WhatsApp8 de septiembre de 202613 min de lectura

API no oficial de WhatsApp (QR, WhatsApp Web emulado): qué es, cuándo tiene sentido y qué arriesgas

Cómo funcionan Baileys, whatsapp-web.js, Evolution API y compañía, qué dicen los términos de Meta, qué pasa cuando banean el número, en qué casos honestos se usan y cómo comparar alternativas oficiales, de Chatwoot a Empleado.uno.

Por el equipo de Empleado.uno

Dueño de una tienda de celulares sostiene su teléfono frente a una laptop que muestra un código QR desenfocado, en la trastienda de noche.

En este artículo

1.Las cuatro formas de conectar software a WhatsApp
2.Los repositorios que todo el mundo usa (y lo que ellos mismos advierten)
3.Lo que dicen los términos de Meta
4.Qué pasa en la práctica: roturas y baneos documentados
5.Cuándo sí tiene sentido (y con qué número)
6.Ocho señales de que tu proveedor es no oficial
7.El mapa de alternativas oficiales (precios públicos, septiembre de 2026)
8.El argumento del costo, con números

Hay dos maneras de conectar un programa a WhatsApp. Una es la que Meta ofrece y documenta: la WhatsApp Business Platform, con su Cloud API. La otra es hacer que tu servidor se disfrace de navegador: escaneas el código QR de WhatsApp Web con tu propio teléfono y una librería habla con WhatsApp fingiendo ser la pestaña de Chrome. Esa segunda vía es lo que en LATAM se vende como "API no oficial", "conexión por QR" o "multi-dispositivo", y sostiene a una parte enorme de los chatbots baratos de la región.

Este artículo no pretende asustarte ni venderte nada de entrada. Explica cómo funciona la vía no oficial, nombra los repositorios que la hacen posible, cita lo que dicen los términos de Meta, documenta qué pasa cuando banean un número, reconoce los casos donde usarla tiene sentido y termina con un mapa de alternativas oficiales, con precios públicos y fecha, para que compares por tu cuenta. Empleado.uno está en ese mapa; también sus competidores.

Las cuatro formas de conectar software a WhatsApp

Librerías que emulan WhatsApp Web (no oficial)
Baileys, whatsapp-web.js, whatsmeow, WPPConnect, Venom y las plataformas construidas sobre ellas (Evolution API, WAHA). Escaneas un QR, la librería guarda la sesión en tu servidor y desde ahí lee y envía mensajes como si fueras tú en un navegador.
Automatización de la app en Android (no oficial)
Aplicaciones que leen las notificaciones del teléfono y responden por ti, o extensiones de Chrome que disparan envíos masivos sobre WhatsApp Web. Mismo estatus que la anterior: no autorizado.
WhatsApp Business Platform, la Cloud API (oficial)
La vía documentada por Meta. Se contrata a través de un socio de soluciones (BSP) o de un proveedor tecnológico, con registro guiado (Embedded Signup). La API On-Premises, que algunas empresas grandes hospedaban, se apagó por completo el 23 de octubre de 2025.
La app WhatsApp Business sola, o con coexistencia (oficial)
La app gratuita del teléfono, con respuestas rápidas y catálogo. Desde 2024, la coexistencia permite que ese mismo número trabaje además en la Cloud API sin perder la app ni los chats.

Los repositorios que todo el mundo usa (y lo que ellos mismos advierten)

No hay nada secreto: son proyectos abiertos en GitHub, con miles de estrellas y comunidades activas. Los datos de estrellas son aproximados, consultados el 8 de septiembre de 2026.

