أكواد OTP صح

ابعت أكواد تحقق من رقمك: مرسلات بتعمل الكود وتعمله hash، وبتستخدم نص ثابت آمن، وبتحدد المحاولات والمستلمين.

POST /v2/otp بيبعت كود تحقق؛ و POST /v2/otp/{otpId}/verify بيتأكد من اللي الشخص كتبه. انت عمرك ما بتمسك الكود أو تخزنه: مرسلات بتعمله بمولّد عشوائي آمن وبتحتفظ بـ hash بس.

POST /v2/otp

curl -X POST "https://mursilat.com/api/v2/otp" \
  -H "Authorization: Bearer $WASLA_API_KEY" \
  -H "Idempotency-Key: order-1042-confirm" \
  -H "Content-Type: application/json" \
  -d '{
  "numberId": "cm1abcd2345efgh6789ijkl",
  "to": "201001234567",
  "length": 6,
  "ttlSeconds": 300,
  "maxAttempts": 5,
  "app": "متجر النور",
  "copyButton": true
}'

const res = await fetch('https://mursilat.com/api/v2/otp', {
  method: 'POST',
  headers: {
    Authorization: `Bearer ${process.env.WASLA_API_KEY}`,
    'Idempotency-Key': 'order-1042-confirm',
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({
    "numberId": "cm1abcd2345efgh6789ijkl",
    "to": "201001234567",
    "length": 6,
    "ttlSeconds": 300,
    "maxAttempts": 5,
    "app": "متجر النور",
    "copyButton": true
  }),
});
const data = await res.json();
if (!res.ok) throw new Error(`${data.error.code}: ${data.error.message}`);
console.log(data);

import os
import requests

headers = {"Authorization": f"Bearer {os.environ['WASLA_API_KEY']}", "Idempotency-Key": "order-1042-confirm"}
res = requests.post(
    "https://mursilat.com/api/v2/otp",
    headers=headers,
    json={
        "numberId": "cm1abcd2345efgh6789ijkl",
        "to": "201001234567",
        "length": 6,
        "ttlSeconds": 300,
        "maxAttempts": 5,
        "app": "متجر النور",
        "copyButton": True
    },
    timeout=30,
)
data = res.json()
if not res.ok:
    raise RuntimeError(f"{data['error']['code']}: {data['error']['message']}")
print(data)

<?php
$ch = curl_init('https://mursilat.com/api/v2/otp');
curl_setopt_array($ch, [
    CURLOPT_CUSTOMREQUEST => 'POST',
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_HTTPHEADER => [
        'Authorization: Bearer ' . getenv('WASLA_API_KEY'),
        'Idempotency-Key: order-1042-confirm',
        'Content-Type: application/json',
    ],
    CURLOPT_POSTFIELDS => json_encode([
        'numberId' => 'cm1abcd2345efgh6789ijkl',
        'to' => '201001234567',
        'length' => 6,
        'ttlSeconds' => 300,
        'maxAttempts' => 5,
        'app' => 'متجر النور',
        'copyButton' => true
    ], JSON_UNESCAPED_UNICODE),
]);
$data = json_decode(curl_exec($ch), true);
$status = curl_getinfo($ch, CURLINFO_HTTP_CODE);
if ($status >= 400) { throw new Exception($data['error']['code'] . ': ' . $data['error']['message']); }
print_r($data);

نصوص ثابتة

النص ثابت ومترجم، عشان endpoint الـ OTP عمره ما يتحول لوسيلة لرسايل عشوائية أو روابط احتيال. بيتملى فيه الكود ومدة الصلاحية بالدقايق واسم app بس:

`locale`	النص
`ar` (الافتراضي)	النص«كود التحقق لـ {app}: {code} — صالح لمدة {minutes} دقيقة. متشاركهوش مع أي حد.»
`en`	النص“Your verification code for {app}: {code} — Valid for {minutes} minutes. Do not share it with anyone.”

app بيقبل حروف وأرقام ومسافات (حد أقصى 30) — من غير روابط، ولا نهايات دومين زي com أو sa، ولا خدمات روابط، ولا 6 أرقام ورا بعض. copyButton: true بيضيف زرار «نسخ الكود».

