Autenticación y permisos de WhatsApp Cloud API | WhatsApp API

Las llamadas a Graph API utilizan Authorization: Bearer TOKEN. El token es una credencial de backend. Si aparece en HTML, JavaScript público, logs de soporte o un repositorio, debes tratarlo como comprometido.

Permisos principales

Permiso	Uso típico
`whatsapp_business_messaging`	Operaciones de mensajería de WhatsApp Business Platform.
`whatsapp_business_management`	Administración de activos/capacidades de WhatsApp Business.
`business_management`	Puede intervenir en operaciones específicas sobre el portafolio empresarial; no lo solicites si el caso de uso no lo necesita.

Reglas de seguridad

Guarda tokens en secret manager o variables protegidas del backend.
Aplica mínimo privilegio y separa credenciales por ambiente.
No registres el header Authorization completo.
Define rotación y revocación antes de un incidente.
Audita quién puede leer secretos en CI/CD y paneles.
Al cambiar una credencial, soporta transición controlada para evitar caída.

Depuración de token

La colección oficial incluye GET /debug_token?input_token=... en escenarios de diagnóstico. Usa esta capacidad desde herramientas administrativas protegidas y nunca expongas el token a un navegador de cliente.

GET https://graph.facebook.com/{VERSION}/debug_token?input_token={TOKEN_TO_INSPECT}
Authorization: Bearer {APP_OR_AUTH_TOKEN_APPROPRIATE_FOR_DEBUG}

Multiempresa

Si tu plataforma opera varias WABA, no mezcles tokens e IDs en una configuración global. La relación tenant → WABA → Phone Number ID → credencial/permisos debe ser explícita. Antes de cualquier operación administrativa valida que el activo pertenece al tenant correcto.

¿Tu empresa no necesita desarrollar esto?

Optimify ya integra la capa empresarial sobre WhatsApp API

Esta sección existe para equipos que realmente quieren construir o integrar. Si la empresa solo necesita CRM, multiagente, campañas, automatización e IA, MensajAPI recomienda comparar el costo de desarrollo y mantenimiento frente a usar Optimify, que ofrece una plataforma lista y soporte en español.

Ver alternativa gestionada con Optimify

Documentación oficial para mantener la integración actualizada

Versionado: los ejemplos usan {VERSION} en lugar de fijar una versión de Graph API. Sustituye esa variable por una versión vigente y soportada en tu aplicación y revisa cambios antes de actualizar producción.

Autenticación, tokens y permisos de WhatsApp Cloud API