La API no oficial de WhatsApp no es una API: es tu WhatsApp Web en el servidor de otro

Lo que ese panel vende como "API no oficial", "conexión por QR" o "multi-dispositivo" no es una API: es WhatsApp Web corriendo en el servidor de otro, con tu número como llave. Y no te ahorra dinero: te cambia unos dólares al mes por el único activo que no puedes reponer, el número que tus clientes tienen guardado.

Qué hace una conexión por QR

Hay dos maneras de conectar un programa a WhatsApp. La que Meta documenta es la Cloud API de la WhatsApp Business Platform: se contrata con un socio (BSP) o proveedor tecnológico y se activa con el registro guiado Embedded Signup. La otra es que tu servidor se disfrace de navegador: escaneas el QR de WhatsApp Web con tu teléfono y una librería habla con WhatsApp fingiendo ser Chrome. La API On-Premises, la que hospedaban las empresas grandes, se apagó el 23 de octubre de 2025 según Meta; quien la mencione como vigente lee un manual viejo.

Los repositorios avisan; el revendedor no

Los dos proyectos que sostienen el mercado avisan en su primera página de GitHub. whatsapp-web.js (pedroslopez, unas 22,500 estrellas, Apache 2.0) corre un Chromium con Puppeteer y su README dice que WhatsApp no permite bots ni clientes no oficiales, así que no debería considerarse totalmente seguro. Baileys (WhiskeySockets, unas 11,000 estrellas, MIT) habla el protocolo sin navegador; su README aclara que no está afiliado a WhatsApp, no condona violar los términos y desalienta cualquier mensajería masiva o automatizada. Estrellas aproximadas al 8 de septiembre de 2026.

Avisan los mantenedores, que no cobran; el revendedor que la empaqueta con un panel no lo menciona. Whaticket, muy común en LATAM, ofrece conexión "por API o por QR" y su versión comunitaria usa whatsapp-web.js. No es engaño; es modelo de negocio.

Lo que aceptaste al instalar WhatsApp

Los Términos de Servicio de WhatsApp prohíben la mensajería masiva, la mensajería automática, el marcado automático y similares, la ingeniería inversa o extracción de código de los servicios y el acceso no autorizado a ellos. Los Términos para Empresas prohíben además desarrollar o usar aplicaciones que interactúen con los servicios para empresas sin consentimiento previo por escrito de Meta, y crear software o APIs que funcionen sustancialmente igual que sus servicios de forma no autorizada. Meta se reserva suspender o cancelar cuentas. El QR incumple los tres párrafos.

La Política de Mensajería para Empresas permite automatizar dentro de la ventana de 24 horas, con opt-in del cliente y una vía clara a una persona. Desde el 15 de enero de 2026 prohíbe además en la API los chatbots de IA de propósito general, aunque en Brasil la autoridad de competencia (CADE) ordenó suspender esa cláusula. Un agente que atiende a tus clientes sobre tu negocio no es de propósito general; un bot no oficial con IA incumple las dos reglas.

Los bloqueos están en los issues

Está en los issues públicos de los proyectos. En octubre de 2025, un usuario de Baileys reportó cinco bots bloqueados en una semana, dos con más de tres años sin problemas. En agosto de 2025, en Evolution API, otro pasó de unos 1,000 mensajes diarios a ser bloqueado tras 40 o 50; el envío masivo se había vuelto imposible. Tres años de buen comportamiento no compraron nada.

Y no solo bloquea: en junio de 2019 WhatsApp anunció acciones legales contra la mensajería masiva o automatizada incluso con evidencia obtenida fuera de la plataforma (TechCrunch, 2019), y en 2022 demandó en California a Rockey Tech por una app modificada que comprometió más de un millón de cuentas (Justia, 2022). Y las roturas: whatsapp-web.js registra sesiones caídas y chats que no cargan en agosto, noviembre y diciembre de 2025; Baileys, rechazos por cambio de versión del cliente y cierres forzados desde el teléfono. A las 11 de la noche no hay a quién llamar.

Tu WhatsApp vive en un servidor ajeno

La sesión queda guardada como archivos en el servidor (en Baileys, una carpeta de credenciales) y quien controla esa carpeta controla tu WhatsApp. En octubre de 2025 Trend Micro documentó SORVEPOTEL, un malware que secuestraba sesiones de WhatsApp Web y se reenviaba a todos los contactos; casi todas las infecciones fueron en Brasil y provocaban suspensiones de cuenta. Sesión robada y sesión emulada son, técnicamente, lo mismo.

Súmale la ley. En México, la nueva Ley Federal de Protección de Datos Personales rige desde marzo de 2025 y exige medidas de seguridad y consentimiento para fines nuevos (Garrigues, 2025); en Colombia, la Ley 1581 de 2012 exige autorización previa, expresa e informada, y la Superintendencia de Industria y Comercio puede multar hasta 2,000 salarios mínimos. Chats de clientes en un servidor sin contrato no son un ahorro: son una multa con fecha por definir.