whatsapp-web.js (pedroslopez, unas 22,500 estrellas, licencia Apache 2.0, JavaScript). Corre un Chromium con Puppeteer. Su README dice: WhatsApp no permite bots ni clientes no oficiales en su plataforma, así que esto no debería considerarse totalmente seguro.
Baileys (WhiskeySockets, unas 11,000 estrellas, MIT, TypeScript). Habla el protocolo directamente, sin navegador. Su README aclara que no está afiliado a WhatsApp, que no condona prácticas que violen los términos de servicio y que desalienta cualquier uso de mensajería masiva o automatizada. El repositorio original de su autor fue eliminado; la versión actual la mantiene la comunidad.
Evolution API (unas 9,600 estrellas, Apache 2.0 con cláusulas de marca, TypeScript). Muy usada en Brasil. Tiene dos motores: Baileys (no oficial, gratis) y la Cloud API oficial.
WAHA (devlikeapro, unas 7,400 estrellas, núcleo Apache 2.0 con versión de pago). Expone una API HTTP sobre motores basados en WhatsApp Web.
whatsmeow (tulir, unas 7,300 estrellas, MPL 2.0, Go). Base de los puentes con Matrix. Sin advertencia de baneo en su README.
Venom (orkestral, unas 6,600 estrellas) y WPPConnect (unas 3,400 estrellas; su repositorio pide mantenedores). open-wa/wa-automate (unas 3,700 estrellas) advierte: úsalo bajo tu propio riesgo.
Yowsup (Python, unas 7,200 estrellas): última versión en diciembre de 2021. Muerto, pero sigue apareciendo en tutoriales.

Fíjate en un detalle: los proyectos más serios avisan en su primera página que esto viola los términos de WhatsApp. Quien no te lo dice es el revendedor que empaqueta una de estas librerías, le pone un panel y la vende como "API de WhatsApp" a 20 dólares al mes. Whaticket, muy común en LATAM, ofrece explícitamente conexión "por API o por QR", y su versión comunitaria usa whatsapp-web.js. No es un secreto; es un modelo de negocio.

Lo que dicen los términos de Meta

Los Términos de Servicio de WhatsApp prohíben la mensajería masiva, la mensajería automática, el marcado automático y similares, así como aplicar ingeniería inversa o extraer código de los servicios y obtener acceso no autorizado a ellos. Los Términos para Empresas van más lejos: prohíben desarrollar o usar aplicaciones que interactúen con los servicios para empresas sin consentimiento previo por escrito de Meta, y crear software o APIs que funcionen sustancialmente igual que sus servicios de forma no autorizada. Meta se reserva limitar, restringir, suspender o cancelar cuentas.

La Política de Mensajería para Empresas añade lo que sí se permite: automatizar dentro de la ventana de 24 horas, con opt-in del cliente y con vías claras y directas para llegar a una persona. Y desde el 15 de enero de 2026 prohíbe en la API los chatbots de inteligencia artificial de propósito general (los asistentes tipo ChatGPT que responden de todo), aunque en Brasil la autoridad de competencia ordenó suspender esa cláusula. Un agente que atiende a los clientes de tu negocio sobre tu negocio no es un asistente de propósito general; un bot no oficial con IA incumple las dos reglas a la vez.

Qué pasa en la práctica: roturas y baneos documentados

No hace falta especular sobre el riesgo; está en los registros públicos de los propios proyectos. En octubre de 2025, un usuario de Baileys reportó cinco bots bloqueados en una semana, dos de ellos con más de tres años de operación sin problemas. En agosto de 2025, en Evolution API, otro describía que pasó de unos 1,000 mensajes diarios a ser bloqueado tras 40 o 50, y que el envío masivo se había vuelto imposible. WhatsApp anunció en 2019 que tomaría acciones legales contra la mensajería masiva o automatizada incluso con evidencia obtenida fuera de la plataforma, y en 2022 demandó en California a los creadores de una app modificada que comprometió más de un millón de cuentas.

Los cinco riesgos, con su evidencia:

Perder el número. El bloqueo cae sobre el número de teléfono. Con la coexistencia disponible, el argumento de que la vía oficial te haría perder tu número o tu app ya no se sostiene: es exactamente al revés.
Sin garantía de servicio. Cada actualización de WhatsApp puede romper la librería: en whatsapp-web.js hay reportes de sesiones caídas y chats que no cargan en agosto, noviembre y diciembre de 2025; en Baileys, rechazos por cambios de versión del cliente y cierres de sesión forzados desde el teléfono. Quien repara son voluntarios, y WPPConnect lleva tiempo pidiendo mantenedores.
Seguridad de los datos. La sesión de WhatsApp queda guardada como archivos en tu servidor (en Baileys, una carpeta de credenciales). Quien controla ese servidor controla tu WhatsApp completo. Si contratas una "API barata" hospedada por un tercero, tus chats con clientes viven en el servidor de alguien que no conoces. En octubre de 2025, Trend Micro documentó un malware (SORVEPOTEL) que secuestraba sesiones de WhatsApp Web y se reenviaba a todos los contactos; casi todas las infecciones fueron en Brasil y provocaban suspensiones de cuenta.
Sin herramientas de la plataforma. Nada de plantillas aprobadas, verificación del negocio, cuenta oficial, catálogo por API ni límites que crecen con la calidad. Las listas de difusión de la app llegan solo a quien te tiene agendado.
Datos personales. En México, la nueva Ley Federal de Protección de Datos Personales está vigente desde marzo de 2025 y exige medidas de seguridad y consentimiento para fines nuevos; en Colombia, la Ley 1581 exige autorización previa, expresa e informada y la Superintendencia de Industria y Comercio puede multar hasta 2,000 salarios mínimos. Guardar los chats de tus clientes en un servidor sin contrato ni cifrado es exposición directa.

