Mensagens temporárias no WhatsApp pela API: quando ativar e o que elas não protegem

Pela API não oficial do WhatsApp você ativa mensagens temporárias numa conversa com POST /{key}/chat/disappearing, informando o jid e o prazo em segundos (24 horas, 7 dias ou 90 dias; 0 desliga), e numa comunidade inteira com POST /{key}/community/{id}/ephemeral. É útil para conversas com dados sensíveis — códigos, documentos, laudos — mas tem limites claros: não impede print nem encaminhamento, e não apaga as cópias que o seu próprio sistema guardou.

Mensagem temporária parece um recurso de privacidade pronto. É meio caminho. Este guia mostra como ativar por código, onde ela faz sentido e o que você precisa fazer do seu lado para que ela signifique alguma coisa.

A camada não oficial da WAME é independente e não é afiliada, endossada ou suportada pelo WhatsApp ou pela Meta. O uso é de responsabilidade de quem envia.

Como funciona a mensagem temporária

Com a opção ligada numa conversa, cada mensagem nova enviada a partir daí some do app depois do prazo escolhido. Três pontos que costumam confundir:

• Vale para mensagens novas. O que já estava na conversa antes de ativar não é afetado.
• Vale para os dois lados. A configuração é da conversa, não de quem ativou. O cliente vê o aviso de que as mensagens temporárias foram ligadas.
• Os prazos são fixos. O WhatsApp trabalha com 24 horas, 7 dias e 90 dias.

Ativar numa conversa

curl -X POST "https://us.api-wa.me/SUA_KEY/chat/disappearing" \
  -H "Content-Type: application/json" \
  -d '{
    "jid": "[email protected]",
    "expiration": 86400
  }'

Para desligar, o mesmo endpoint com "expiration": 0.

Repare que aqui o campo é jid, com o sufixo completo (@s.whatsapp.net para contato). Se o contato chegou até você identificado por LID, use o JID @lid como ele veio — o guia sobre isso está em LID no WhatsApp.

Um fluxo típico ativa antes do conteúdo sensível e desativa depois:

const BASE = 'https://us.api-wa.me/SUA_KEY';

async function post(path, body) {
  return fetch(`${BASE}${path}`, {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify(body),
  });
}

async function enviarResultadoExame(telefone, urlPdf) {
  const jid = `${telefone}@s.whatsapp.net`;

  // 1. Liga as mensagens temporárias (7 dias) antes do documento
  await post('/chat/disappearing', { jid, expiration: 604800 });

  // 2. Avisa o paciente
  await post('/message/text', {
    to: telefone,
    text: 'Seu resultado está pronto. Por segurança, esta conversa ficará com mensagens temporárias por 7 dias — salve o PDF se precisar guardar.',
  });

  // 3. Envia o documento
  await post('/message/document', {
    to: telefone,
    url: urlPdf,
    mimetype: 'application/pdf',
    fileName: 'resultado-exame.pdf',
  });
}

O aviso do passo 2 não é detalhe. Se o paciente não souber que a mensagem vai sumir, ele volta daqui a dez dias procurando o exame e não encontra. Mensagem temporária sem aviso vira atendimento extra.

Ativar numa comunidade inteira

Para comunidades — turmas, condomínios, grupos de clientes —, dá para ligar em todos os grupos de uma vez:

curl -X POST "https://us.api-wa.me/SUA_KEY/community/ID_DA_COMUNIDADE/ephemeral" \
  -H "Content-Type: application/json" \
  -d '{ "expiration": 604800 }'

Em grupo e comunidade, o efeito prático é outro: além de privacidade, é higiene. Grupo de avisos com mensagens de 7 dias não acumula meses de conversa velha, e quem entra encontra só o que é atual. O que precisa ficar, você fixa no topo ou publica de novo. A gestão de comunidades por API está em criar e gerenciar comunidade pela API.

Quando faz sentido ativar

• Códigos e credenciais — código de acesso, senha provisória, token de retirada.
• Documentos pessoais — laudos, exames, contratos, comprovantes com CPF.
• Dados financeiros — boletos com dados do pagador, extratos, negociação de dívida.
• Suporte técnico com acesso — quando o cliente precisa mandar print de tela com informação sensível.
• Grupos operacionais — avisos do dia que perdem validade rápido.

E quando não faz sentido:

• Pedido, orçamento e combinado comercial. Você e o cliente querem o histórico. Some a mensagem, some a prova do que foi combinado.
• Atendimento que depende de contexto. O atendente de amanhã precisa ler o que foi dito hoje.
• Qualquer coisa que o cliente vai procurar depois sem ter sido avisado.

O que a mensagem temporária não protege

Aqui está a parte que quase ninguém conta.

1. Não impede print, cópia nem encaminhamento. A mensagem some do app depois do prazo; até lá, quem recebeu pode fazer o que quiser com ela. É higiene de dados, não sigilo.

2. Não apaga as cópias do seu sistema. Esse é o ponto mais importante para quem integra por API. Quando a mensagem passa pela sua integração, ela pode ficar em vários lugares:

• no seu banco de dados de conversas;
• no log do servidor que recebe o webhook;
• no CRM ou na ferramenta de atendimento;
• no armazenamento de mídia, se você baixa anexos.

O WhatsApp apagar da conversa não apaga nada disso. Se o objetivo é minimizar dados, sua política de retenção precisa acompanhar o mesmo prazo. Ligar mensagem temporária no WhatsApp e guardar o laudo para sempre no seu banco é incoerente — e, num incidente, é exatamente o laudo guardado que vaza.

3. Não substitui base legal nem contrato. A LGPD pede finalidade, necessidade e segurança. Mensagem temporária ajuda na necessidade (guardar só o que precisa, pelo tempo que precisa), mas não é, sozinha, conformidade. O que sua software house precisa garantir está em API de WhatsApp e LGPD.

Coerência: alinhe a sua retenção

Uma checklist curta para quem ativa mensagens temporárias por API:

• Defina o prazo por tipo de conteúdo, não por conversa inteira quando não for necessário.
• Não logue o corpo de mensagens sensíveis; logue só metadados (id, horário, status).
• Configure expiração no seu armazenamento de mídia com o mesmo prazo.
• Se usa armazenamento próprio de mensagens, aplique a mesma política lá — o caminho de dados sob seu controle está em MongoDB próprio para os dados da API.
• Avise o cliente antes do conteúdo, sempre.
• Revise o checklist de segurança de token e webhook: mensagem que some do app, mas trafega por webhook sem proteção, não está protegida.

E o número, corre risco?

Não. Ligar e desligar mensagens temporárias é uma ação comum de usuário, feita todos os dias no app. O que coloca número em risco é comportamento de disparo — mensagens não solicitadas, volume desproporcional, texto idêntico para muitos desconhecidos. Numa conversa de atendimento que o cliente iniciou, com um documento que ele pediu, o risco é o mesmo de qualquer atendimento: muito baixo para quem usa do jeito certo. Os fatores reais estão em o que derruba um número.

Conclusão

Mensagem temporária é uma boa ferramenta de higiene: POST /{key}/chat/disappearing liga numa conversa, POST /{key}/community/{id}/ephemeral liga numa comunidade inteira, e o prazo vai de 24 horas a 90 dias. Use para códigos, documentos e dados sensíveis, avise o cliente antes e — o mais importante — alinhe a retenção do seu próprio sistema com o mesmo prazo. Sem isso, a mensagem some do WhatsApp e continua no seu banco. Os detalhes dos endpoints estão na documentação, e o que mais a camada não oficial oferece está em API do WhatsApp não oficial: vantagens.