WhatsApp Business tem criptografia de ponta a ponta?

O WhatsApp Business tem criptografia de ponta a ponta? Depende de quem opera o lado da empresa na conversa: um celular rodando o aplicativo WhatsApp Business ou a Cloud API da Meta e o software conectado a ela. Este guia explica a diferença entre criptografia de ponta a ponta, criptografia em repouso e criptografia em trânsito, compara WhatsApp, Instagram, Messenger, Telegram e Viber em setembro de 2026 e mostra como testar as promessas de segurança de um fornecedor.

Principais pontos

A criptografia de ponta a ponta (E2EE) é sobre quem guarda as chaves, não sobre onde os dados ficam: só os endpoints da conversa conseguem descriptografar a mensagem.
A API do WhatsApp Business (Cloud API) não tem criptografia de ponta a ponta pela própria definição do WhatsApp, porque a Meta hospeda o endpoint da empresa e descriptografa as mensagens recebidas antes de encaminhá-las.
O Instagram encerrou a E2EE nas DMs em 8 de maio de 2026, e as conversas do Messenger com empresas não têm suporte a E2EE.
As conversas do Telegram não são criptografadas de ponta a ponta por padrão; só os chats secretos, que são opcionais, são. O Viber deixa chatbots e contas comerciais de fora da sua E2EE padrão.
Por concepção, uma plataforma de resposta automática com IA precisa ler as mensagens que responde, então ela não pode ser zero-knowledge sobre elas. Avalie fornecedores pela criptografia de credenciais, pelo controle de acesso, pela retenção e pela exclusão.

Criptografia de ponta a ponta, em repouso e em trânsito: quem guarda as chaves

A criptografia em trânsito protege os dados em movimento entre dois sistemas, como um celular e um servidor, normalmente com TLS. Cada servidor que os recebe consegue descriptografá-los.
A criptografia em repouso protege os dados guardados em discos, em bancos de dados ou em backups. Quem armazena normalmente detém as chaves e consegue descriptografar sempre que o software dele precisar.
A criptografia de ponta a ponta significa que só os endpoints da conversa têm as chaves. Os servidores no meio do caminho repassam texto cifrado que não conseguem ler.

Criptografia em trânsito mais criptografia em repouso não é a mesma coisa que E2EE. Essa combinação em geral ainda permite que o provedor leia o conteúdo, porque na maioria das configurações é ele que controla essas chaves. O verdadeiro teste de E2EE é se alguém além dos endpoints consegue descriptografar a mensagem.

O WhatsApp Business tem criptografia de ponta a ponta? App x Cloud API

O aplicativo WhatsApp Business tem criptografia de ponta a ponta quando a empresa o roda nos próprios aparelhos, sem companion da Cloud API e sem fornecedor vinculado. A API do WhatsApp Business (Cloud API) não tem, pela própria definição do WhatsApp.

O whitepaper Encryption Overview do WhatsApp (atualizado em fevereiro de 2026) diz que as mensagens entre usuários do WhatsApp, inclusive usuários do aplicativo WhatsApp Business, usam o Signal Protocol e contam como criptografadas de ponta a ponta porque cada endpoint é um aparelho controlado pelo próprio usuário.

Toda conversa do WhatsApp usa o mesmo protocolo Signal. O que muda o rótulo de E2EE é quem opera o endpoint da empresa. A Cloud API é hospedada pela Meta desde 2021, e o WhatsApp não considera essas conversas criptografadas de ponta a ponta porque as mensagens não são entregues diretamente a um endpoint controlado pela empresa.

A documentação de privacidade de dados da Cloud API da Meta descreve o fluxo:

O aplicativo do cliente e a Cloud API, agindo pela empresa, negociam chaves Signal.
A Cloud API descriptografa as mensagens recebidas e as encaminha para a empresa.
Nas respostas, a Cloud API criptografa a mensagem com Signal antes de entregá-la ao cliente.
A Meta age como operadora de dados da empresa, armazena as mensagens da Cloud API criptografadas em repouso e as guarda por no máximo 30 dias.

A documentação geral da Cloud API diz que os webhooks são entregues por HTTPS protegido por TLS.