Cuándo sí tiene sentido (y con qué número)

Sería deshonesto decir que estas librerías no sirven para nada. Existen casos razonables: automatizar tu WhatsApp personal, montar un prototipo para ver si una idea funciona antes de contratar nada, avisos internos a tu propio equipo, puentes con otras herramientas de mensajería, o un volumen tan pequeño que no justifica un proveedor. Los propios mantenedores de Baileys y whatsapp-web.js lo dicen: úsalo bajo tu propio riesgo y sin envíos masivos.

La única regla que vale en todos esos casos: hazlo con un chip o una eSIM nueva, nunca con el número comercial de tu negocio. La política de Meta no distingue entre un uso benigno y uno abusivo, y el precio de equivocarse es el número que tus clientes conocen.

Ocho señales de que tu proveedor es no oficial

Te pide escanear un código QR desde tu teléfono
Exactamente como WhatsApp Web. La API oficial se conecta con un registro guiado de Meta, no con QR de sesión.
"Sin verificación de Meta, sin Business Manager, sin Facebook"
La vía oficial exige una cuenta de Meta Business; no hay forma de saltársela.
"Mensajes ilimitados" o "sin costo por mensaje"
Meta cobra las plantillas entregadas y, desde octubre de 2026, los mensajes de servicio a partir del 1,001 al mes. Quien promete ilimitado no está pasando por Meta.
Necesitas el teléfono encendido y con internet
O "reconectar cada tanto". La Cloud API no depende de tu celular.
No existen plantillas ni categorías
Sin aprobación de plantillas ni distinción entre marketing, utilidad y autenticación, no hay API oficial detrás.
Su ayuda menciona Baileys, Evolution, WAHA o "multi-dispositivo"
Son los nombres de las librerías no oficiales.
IA incluida a un precio imposible
Suele ser una clave de OpenAI compartida y sin control; súmale que los bots de IA no oficiales incumplen dos políticas.
No aparece como socio de Meta
Los proveedores oficiales figuran en el directorio de socios de Meta o se identifican como BSP o Tech Provider. Pregunta y verifica.

El mapa de alternativas oficiales (precios públicos, septiembre de 2026)

Todas las opciones de esta lista usan la Cloud API oficial. Los precios son los de lista publicados por cada proveedor y consultados el 8 de septiembre de 2026, en dólares y por mes; cambian con frecuencia, así que verifica antes de decidir. Están agrupadas por el tipo de trabajo que te exigen.

Si no quieres pagar nada y tu volumen es bajo:

La app WhatsApp Business, gratis. Respuestas rápidas, catálogo, etiquetas, un solo teléfono. Con coexistencia puedes sumarle después cualquiera de las opciones siguientes sin cambiar de número.

Si tienes quien lo configure y mantenga (o eres tú):

Chatwoot, bandeja de código abierto con licencia MIT, se conecta a la Cloud API; la versión hospedada parte de 19 dólares por agente y la IA es un complemento.
360dialog, acceso a la API sin margen por mensaje, desde 49 euros por número al mes; solo la conexión, tú pones el resto.
Twilio, la API con medio centavo de dólar por mensaje encima de la tarifa de Meta; pensado para equipos técnicos.
Gupshup, Zenvia y Botmaker, socios oficiales con planes a cotizar y orientación a empresas medianas y grandes.

