Anti-detecção na API não oficial do WhatsApp: como a WAME protege seu número

A anti-detecção da WAME é uma camada que faz cada instância não oficial se comportar como um aparelho e uma pessoa reais: identidade de dispositivo própria e coerente com o país do número, tempo humano de leitura e digitação, limites de ritmo de envio, reconexão espalhada no tempo e um monitor de saúde que pausa antes de o problema virar ban. Ela não serve para esconder spam — serve para que o uso legítimo não pareça robô por detalhe técnico.

Se você já leu o que derruba um número, sabe que a causa principal de bloqueio é comportamento. Este artigo trata da outra metade: os sinais técnicos que uma biblioteca crua deixa escapar e que a plataforma resolve por você.

A camada não oficial não é afiliada, endossada ou suportada pelo WhatsApp ou pela Meta. O uso é de responsabilidade de quem envia.

Por que uma conexão automatizada chama atenção

Quando alguém roda uma biblioteca open-source por conta própria, é comum que:

• dezenas de instâncias se apresentem com a mesma identidade de dispositivo;
• o "aparelho" diga ser de um país e o número seja de outro;
• a resposta saia em zero milissegundo, sem leitura, sem digitação;
• um loop mande mensagem atrás de mensagem, sem pausa;
• depois de uma queda de rede, todas as instâncias reconectem no mesmo segundo, do mesmo IP;
• o código continue insistindo em enviar mesmo com o número já restrito.

Nenhum desses sinais, sozinho, derruba um número. Somados a um comportamento duvidoso, eles aceleram muito o problema. A anti-detecção existe para zerar essa lista.

Camada 1: identidade de dispositivo única e estável

Toda instância na WAME tem sua própria identidade de aparelho, gerada uma vez e mantida estável ao longo da vida da conexão. Duas instâncias nunca se apresentam como o mesmo dispositivo, e a mesma instância não "troca de aparelho" a cada reconexão — o que seria tão estranho quanto um celular mudando de modelo toda manhã.

Essa identidade também é coerente com o país do número: idioma e fuso horário acompanham o código de país. Um número brasileiro aparece como um aparelho configurado em português, no fuso do Brasil.

Você não precisa fazer nada aqui. A camada é da plataforma e vem ativa em toda instância.

Camada 2: tempo humano de leitura e digitação

Uma pessoa lê a mensagem, pensa um instante, digita por um tempo que depende do tamanho do texto e só então envia. Resposta instantânea, sempre com o mesmo atraso, é um padrão que nenhum humano produz.

O fluxo humanizado replica essa sequência: fica online, marca como lida, mostra "digitando..." por um tempo proporcional ao texto — com variação aleatória, para nunca repetir o mesmo intervalo — e envia.

Do lado do seu código, você pode (e deve) reforçar esse comportamento nos bots. Um exemplo básico, escrito do zero, de como calcular um atraso humano:

// Tempo de "digitando" proporcional ao texto, com variação aleatória.
// Os valores são ilustrativos — ajuste ao perfil do seu atendimento.
function atrasoHumano(texto) {
  const base = 1000 + texto.length * 50;      // mais texto, mais tempo
  const variacao = 0.7 + Math.random() * 0.6; // ±30% para não repetir padrão
  return Math.min(8000, Math.round(base * variacao));
}

async function responderComoGente(para, texto) {
  const API = 'https://us.api-wa.me/SUA_KEY';

  await fetch(`${API}/message/presence`, {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ to: para, status: 'composing' }),
  });

  await new Promise((r) => setTimeout(r, atrasoHumano(texto)));

  await fetch(`${API}/message/text`, {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ to: para, text: texto }),
  });
}

O guia completo de presença está em simular "digitando..." pela API.

Camada 3: limites de ritmo

Mesmo um bot que só responde pode gerar volume anormal — um grupo agitado, um loop mal escrito, uma campanha que viralizou. Por isso a própria API põe dois freios no envio, e os dois respondem 429 quando estouram:

• Números novos por minuto: o limite conta com quantas pessoas diferentes a instância fala num intervalo curto. Responder dez vezes ao mesmo cliente passa; mandar uma mensagem para muita gente nova de uma vez, não. Falar com muitos desconhecidos rapidamente (fan-out) é o maior gatilho de anti-spam que existe.
• Mesmo texto para muitos números: quando o mesmo conteúdo sai para números demais em poucos minutos, a API recusa o envio. É o padrão clássico de disparo em massa, e a WAME barra antes que ele chegue ao WhatsApp.