Ou seja: a WhatsApp Cloud API continua usando criptografia Signal no tráfego e criptografa as mensagens em repouso; ela simplesmente não é de ponta a ponta, porque os servidores da Meta lidam com o texto claro em nome da empresa. Para as diferenças de recursos, veja a nossa comparação entre WhatsApp Cloud API e aplicativo Business.

O WhatsApp Business tem criptografia de ponta a ponta com fornecedor, vínculo companion ou caixa de entrada com IA?

Uma conversa com uma conta do aplicativo WhatsApp Business nem sempre é E2EE. Segundo o whitepaper, ela perde esse status quando:

A empresa vincula a Cloud API como companion ao seu aplicativo WhatsApp Business, o que é possível desde 2024. Essas conversas individuais são compartilhadas com a Meta para processamento.
Um fornecedor opera a API do WhatsApp Business da empresa. Esse fornecedor tem acesso às chaves privadas da empresa, mesmo quando o fornecedor é a própria Meta, então o WhatsApp não trata essas conversas como criptografadas de ponta a ponta.

O WhatsApp mostra ao cliente uma mensagem de sistema na conversa quando esse status muda. A API On-Premises, cujos endpoints auto-hospedados contavam como criptografados de ponta a ponta, acabou: o seu último cliente, o v2.63, expirou em 23 de outubro de 2025, e a Meta agora direciona as empresas para a Cloud API.

Na prática, se você atende no WhatsApp em escala por uma API, por um Business Solution Provider ou por uma caixa de entrada com IA para WhatsApp, as suas conversas não estão entre as que o WhatsApp classifica como criptografadas de ponta a ponta.

O que acontece quando um chatbot com IA ou um CRM lê as suas mensagens do WhatsApp

Um chatbot com IA consegue ler mensagens criptografadas de ponta a ponta? Só se ele estiver em um endpoint que recebe o texto já descriptografado. Com a Cloud API, o caminho é este:

O celular do cliente criptografa a mensagem com Signal.
A Cloud API da Meta a descriptografa para a empresa.
Um webhook a entrega por TLS à plataforma da empresa: um CRM, um helpdesk ou uma caixa de entrada com IA.
A plataforma armazena a conversa e passa o texto para um modelo de IA redigir ou enviar a resposta.

No passo 4 a mensagem fica legível dentro dos sistemas do fornecedor, seja qual for a criptografia em repouso que ele use. Duas coisas são verdadeiras ao mesmo tempo: a conversa é criptografada no tráfego e o seu CRM consegue lê-la.

DMs do Instagram depois de 8 de maio de 2026: sem criptografia de ponta a ponta

As DMs do Instagram têm criptografia de ponta a ponta em 2026? Não. Segundo a Central de Ajuda do Instagram, o Instagram parou de oferecer mensagens com E2EE em 8 de maio de 2026. O recurso sempre foi opcional, ativado conversa a conversa, e nunca foi o padrão. A Meta indicou o WhatsApp para quem quer E2EE.

Se você usa respostas com IA no Instagram, trate essas DMs como não criptografadas de ponta a ponta.

Facebook Messenger: conversas pessoais x conversas com empresas

A Meta começou a liberar a E2EE por padrão nas conversas e chamadas individuais pessoais do Messenger em 6 de dezembro de 2023. A Central de Ajuda do Messenger lista os produtos que hoje não têm suporte a E2EE, entre eles as conversas com empresas, as contas que usam ferramentas de mensagens para empresas e as conversas do Marketplace.

Ou seja, a criptografia de ponta a ponta do Messenger não cobre a conversa de um cliente com uma Página do Facebook que usa uma caixa de entrada ou um chatbot.

Chats na nuvem, chats secretos e bots do Telegram

O Telegram é criptografado de ponta a ponta por padrão? Não. O FAQ do Telegram descreve dois tipos de conversa:

Os chats na nuvem (cloud chats), o padrão, usam criptografia cliente-servidor e ficam armazenados criptografados nos servidores do Telegram para sincronizar entre aparelhos.
Os chats secretos do Telegram usam criptografia de ponta a ponta. São individuais, vinculados a aparelhos específicos, não sincronizam e não são o padrão.

