"Não oficial" assusta muita gente por um motivo justo: se não é o WhatsApp, como a mensagem viaja até ele? Este artigo explica a parte que fica no motor da WAME: a criptografia entre o motor e o WhatsApp. Para a visão geral do produto, veja a página da API não oficial da WAME.

O mesmo protocolo do WhatsApp

O WhatsApp cifra as mensagens com o protocolo Signal. Cada aparelho tem as próprias chaves, e o protocolo é hoje o padrão de mensageria cifrada mais estudado do mundo.

Um aparelho conectado precisa falar esse mesmo protocolo, ou o WhatsApp simplesmente não entrega nada para ele. Por isso o motor da WAME implementa o Signal nas mensagens que troca com o WhatsApp:

• chaves de identidade do aparelho, criadas no pareamento;
• pré-chaves publicadas para que outros aparelhos abram sessão com o seu;
• uma sessão cifrada por aparelho do outro lado: se o cliente usa celular e WhatsApp Web, a mensagem sai cifrada duas vezes, uma para cada um;
• chaves que mudam a cada mensagem, então descobrir uma não abre as outras.

Padrão aberto é ponto a favor

A WAME usa uma versão própria de uma biblioteca aberta do protocolo Signal. Isso costuma surpreender quem espera ouvir "é tudo segredo", mas em criptografia o aberto é o que dá confiança: um algoritmo que qualquer pesquisador pode revisar é mais seguro que um inventado em casa.

O que é fechado é o motor: a forma como a WAME conecta, mantém a sessão, segue o ritmo do WhatsApp Web e freia o envio. A criptografia é a mesma do WhatsApp, revisada publicamente.

O handshake antes da primeira mensagem

Antes de qualquer mensagem, o motor abre a conexão com os servidores do WhatsApp por um handshake cifrado (o padrão Noise, o mesmo do cliente web). Só depois dele a sessão do aparelho é reconhecida. É mais uma camada: a conversa já anda num canal cifrado, e cada mensagem ainda vai cifrada pelo Signal dentro dele.

E do seu sistema até a WAME?

Essa é outra ponta da conversa, e tem as próprias regras:

• a chamada da sua aplicação para a API da WAME é sempre por HTTPS;
• a key da instância é a credencial: guarde como senha, nunca em código público;
• o webhook pode ser assinado, para o seu servidor saber que o evento veio mesmo da WAME.

O passo a passo está em segurança da API do WhatsApp: token, webhook e dados do cliente, e as obrigações de dados estão na página de LGPD.

Conclusão

Na API não oficial da WAME, a conexão com o WhatsApp usa o mesmo protocolo Signal do WhatsApp, com sessão cifrada por aparelho e handshake cifrado antes de tudo. É um padrão aberto e auditado, rodando dentro de um motor próprio. É o mesmo padrão que o WhatsApp exige de qualquer aparelho conectado. Conheça o produto na página da API não oficial.

Perguntas frequentes

A API não oficial da WAME usa criptografia?+

Sim. A conexão entre o motor da WAME e o WhatsApp usa o protocolo Signal, o mesmo que o WhatsApp usa em todos os aparelhos. Cada mensagem é cifrada para cada aparelho do destinatário antes de sair.

O protocolo Signal é código aberto?+

O protocolo é um padrão aberto, publicado e revisado por pesquisadores do mundo todo. A WAME usa uma versão própria de uma biblioteca aberta desse protocolo. O motor que usa essa biblioteca é próprio e fechado.

E a comunicação entre o meu sistema e a WAME?+

Trafega por HTTPS. Para proteger a key da instância e o webhook, veja o guia de segurança de token e webhook da WAME.

Continue lendo

Grupos pela API não oficial do WhatsApp: o que o motor da WAME faz por você

Criar grupo, adicionar e promover participantes, aprovar pedidos de entrada, convite e comunidade pela API não oficial da WAME, e como o motor mantém tudo sincronizado.

Ligação pela API não oficial do WhatsApp: como o motor da WAME faz e atende chamadas

Como o motor da WAME faz, atende e toca áudio em ligações de WhatsApp pela API não oficial, a base para IA de voz e confirmação de agendamento, e a regra de uso que evita bloqueio.

Menu, cardápio e formulário no WhatsApp pela API não oficial

Lista de opções, botões, enquete, formulário nativo de várias perguntas e catálogo pela API não oficial da WAME, com exemplos prontos para cardápio, menu de atendimento e pesquisa.