WappSync Phone Verify - API dokumentáció

Hogyan Működik

Szerezze meg a hitelesítő adatait

Regisztráljon a wappsync.com/mybusiness oldalon, hogy megkapja:

Két ellenőrzési mód

A Phone Verify két módban működik, kérésenként választhatóan. Mindkettőben a felhasználója küldi a kódot nekünk WhatsAppon keresztül - az egyetlen különbség, hogy melyik telefonszám kerül hitelesítésre.

Javított telefonszám (on_mismatch): gyakori eset, hogy az ügyfél A számot ad meg, de B számról küldi a kódot (elgépelés / dual-SIM). confirm_phone módban a reject (az alapértelmezett) sikertelen kísérletnek tekinti; az accept_sender ehelyett a tényleges B küldőt hitelesíti (sender_matches_intended: false, phoneEnc = B), és az Ön backendje dönti el, hogy elfogadja-e a javított B számot, vagy új OTP-t kér az A számhoz.

Fordított OTP kérése

Ezt a backendjéről hívja meg, amikor felhasználót kell ellenőriznie:

POSThttps://wappsync.com/phone-verify/api/getReverseOTP

Kérés törzse (JSON)

HMAC aláírás

Írja alá ezt a karaktersorozatot a businesskey értékével:

{businessid}|{businessref}|{phone}|{ts}

verify_sender módban nincs telefonszám, így az aláírt karaktersorozat {businessid}|{businessref}||{ts} (üres középső hely).

Példa:

$hmac = hash_hmac('sha256', "{$businessid}|{$businessref}|{$phone}|{$ts}", $businesskey);

Válasz

Ellenőrizze a válasz HMAC-ját against {businessid}|{businessref}|{logincode}|{reverseotp_display}|{waphone}|{out_ts}.

Mit mutasson a felhasználójának

Jelenítse meg a kódot és a telefonszámot. Használjon whatsapp://send linket, hogy a felhasználó egy koppintással elküldhesse:

<a href="whatsapp://send?phone=40725296320&text=2FA-828161">
  💬 Send Code via WhatsApp
</a>

Lekérdezés az ellenőrzéshez

Kérdezze le 2-3 másodperc amíg a felhasználó ellenőrzésre nem kerül:

POSThttps://wappsync.com/phone-verify/api/getReverseOTPStatus

Kérés törzse (JSON)

Válasz

Amikor auth === 1, érvényes kód érkezett. Fejtse vissza a phoneEnc értéket a hitelesített telefonszám megszerzéséhez (ellenőrizze a sender_matches_intended értéket confirm_phone módban), majd jelentkeztesse be a felhasználót.

A telefonszám visszafejtése

Amikor auth=1, a phoneEnc tartalmazza a hitelesített telefonszámot (a küldőt, amely igazolta magát), AES-256-CBC-vel titkosítva a businesskey értékével:

function decryptPhoneAES($encryptedData, $businesskey) {
    $method = 'AES-256-CBC';
    $key = hash('sha256', $businesskey, true);
    $enc = str_replace(['-', '_'], ['+', '/'], $encryptedData);
    $enc = str_pad($enc, strlen($enc) % 4 === 0
        ? strlen($enc) : strlen($enc) + 4 - strlen($enc) % 4,
        '=', STR_PAD_RIGHT);
    $decoded = base64_decode($enc);
    $iv = substr($decoded, 0, 16);
    $ciphertext = substr($decoded, 16);
    return openssl_decrypt($ciphertext, $method, $key, OPENSSL_RAW_DATA, $iv);
}

$phone = decryptPhoneAES($response['phoneEnc'], $businesskey);
// Store this phone - it's the user's verified identity

Frontend példa

Az egyetlen szükséges felület - jelenítse meg, miután a backendje meghívta a getReverseOTP végpontot:

<div style="text-align:center; max-width:400px; margin:auto;">
  <p>Send this exact code via WhatsApp from your phone:</p>

  <div style="font-size:28px; font-weight:bold; color:#25D366;
              letter-spacing:3px;">
    2FA-828161
  </div>

  <p>to <strong>+40 725 296 320</strong></p>

  <a href="whatsapp://send?phone=40725296320&text=2FA-828161"
     style="display:inline-block; padding:14px 30px; background:#25D366;
            color:white; font-size:18px; font-weight:bold; border-radius:8px;
            text-decoration:none; margin-top:12px;">
    💬 Send via WhatsApp
  </a>

  <p style="color:#888; font-size:13px; margin-top:12px;">
    ⏱ Code expires in 10 minutes - no typing required!
  </p>
</div>

Teljes PHP példa

Másolásra kész. Cserélje ki a YOUR_BUSINESS_ID és 'your-secret-key' értékeket a wappsync.com/mybusiness oldalon kapott értékekre.

