónde vive el riesgo de verdad. CRPRO vende los dos caminos, así que no hay motivo aquí para inclinar el argumento.
¿Cómo funciona por dentro una API no oficial de WhatsApp?
En 2021 WhatsApp se volvió multidispositivo: cada aparato conectado pasó a tener sus propias claves y a hablar directo con el servidor de Meta, en vez de espejar el celular y morir junto con él cuando el teléfono perdía señal. Eso fue lo que hizo que la conexión no oficial fuera lo bastante estable como para convertirse en producto.
Una librería no oficial ocupa ese lugar de dispositivo conectado. El flujo es siempre el mismo:
- tu servidor pide un emparejamiento y devuelve un código QR (o un código de ocho dígitos);
- lo escaneas con el celular, en Dispositivos vinculados;
- el servidor recibe un conjunto de claves — la sesión — y pasa a enviar y recibir como si fuera un WhatsApp Web más;
- esa sesión queda guardada en un archivo, Redis o base de datos. Se pierde la sesión, código QR nuevo.
Nada de esto se confunde con un mod de celular, como GB WhatsApp: ahí se cambia toda la aplicación por una versión alterada, con riesgos propios. Aquí la app del celular sigue siendo original; solo cambia quién se sienta en el lugar del dispositivo conectado.
Dos familias de implementación, dos cuentas de servidor
La elección de la librería no cambia lo que ve Meta, pero sí cambia cuánto pagas de infraestructura y qué suele romperse primero.
| Protocolo directo (Baileys y wrappers) | Automatización de navegador (WPPConnect, Venom) | |
|---|---|---|
| Cómo habla con Meta | WebSocket directo, sin navegador de por medio | Chrome sin interfaz controlando web.whatsapp.com |
| Consumo de servidor | Liviano — decenas de números por máquina | Alto — cada número sostiene un navegador abierto |
| Qué se rompe primero | Un cambio en el protocolo interno | Un cambio en el diseño de la página |
En la práctica, casi todo proveedor brasileño que vende "conexión por código QR" está montado sobre la primera familia. Vale la pena preguntar qué librería usa, porque es la que define el tamaño de tu cuenta de servidor.
¿Qué tumba la operación sin aviso?
La sesión no es eterna. Muere cuando el celular principal pasa cerca de 14 días sin conectarse, cuando alguien toca "Cerrar sesión en todos los dispositivos", cuando se cambia el teléfono o se reinstala la app, y cuando se supera el límite de cuatro dispositivos conectados por número (límite vigente en agosto de 2026).
Ninguno de esos eventos manda aviso. La atención se detiene hasta que alguien escanee un código QR nuevo — y si el celular está en el bolsillo del dueño un sábado, quedas fuera de línea hasta el lunes.
El protocolo tiene el mismo problema. La API oficial tiene versión, changelog y período de depreciación. La no oficial no tiene nada de eso: es un protocolo interno leído desde afuera, no una interfaz publicada. Cuando Meta lo modifica, la librería se rompe y tu cola queda parada hasta que un mantenedor publique la corrección — sin plazo y sin nadie a quien reclamar.
¿Qué pierdes al operar sin quality rating?
Pierdes todo el panel. En el camino oficial existe quality rating por número, categoría de plantilla, límite de envío visible y diagnóstico por mensaje. El quality rating se calcula sobre los últimos 7 días, de forma ponderada — esa ventana está en la documentación de Meta y sigue vigente en agosto de 2026 —, lo que significa que una semana mala aparece en el panel antes de convertirse en restricción.
En el código QR no existe ningún indicador. Descubres que la salud del número empeoró cuando deja de funcionar, sin nota, sin historial y sin semana de anticipación.
Lo que sí existe cambia de lugar. Botones, listas interactivas y algunos formatos de contenido cambian de comportamiento con cada actualización, y cada librería lo resuelve a su manera — inestabilidad que solo notas después de haber montado un flujo encima.