Os bots funcionam nos chats na nuvem. A Bot API oficial lista os tipos de conversa como private, group, supergroup e channel, sem nenhum tipo de chat secreto. Desde o lançamento do Telegram Business em março de 2024, empresas podem conectar bots que respondem mensagens em seu nome, mas essas conversas de bot não são chats secretos.

Conversas privadas do Viber x contas comerciais do Viber

A política de privacidade do Viber diz que a criptografia de ponta a ponta protege chamadas e mensagens individuais, mensagens de grupo, compartilhamento privado de mídia e aparelhos vinculados, e o Viber afirma que ela vem ativada por padrão. A exceção que importa para as empresas está nos termos de conteúdo público do Viber: o conteúdo em Communities, Channels, Chatbots e Business Accounts não é criptografado de ponta a ponta, e o Viber o armazena.

Criptografia por canal: tabela comparativa (setembro de 2026)

Canal	E2EE por padrão nas conversas pessoais	E2EE nas conversas de empresa ou bot	Quem pode processar as mensagens da empresa	Fonte
Aplicativo WhatsApp Business (sem API, sem fornecedor)	Sim (Signal)	Sim	Aparelhos da própria empresa	Whitepaper do WhatsApp
WhatsApp Cloud API ou API operada por fornecedor	Sim (Signal)	Não	A Meta como operadora, a empresa, plataformas conectadas	Whitepaper do WhatsApp, documentação da Meta
DMs do Instagram	Não (a E2EE opcional acabou em 8 de maio de 2026)	Não	Meta, a empresa, ferramentas conectadas	Central de Ajuda do Instagram
Facebook Messenger	Liberação por padrão desde dez. de 2023 (individuais pessoais)	Não	Meta, a empresa, ferramentas conectadas	Central de Ajuda do Messenger
Telegram	Não (chats secretos são opcionais)	Não (conversas de bot são chats na nuvem)	Servidores do Telegram, operador do bot	FAQ do Telegram, Bot API
Viber	Sim	Não (chatbots, contas comerciais)	Viber, administradores da empresa	Política de privacidade e termos do Viber

Por que plataformas de resposta automática com IA não podem ser zero-knowledge

Criptografia zero-knowledge significa que o provedor armazena os seus dados sem nunca ter as chaves para descriptografá-los, então ele não consegue ler o conteúdo.

Um produto de resposta automática com IA funciona ao contrário, por concepção. Para responder "Vocês entregam em Erbil amanhã?", o modelo precisa ler a pergunta em texto claro, consultar a sua base de conhecimento e escrever a resposta. A lógica é direta: um sistema que lê mensagens para respondê-las sempre consegue lê-las.

Um fornecedor que anuncia uma "caixa de entrada com IA zero-knowledge" ou um "chatbot com IA criptografado de ponta a ponta" ou está forçando a definição ou não está rodando IA nas suas mensagens. As perguntas úteis são sobre limitar quem e o que consegue chegar aos dados legíveis.

Como avaliar as promessas de criptografia de um fornecedor

Sinais de alerta:

"Criptografado de ponta a ponta" aplicado a um chatbot com IA ou a uma caixa de entrada na WhatsApp Cloud API.
"Todos os dados criptografados", sem lista do que é criptografado nem de quem guarda as chaves.
"Nível militar" ou "nível bancário", sem detalhe de algoritmo, escopo ou gerenciamento de chaves.
Selos de certificação sem certificado ou relatório de auditoria que você possa solicitar.

Perguntas a fazer:

Quais campos são criptografados no nível da aplicação, e com qual algoritmo?
Os tokens de acesso de canais e as chaves de provedores de IA são criptografados, e onde a chave fica guardada?
O conteúdo das mensagens é criptografado no nível da aplicação ou apenas as credenciais e alguns campos selecionados?
Quais funcionários do fornecedor podem ver as conversas dos clientes, e esse acesso fica registrado em log?
Por quanto tempo as mensagens são guardadas, e o que a exclusão da conta remove de fato?
Quais provedores de IA recebem o texto das mensagens, e sob quais termos de uso de dados?