الحدود

الحد	القيمة
طول الكود / الصلاحية / المحاولات	القيمة4–8 أرقام · 60–900 ثانية · 1–10 محاولات
أكواد لنفس المستلم	القيمة5 في الساعة
مستلمين مختلفين للحساب	القيمة200 في الساعة (`OTP_ACCOUNT_RATE_LIMITED`)
طلبات التحقق	القيمة60 لكل مفتاح في الدقيقة
حماية الرقم لفئة OTP	القيمة30 في الساعة و300 في اليوم لكل رقم، بفاصل 3–5 ثواني
الرصيد	القيمةوحدة رسالة واحدة، بترجع لو الإرسال فشل

المستلمين اللي لغوا اشتراكهم بيترفضوا. صفوف الـ OTP بتتمسح بعد 7 أيام؛ والمستلم بيتخزن مخفي جزئيًا.

ابعت الكود كنص (الأصفار اللي في الأول مهمة). كل طلب بيصرف محاولة قبل المقارنة بوقت ثابت؛ وعند maxAttempts الكود بيتقفل. valid: false بيجي معاه reason: INVALID_CODE أو EXPIRED أو TOO_MANY_ATTEMPTS أو ALREADY_VERIFIED. ويب هوك otp.verified (من غير الكود) بيتبعت لما ينجح.

POST /v2/otp/{otpId}/verify

curl -X POST "https://mursilat.com/api/v2/otp/otp_8f2c1d9a7b3e4f56a1b2c3d4/verify" \
  -H "Authorization: Bearer $WASLA_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
  "code": "048213"
}'

const res = await fetch('https://mursilat.com/api/v2/otp/otp_8f2c1d9a7b3e4f56a1b2c3d4/verify', {
  method: 'POST',
  headers: {
    Authorization: `Bearer ${process.env.WASLA_API_KEY}`,
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({
    "code": "048213"
  }),
});
const data = await res.json();
if (!res.ok) throw new Error(`${data.error.code}: ${data.error.message}`);
console.log(data);

import os
import requests

headers = {"Authorization": f"Bearer {os.environ['WASLA_API_KEY']}"}
res = requests.post(
    "https://mursilat.com/api/v2/otp/otp_8f2c1d9a7b3e4f56a1b2c3d4/verify",
    headers=headers,
    json={
        "code": "048213"
    },
    timeout=30,
)
data = res.json()
if not res.ok:
    raise RuntimeError(f"{data['error']['code']}: {data['error']['message']}")
print(data)

<?php
$ch = curl_init('https://mursilat.com/api/v2/otp/otp_8f2c1d9a7b3e4f56a1b2c3d4/verify');
curl_setopt_array($ch, [
    CURLOPT_CUSTOMREQUEST => 'POST',
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_HTTPHEADER => [
        'Authorization: Bearer ' . getenv('WASLA_API_KEY'),
        'Content-Type: application/json',
    ],
    CURLOPT_POSTFIELDS => json_encode([
        'code' => '048213'
    ], JSON_UNESCAPED_UNICODE),
]);
$data = json_decode(curl_exec($ch), true);
$status = curl_getinfo($ch, CURLINFO_HTTP_CODE);
if ($status >= 400) { throw new Exception($data['error']['code'] . ': ' . $data['error']['message']); }
print_r($data);

وصول الرسالة

ابعت الـ OTP من رقم الناس عارفاه — والأحسن رقم مخصوص، مش الرقم اللي بتعمل بيه حملات، عشان البلاغات على التسويق متقفلش تسجيل الدخول. شوف استخدام رقم بيزنس مخصوص.

أكواد OTP صح

نصوص ثابتة

الحدود

التحقق