Y si el número queda restringido, no hay formulario de revisión ni correo explicando el motivo. El camino se vuelve el de cualquier usuario común, descrito en WhatsApp baneado: qué hacer.
¿Enviar mensaje fuera de la ventana de 24 horas tumba el número?
La frase que circula es: "quien usa API no oficial es baneado por mandar mensaje fuera de la ventana de 24 horas". Se equivoca en los dos lados.
En la API oficial, mandar fuera de la ventana no es causa de baneo — es imposible. El endpoint rechaza y devuelve el error 131047. Pasadas 24 horas desde el último mensaje del cliente, solo una plantilla aprobada reabre la conversación. No infringes esa regla ni queriendo: el sistema no te deja. El concepto completo está en ventana de 24 horas.
En el código QR, nada te lo impide. Puedes mandar a las tres de la mañana, a quien nunca habló contigo, seis meses después del último contacto. El riesgo de ventana existe solo de ese lado, y no es regulatorio: es reacción humana. Lo que tumba el número no es el reloj, es el bloqueo y la denuncia de quien no esperaba tu mensaje.
Es decir, la ventana no es una regla que rompes: es un riel. Del lado oficial sostiene el vagón. Del lado no oficial no hay riel, y la disciplina viene de tu propio proceso — opt-in registrado, opt-out respetado desde el primer "no quiero más", nada de listas compradas. La línea de lo que Meta realmente considera abuso está en lo que Meta realmente cuenta como spam.
¿Qué cambia en el riesgo de baneo entre código QR y API oficial?
Vale la pena ser directo, porque mucho material de venta miente en este punto: la API oficial no elimina el riesgo de baneo. Meta mantiene en el webhook account_update el campo waba_ban_state, con valores como SCHEDULE_FOR_DISABLE y DISABLE, además del error 368 para cuenta restringida. Un número en la API oficial puede ser baneado.
Lo que sí da es otra cosa, y es fuerte: visibilidad y debido proceso.
| Lo que tienes | Código QR / API no oficial | API oficial |
|---|---|---|
| Aviso antes de la sanción | Ninguno | SCHEDULE_FOR_DISABLE en el webhook account_update |
| Nota de calidad | No existe | Verde, amarilla o roja por número, calculada sobre los últimos 7 días |
| Canal de revisión | No existe | Sí, a través del Administrador Comercial |
| Ventana de 24 horas | No se impone | Impuesta por el sistema (error 131047) |
| Costo por mensaje cobrado por Meta | Cero | Por mensaje de plantilla entregado |
En la app común y en las conexiones no oficiales, el baneo puede llegar sin aviso y sin cola de revisión. Esa es la diferencia que importa, y no necesita exageración.
¿Cuánto cuesta cada camino hoy?
El costo es lo que gana el camino no oficial, y es honesto reconocerlo. Meta cobra por mensaje de plantilla entregado — el modelo por conversación murió el 1 de julio de 2025.
| Camino y tipo de mensaje | Precio unitario en Brasil | Vigencia |
|---|---|---|
| Código QR / API no oficial | Sin costo por mensaje cobrado por Meta | — |
| API oficial, marketing | US$0,0625 por mensaje (cerca de R$0,32) | tarifa vigente en agosto de 2026 |
| API oficial, utilidad | cerca de US$0,0068 por mensaje (unos R$0,035) | tarifa vigente en agosto de 2026 |
| API oficial, autenticación | cerca de US$0,0068 por mensaje (unos R$0,035) | tarifa vigente en agosto de 2026 |
| API oficial, servicio y utilidad dentro de la ventana abierta | cobrado por mensaje (era gratis hasta el 30/09/2026) | desde el 1 de octubre de 2026 |
Además del costo, el código QR mantiene tres cosas que la API oficial no tiene: grupos, estados y el número funcionando en la app del celular.
¿Qué cambió el 1 de octubre de 2026?