<?php
$businessid  = YOUR_BUSINESS_ID;       // from wappsync.com/mybusiness
$businesskey = 'your-secret-key';       // from wappsync.com/mybusiness - keep server-side

// ── Step 1: Request reverse OTP ──
$businessref = bin2hex(random_bytes(4));
$phone       = $_POST['phone'];         // user's phone from your form
$ts          = time();

$hmac = hash_hmac('sha256',
    "{$businessid}|{$businessref}|{$phone}|{$ts}",
    $businesskey
);

$response = callAPI('https://wappsync.com/phone-verify/api/getReverseOTP', [
    'businessid'  => $businessid,
    'businessref' => $businessref,
    'phone'       => $phone,
    'ts'          => $ts,
    'hmac'        => $hmac,
]);

$data = json_decode($response, true);
$code      = $data['reverseotp_display'];  // "2FA-828161"
$waphone   = $data['waphone'];             // "+40725296320"
$logincode = $data['logincode'];
$in_ts     = $data['in_ts'];

// ── Show the code to your user (render frontend example above) ──

// ── Step 2: Poll until verified ──
$maxAttempts = 40;  // ~2 minutes at 3s intervals
$attempt = 0;

do {
    sleep(3);
    $attempt++;

    $hmac = hash_hmac('sha256',
        "{$businessid}|{$businessref}|{$logincode}|{$in_ts}",
        $businesskey
    );

    $response = callAPI(
        'https://wappsync.com/phone-verify/api/getReverseOTPStatus',
        [
            'businessid'  => $businessid,
            'businessref' => $businessref,
            'logincode'   => $logincode,
            'in_ts'       => $in_ts,
            'hmac'        => $hmac,
        ]
    );

    $data = json_decode($response, true);

} while (($data['auth'] ?? 0) !== 1 && $attempt < $maxAttempts);

if (($data['auth'] ?? 0) === 1) {
    // ✅ Verified - log the user in!
    $phone = decryptPhoneAES($data['phoneEnc'], $businesskey);
    $_SESSION['user_phone'] = $phone;
    header('Location: /dashboard');
    exit;
} else {
    echo "Verification timed out. Please try again.";
}

// ── Helper ──
function callAPI($url, $payload) {
    $ch = curl_init($url);
    curl_setopt($ch, CURLOPT_POST, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode($payload));
    curl_setopt($ch, CURLOPT_HTTPHEADER, ['Content-Type: application/json']);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
    $response = curl_exec($ch);
    curl_close($ch);
    return $response;
}

verify_sender: küldje a phone => '' értéket (és opcionálisan mode => 'verify_sender') - WhatsApp üzenet nem kerül kiküldésre, így a reverseotp_display kódot Önnek kell továbbadnia az ügyfelének. auth=1 esetén a phoneEnc visszafejtve a hitelesített küldő számát adja; nincs sender_matches_intended, amit ellenőrizni kellene.

accept_sender: confirm_phone módban adja hozzá a 'on_mismatch' => 'accept_sender' beállítást. Ha auth=1 és a sender_matches_intended értéke false, a hitelesített szám eltér a kérttől - fogadja el javított számként, vagy kérjen új OTP-t a valóban szükséges számhoz.

Hibakezelés

Az API "status": "error" értéket ad vissza egy olvasható message mezővel:

Biztonság

Próbálja ki élőben

🎮 Demó bejelentkezési folyamat - működő demó, amely bemutatja a teljes felhasználói élményt.

🧪 API teszteszköz - a saját businessid és businesskey értékeit igényli innen: wappsync.com/mybusiness.