Plataformas de atención y ventas para equipos:

Wati, desde 59 dólares con tres usuarios; la IA es un complemento. Fuerte en flujos y campañas.
Kommo, CRM primero, cobra por usuario (desde unos 15 dólares) y la IA depende del plan; socio de Meta.
Leadsales, CRM de WhatsApp nacido en México, plan fijo desde 97 dólares; su conexión por API oficial está en los planes superiores.
respond.io, desde 79 dólares en pago anual, con coexistencia; la IA en planes desde 159.
Callbell, desde 15 dólares por agente más el módulo de WhatsApp; bandeja compartida para humanos.
ManyChat (desde 39 dólares, por contactos) y SleekFlow (desde 149 dólares) para marketing y omnicanal.

Y Empleado.uno, que es donde nosotros entramos. Conexión oficial de Meta con registro guiado y coexistencia (conservas tu número y tu app), un agente de IA incluido que responde, cotiza desde tu catálogo, agenda y registra en el CRM, y un plan fijo desde 49.99 dólares al mes sin cobrar por usuario. Las tarifas de Meta por mensaje se cobran al negocio sin margen nuestro. Lo que no hacemos: envíos masivos de marketing a listas sin permiso, que es justo la actividad para la que se compran las APIs no oficiales y la que Meta persigue. Si eso es lo que buscas, ninguna opción de esta lista te va a servir, y ninguna debería.

El argumento del costo, con números

El motivo declarado para usar la vía no oficial es casi siempre el precio. Veamos si aguanta. Toma un negocio con 500 conversaciones entrantes al mes y unas 6 respuestas por conversación: 3,000 mensajes de servicio. Con las reglas de Meta vigentes hasta el 30 de septiembre de 2026, cuestan 0 dólares. Con las reglas desde el 1 de octubre (1,000 gratis por número y el resto al precio de utilidad del país), en México cuestan 17 dólares, en Brasil 13.60 y en Colombia 1.60. A eso le sumas la plataforma que elijas, desde los 19 dólares de Chatwoot hasta los 49.99 de un plan con IA incluida.

Del otro lado de la balanza, la vía no oficial también cuesta: un servidor (entre 5 y 20 dólares), el tiempo de alguien que lo mantenga y lo repare cada vez que WhatsApp cambia el protocolo, y la probabilidad, no nula y documentada, de perder el número comercial. Lo que sí es caro por la vía oficial es el marketing saliente: 3,000 plantillas de marketing en Brasil son unos 187 dólares. Es decir, la vía oficial es barata para atender y cara para bombardear. La no oficial es "gratis" para bombardear hasta que deja de existir. Si tu negocio vive de atender bien a quien te escribe, el argumento del costo juega a favor de la vía oficial, no en contra.

¿Qué es una API no oficial de WhatsApp?

Software que emula WhatsApp Web: escaneas el código QR con tu teléfono y una librería (Baileys, whatsapp-web.js y otras) lee y envía mensajes desde tu servidor fingiendo ser un navegador. No está autorizada por Meta y sus propios autores advierten que viola los términos de servicio.

¿Me pueden bloquear el número por usar un bot no oficial?

Sí. Los términos de WhatsApp prohíben la mensajería automatizada y masiva y el software no autorizado, y hay bloqueos documentados en los repositorios de las propias librerías, incluidos números con años de uso. El bloqueo cae sobre el número de teléfono y, si no aparece la opción de solicitar revisión, es definitivo.

¿La API oficial de WhatsApp me hace perder mi número o mi app?

Ya no. La coexistencia, disponible desde 2024, permite que el mismo número funcione en la app de WhatsApp Business de tu teléfono y en la Cloud API al mismo tiempo. Requiere la app actualizada (versión 2.24.17 o superior) y sincroniza los últimos seis meses de chats.

¿Cuánto cuesta la API oficial para un negocio pequeño?

Depende de la plataforma y del uso. Los mensajes que te escriben tus clientes son gratis; tus respuestas dentro de la ventana de 24 horas son gratis hasta 1,000 al mes por número desde octubre de 2026 y después cuestan lo mismo que una plantilla de utilidad (0.0085 dólares en México). Las plataformas van desde 19 dólares por agente hasta planes fijos con IA incluida desde 49.99 dólares al mes.

¿Cómo sé si mi proveedor actual usa la API oficial?

Si te pidió escanear un QR desde tu teléfono, si necesita el celular encendido, si promete mensajes ilimitados sin costo o si no existen plantillas con categorías, casi con seguridad es no oficial. La conexión oficial pasa por un registro guiado de Meta con tu cuenta de Meta Business y el proveedor figura como socio de Meta.

Fuentes

Ver todos los artículos