El mito: con la oficial pierdo mi número y mi app

Es la frase favorita para justificar el QR. Hasta 2024 era cierta: un número vivía en la app de WhatsApp Business o en la API, nunca en las dos, y pasar a la API implicaba dar de baja la app y despedirse de los chats. Los revendedores construyeron su argumento sobre esa regla, y el argumento sobrevivió a la regla.

Desde 2024 la coexistencia, documentada por Meta, permite que el mismo número trabaje en la app del teléfono y en la Cloud API a la vez. Pide la app WhatsApp Business 2.24.17 o superior y sincroniza los últimos seis meses de chats. Conservas app, número y chats. La única vía que puede quitarte el número es la no oficial.

Cuándo sí tiene sentido y con qué número

No todo uso es abuso. Tu WhatsApp personal, un prototipo antes de contratar nada o avisos internos a tu equipo son usos razonables, y los mantenedores lo dicen así: bajo tu propio riesgo y sin envíos masivos. La única regla: con un chip o una eSIM nueva, nunca con el número comercial. El número del letrero no tiene precio de reposición.

Las ocho señales de un proveedor no oficial

Con dos de estas ya sabes por qué vía va tu número.

Alternativas oficiales, por el trabajo que exigen

Todo lo que sigue usa la Cloud API oficial. Precios de lista al 8 de septiembre de 2026, en dólares por mes salvo aviso. Lo que las separa no es el precio, sino cuánto trabajo te piden. Si no quieres pagar nada, la app WhatsApp Business gratuita sigue siendo la respuesta, y con coexistencia le sumas después cualquiera de las siguientes.

Si tienes quien lo configure, las piezas sueltas exigen más. Chatwoot, de código abierto (MIT), se conecta a la Cloud API; su versión hospedada parte de 19 dólares por agente y la IA es un complemento. 360dialog vende el acceso a la API sin margen por mensaje desde 49 euros por número al mes. Twilio cobra medio centavo de dólar por mensaje sobre la tarifa de Meta. Gupshup, Zenvia y Botmaker cotizan a medida para empresas medianas y grandes.

Las plataformas para un equipo que atiende a mano se ordenan por cómo cobran. Wati, fuerte en flujos y campañas, parte de 69 dólares al mes (59 en pago anual) con tres usuarios; la IA va por créditos y sus agentes de IA son un complemento aparte. Kommo, CRM de embudos maduro, cobra por usuario (desde 20 dólares en LATAM, 25 en Estados Unidos, con mínimo de seis meses) y el agente de IA va desde el plan Advanced. Leadsales, popular en México para ordenar chats en embudos, tiene plan fijo desde 97 dólares y la API oficial en los planes superiores. respond.io parte de 79 dólares en pago anual, con coexistencia, y la IA desde 159. Callbell resuelve bien la bandeja compartida desde 15 dólares por agente más el módulo de WhatsApp. ManyChat (desde 39, por contactos) y SleekFlow (desde 149) miran al marketing.

Y Empleado.uno, donde nosotros entramos: conexión oficial con registro guiado y coexistencia, un agente de IA incluido que responde, cotiza, agenda y registra en el CRM, y plan fijo desde 49.99 dólares al mes sin cobrar por usuario; las tarifas de Meta se cobran sin margen nuestro. Lo que no hacemos: envíos masivos a listas sin permiso, que es lo que Meta persigue. Para eso no sirve ninguna opción del mapa, y ninguna debería.

El costo, con números

El motivo declarado para el QR es el precio. Pruébalo con 500 conversaciones entrantes al mes y unas seis respuestas por conversación: 3,000 mensajes de servicio. Con las reglas de Meta vigentes hasta el 30 de septiembre de 2026 cuestan 0 dólares. Desde el 1 de octubre (1,000 gratis por número y el resto al precio de utilidad del país, según la hoja de tarifas de Meta), en México cuestan 17 dólares, en Brasil 13.60 y en Colombia 1.60. Súmale la plataforma: de 19 dólares (Chatwoot) a 49.99 con IA incluida.

El QR también cuesta: horas de reparación cada vez que WhatsApp cambia el protocolo y una probabilidad documentada de perder el número. Lo caro por la vía oficial es el marketing saliente: 3,000 plantillas de marketing en Brasil son unos 187 dólares. La oficial es barata para atender y cara para bombardear; la no oficial es "gratis" para bombardear hasta que deja de existir. Si vives de atender, el costo juega a tu favor.

Qué hacer esta semana

Abre el panel de tu proveedor y busca el QR. Si está, pide un chip nuevo, pasa el bot a ese número y deja el comercial solo en la app. Después pide a dos proveedores del mapa que te muestren el registro guiado de Meta; el que no pueda, no lo tiene. Sabrás que funcionó la noche en que la sesión se caiga y no te importe.