O que a Raabt criptografa e protege hoje

A Raabt é uma plataforma de resposta automática com IA, então a mesma lógica vale para nós: a nossa IA lê o texto das mensagens para escrever a resposta. Isso significa que a Raabt não tem criptografia de ponta a ponta e, pela definição acima, nenhuma caixa de entrada com IA pode ter. Veja o que está em funcionamento hoje:

Criptografia em nível de campo: credenciais, tokens e dados de contato selecionados (telefone, e-mail, endereço) são criptografados com AES-256-GCM, usando uma chave derivada via HKDF-SHA256. Isso cobre os tokens de acesso dos canais conectados do Facebook, Instagram, WhatsApp e Telegram, além das chaves de API de provedores de IA. A aplicação se recusa a iniciar sem uma chave de pelo menos 32 caracteres.
Senhas e códigos: as senhas passam por hash com Argon2id, os segredos das chaves de API de parceiros são guardados apenas como hashes SHA-256 e os códigos de uso único são guardados apenas como hashes HMAC-SHA256.
Login: os logins por e-mail e senha exigem um código de uso único enviado ao seu e-mail antes de a sessão ser emitida.
Acesso da equipe: quatro papéis (owner, admin, agent, viewer) com permissões por seção, e os endpoints de negócio primeiro confirmam que quem chama é membro ativo daquela empresa.
Webhooks e mídias: webhooks da Meta são rejeitados quando a assinatura X-Hub-Signature-256 não é válida, webhooks do Telegram exigem um token secreto e os anexos são servidos apenas por URLs assinadas com HMAC e com expiração.
Exclusão: a Raabt oferece suporte ao callback de exclusão de dados da Meta, com link de status na página de exclusão de dados. A exclusão da conta pede a sua senha mais um código enviado por e-mail, e a conta é desativada na hora e o e-mail dela é anonimizado.

Perguntas frequentes

A API do WhatsApp Business tem criptografia de ponta a ponta?

Não. O whitepaper do WhatsApp diz que as conversas com empresas que usam a Cloud API não são consideradas criptografadas de ponta a ponta, porque a Meta hospeda o endpoint. As mensagens ainda chegam à Meta com criptografia Signal, e a Meta as descriptografa e as encaminha para a empresa por TLS.

A Meta consegue ler as mensagens do WhatsApp Business?

Na Cloud API, sim: os servidores da Meta descriptografam as mensagens como operadora de dados da empresa, armazenam tudo criptografado em repouso e guardam por até 30 dias. No aplicativo WhatsApp Business sem vínculo com a Cloud API e sem fornecedor, não: as conversas são criptografadas de ponta a ponta entre os aparelhos.

Chatbot com IA consegue ler mensagens criptografadas de ponta a ponta?

Só quando ele recebe a mensagem já descriptografada em um endpoint. Na WhatsApp Cloud API, no Instagram, nas conversas de empresa do Messenger, nos bots do Telegram e nos chatbots do Viber, o lado da empresa não é criptografado de ponta a ponta, então a IA trabalha com texto legível.

Qual a diferença entre criptografia de ponta a ponta e criptografia em repouso?

A criptografia em repouso protege os dados armazenados, e quem os armazena normalmente detém as chaves. A criptografia de ponta a ponta mantém as chaves apenas nos endpoints da conversa, então o provedor que repassa a mensagem não consegue lê-la.

O Telegram é criptografado de ponta a ponta por padrão?

Não. Os chats na nuvem, que são o padrão, usam criptografia cliente-servidor e ficam armazenados criptografados nos servidores do Telegram. Só os chats secretos, que são individuais e precisam ser iniciados de propósito, têm criptografia de ponta a ponta, e as conversas de bot não são chats secretos.

O Instagram ainda tem criptografia de ponta a ponta nas DMs em 2026?

Não. O Instagram parou de oferecer mensagens criptografadas de ponta a ponta em 8 de maio de 2026, e o recurso nunca foi o padrão, então trate as DMs com contas comerciais como não criptografadas de ponta a ponta.

Pronto para automatizar respostas com os tokens de canais criptografados com AES-256-GCM? Comece grátis.