La parte gratuita se redujo. Hasta el 30 de septiembre de 2026 no había cobro por lo que más pesa en la atención: mensajes de servicio y plantillas de utilidad entregadas dentro de la ventana abierta. Desde el 1 de octubre de 2026, Meta cobra por mensaje también los mensajes de servicio y las plantillas de utilidad enviadas en respuesta al usuario dentro de la ventana de atención de 24 horas — y servicio no tiene descuento por volumen, mientras que utilidad y autenticación sí lo siguen teniendo. La ventana de 72 horas abierta por un anuncio Click-to-WhatsApp no cambió y sigue gratuita.
La tarifa de servicio está en la tabla de precios vigente de Meta. Quien tiene mucha atención receptiva y poca campaña necesita rehacer la cuenta con esa tabla — la simulación por franja de volumen está en el playbook anti-baneo ya tiene precio, y los casos en que migrar no compensa están en cuándo no migrar a la API oficial.
Si de todos modos vas con código QR, exige esto del proveedor
- Sesión persistida y reconexión automática. Una sesión en un archivo suelto dentro de un contenedor desaparece en el primer deploy.
- Alerta cuando la sesión cae. En minutos, no por el cliente que se queja.
- Opt-out honrado de verdad. "Basta", "sácame de la lista" y el bloqueo deben detener el envío por sí solos.
- Ninguna promesa de "anti-baneo". Quien garantiza que tu número no cae vende algo que no puede entregar: nadie controla el botón de denuncia del destinatario.
- Camino de salida. Si la cuenta se complica, ¿se puede llevar el número al camino oficial sin cambiar de herramienta y sin perder historial?
Preguntas frecuentes
¿Es ilegal una API no oficial de WhatsApp?
No es delito, pero tampoco es una conexión autorizada por Meta: existe fuera de lo que la plataforma soporta y publica. En la práctica, no hay contrato, ni garantía de funcionamiento, ni canal de revisión si el número queda restringido.
¿Usar una API no oficial banea mi número al instante?
No. Lo que tumba un número es el comportamiento: mensaje a quien no dio permiso, lista comprada, texto que genera denuncia. Mucha operación corre años en código QR sin incidentes porque solo habla con quien lo pidió. La otra cara es que, en ese camino, el baneo puede llegar sin ningún aviso.
¿La API oficial impide el baneo?
No. Meta puede banear un número en la API oficial — el webhook account_update trae el campo waba_ban_state y existe el error 368. Lo que da la API oficial es aviso previo en el webhook, nota de calidad por número calculada sobre los últimos 7 días y un canal formal de revisión. Visibilidad y proceso, no inmunidad.
¿Puedo mandar mensaje fuera de la ventana de 24 horas?
En la API oficial, no: el intento devuelve el error 131047 y solo una plantilla aprobada reabre la conversación. En el código QR, técnicamente sí, porque nada lo bloquea — y ahí es justo donde vive el riesgo, porque quien lo recibe a deshora bloquea y denuncia.
¿Cuánto cuesta cada camino hoy?
El código QR no tiene costo por mensaje cobrado por Meta. En la API oficial, marketing sale alrededor de US$0,0625 por mensaje en Brasil, y utilidad y autenticación cerca de US$0,0068 por mensaje (tarifas vigentes en agosto de 2026). Servicio y plantillas de utilidad dentro de la ventana eran gratis hasta el 30 de septiembre de 2026 y se cobran por mensaje desde el 1 de octubre de 2026.
Dos números, dos modos
Buena parte de las operaciones se resuelve con dos números: uno oficial para campañas con plantilla, otro en código QR para el día a día, grupos y estados. El mismo número no puede correr en los dos modos a la vez.
CRPRO conecta de las dos formas y arma la cuenta con tus números antes de que decidas. Si todavía no tienes esos números, empieza midiendo — la decisión queda mucho más clara con tu volumen real de atención y la tabla de precios vigente de Meta en la mano.