Límites y antifraude

Verify frena el abuso antes de gastar un mensaje. Los límites vienen activos y lo que se bloquea no se factura.

Qué se revisa antes de enviar

Cada vez que una petición va a enviar un mensaje, al crear o al reenviar, Verify revisa estos controles en orden. Si alguno se activa, no se envía nada y la petición no se factura.

Control	HTTP	Código
País del destinatario no habilitado (solo teléfonos)	403	`40012`
Destinatario bloqueado: número o dirección exactos, o prefijo del número	403	`40011`
Demasiadas verificaciones para el mismo destinatario	429	`40001`
Demasiadas verificaciones para la aplicación	429	`40002`
La SIM del número cambió hace poco, si activaste la protección contra SIM swap (solo teléfonos)	403	`40014`

Devolver una verificación que sigue activa, sin enviar nada nuevo, no consume los límites. Por eso un usuario impaciente que pulsa «Reenviar» no agota su cupo. La única excepción son dos creaciones simultáneas para el mismo destinatario: las dos cuentan.

Los contadores son por entorno: lo que envías con una clave test_ nunca cuenta contra tu cupo de producción, aunque en el entorno de pruebas aplican los mismos límites y bloqueos.

Límites por destinatario y por aplicación

Por destinatario: cuenta cuántos códigos se envían a un mismo número o dirección de correo en ventanas de tiempo, verificaciones nuevas y reenvíos por igual. Por ejemplo, 5 por hora y 20 por día. El conteo es compartido por todas las aplicaciones de tu cuenta.
Por aplicación: un tope global opcional para toda tu aplicación.

Hoy los valores son los mismos para todas las cuentas. Pide los vigentes a tu contacto de Inalambria si necesitas planear picos de tráfico.

🚧
Atención
Las respuestas 429 con 40001 y 40002 no incluyen Retry-After. No reintentes en bucle: muestra a tu usuario que espere y reintenta con retroceso exponencial, con una Idempotency-Key nueva: la misma clave repite el 429 guardado.

Fallos de autenticación por IP

Además, los fallos de autenticación repetidos desde una IP (por defecto, 20 en 60 segundos) bloquean esa IP durante un tiempo. Mientras dura, toda petición responde 429 con 40003 y un Retry-After en segundos.

Límite por clave

Una clave también puede llevar su propio límite de peticiones por minuto. Cuando se agota, las peticiones hechas con esa clave responden 429 con 40005 y un Retry-After en segundos; las demás claves de la misma cuenta no se ven afectadas.

Buenas prácticas

Valida el número en tu formulario antes de llamar: evitas un 400 20003 y le das a tu usuario el error en el momento.
No expongas la creación de verificaciones sin control. Pon un captcha o un límite propio por sesión delante del botón «Enviar código».
Guarda el X-Request-Id de las respuestas 4xx: es lo primero que pedirá soporte.