Repare que nenhum dos dois conta mensagens: eles contam pessoas e repetição. Conversar muito com poucos clientes é normal; mandar a mesma mensagem para muitos desconhecidos não é.

Trate o 429 como sinal para desacelerar, não como erro a ser repetido na hora. Os valores exatos vêm na mensagem de erro e na documentação.

Se a sua aplicação tem fila própria, vale implementar a mesma lógica antes de chamar a API. O desenho de fila, rate limit e retry está em fila, rate limit e retry.

Camada 4: reconexão espalhada no tempo

Quedas acontecem: rede instável, manutenção, restart de servidor. O problema não é cair, é voltar todo mundo junto. Quando muitas conexões reconectam no mesmo instante, o servidor do outro lado enxerga uma rajada de handshakes simultâneos e responde com desconexões temporárias — que geram mais reconexões, num ciclo ruim.

A reconexão da WAME usa backoff exponencial com jitter: cada tentativa espera mais que a anterior, e o momento exato é sorteado dentro de uma faixa. O resultado é que as instâncias voltam espalhadas, como aparelhos independentes voltariam.

A ideia, em forma genérica (não é o código da plataforma):

// Backoff exponencial com jitter: espera cresce e é sorteada.
function esperaReconexao(tentativa, baseMs = 500, tetoMs = 30000) {
  const teto = Math.min(tetoMs, baseMs * 2 ** tentativa);
  return Math.round(Math.random() * teto);
}

Você não precisa implementar isso para as instâncias da WAME. Mas o mesmo princípio vale para o seu código que chama a API ou reprocessa webhook: retry sem jitter é uma forma de se autossabotar.

Camada 5: monitor de saúde

Esta é a camada que mais protege número, e a menos óbvia. Quando algo começa a dar errado — desconexões temporárias em sequência, sinal de conta restrita, logout — o pior que um sistema pode fazer é insistir. Insistir num número já restrito é exatamente o que transforma um bloqueio temporário em ban definitivo.

O monitor de saúde traduz esses sinais num estado simples (saudável, degradado, restrito, desconectado) e, quando o estado muda, manda um evento health para o seu webhook de conexão. O evento traz o estado anterior, o novo, o motivo e uma recomendação explícita de pausar. Parar nessa hora é a diferença entre perder algumas horas e perder o número.

A decisão de pausar fica com você, porque só você sabe o que pode esperar na sua fila. Configure o webhook de conexão, trate o evento de saúde como ordem de parada e não como erro a tentar de novo em loop. Os sinais que você mesmo consegue enxergar estão em sinais de que o número está em risco.

Cuidado extra: contato frio e mensagem interativa

Existe um comportamento do próprio WhatsApp que pega muita gente: mensagens interativas (botões e listas) não aparecem no celular do destinatário quando são a primeira mensagem de uma conversa que nunca existiu. O texto simples chega; o menu, não. É uma proteção do app do destinatário, não um erro de envio.

A saída é simples: abra a conversa com um texto antes de mandar botões ou listas para quem nunca falou com você. Uma mensagem normal já basta, e o menu seguinte chega renderizado. Mais sobre isso em como aquecer um número novo.

O que a anti-detecção não faz

Vale ser direto, porque é aqui que muita gente se engana:

• Não esconde spam. Se você manda para quem não pediu, o destinatário denuncia, e denúncia pesa mais que qualquer detalhe técnico.
• Não salva lista comprada. Números que não conhecem sua marca vão bloquear e denunciar.
• Não substitui aquecimento. Número novo enviando volume de número antigo continua sendo suspeito.
• Não garante bloqueio zero. Nenhuma API garante.

A WAME não apoia spam. A camada existe para que atendimento, notificação, grupos e bots — os usos legítimos — rodem com taxa de bloqueio muito baixa. As regras de convivência estão em uso responsável da API não oficial.

Biblioteca crua vs plataforma gerenciada

Dá para construir tudo isso sobre Baileys ou Evolution API? Dá. A questão é quanto tempo leva e quantos números você perde aprendendo. A WAME acumula esse aprendizado desde 2017, em mais de 50 mil instâncias.

Conclusão

Anti-detecção não é truque para enganar o WhatsApp; é tirar do caminho os sinais técnicos que fazem uma conexão legítima parecer robô. Na WAME, identidade de dispositivo, reconexão, limites de ritmo, e monitor de saúde já vêm prontos. Do seu lado, fica a parte que só você controla: falar com quem pediu, em ritmo humano, e parar quando o número dá sinal. Com as duas metades, o risco de bloqueio na API não oficial fica muito baixo. A referência dos endpoints está na documentação.