Özet: WhatsApp'ın Haziran 2026 passkey güncellemesi, headless sunucuların taklit edemeyeceği katı bir WebAuthn doğrulaması zorunlu kılıyor. Baileys veya Puppeteer entegrasyonunuz 428 hatasında takılı kaldıysa, Whapi.Cloud'a geçin ve tek seferlik bir payload enjekte ederek bağlantıyı anında geri yüklemek için Manuel Yapıştırma çözümünü kullanın.
Haziran 2026 Güncellemesi: Botlar Neden Aniden Başarısız Oluyor
Haziran 2026'nın sonlarına doğru WhatsApp, dünya çapında üretim botlarını durduran sunucu taraflı bir güncelleme yayınladı. Baileys, whatsmeow ve whatsapp-web.js üzerine kurulu entegrasyonlar, cihaz bağlama sırasında aniden 428 hataları döndürmeye başladı.
WhatsApp, yeni bir cihaz bağlamak için passkey gerektiren "Shortcake" eşleştirme akışını etkinleştirdi. Bu durum, tam olarak otomatik hesapların çalıştığı eşleştirme aşamasını hedefleyerek QR kodlarına dayanan açık kaynaklı kütüphaneleri anında donduruyor. CRM iş akışları için resmi olmayan Baileys entegrasyonlarını kullanan yüksek hacimli mesajlaşma hesaplarının, agresif Passkey kısıtlamaları nedeniyle aniden durduğuna tanık olduk.
WebAuthn Headless Sunucuları Nasıl Engelliyor
Headless sunucular, bir donanım kimlik doğrulayıcısından yoksun oldukları ve whatsapp.com güvenen taraf (relying-party) kimliğiyle eşleşemedikleri için navigator.credentials.get() işleminde başarısız olurlar.
W3C WebAuthn protokolü, uzaktan oturum ele geçirmeyi önlemek için donanım kriptografisi kullanır. Bunu bir banka ATM'si gibi düşünün. WhatsApp bankadır, Passkey fiziksel banka kartınızdır, WhatsApp mobil uygulaması yerel şubenizdir ve WhatsApp Web ise ATM'dir. Bir cihazı bağladığınızda, ATM bankadan kartınızı doğrulamasını ister. Banka, yalnızca fiziksel kartın imzalayabileceği kriptografik bir meydan okuma (challenge) yayınlar.
// Without a hardware authenticator, headless Puppeteer fails here
// The promise rejects with: DOMException: The operation either timed out or was not allowed.
const credential = await navigator.credentials.get({
publicKey: {
challenge: serverChallenge,
rpId: "whatsapp.com",
userVerification: "required"
}
});
Bir veri merkezinde başlatılan headless Chromium konteynerinin fiziksel bir kartı yoktur. Sağlanan passkey'in özel anahtarına erişim olmadan, gerçek bir tarayıcı dışında imzalı bir doğrulama oluşturmak imkansızdır. WebAuthn API'si, whatsapp.com güvenen taraf kimliğine karşı alan adı doğrulamasını zorunlu kılar; headless istemciyi reddeder ve kalıcı bir "Bir şeyler ters gitti" hatası döndürür.
"Shortcake" Eşleştirme Akışı ve UX Kusurları
WhatsApp'ın kusurlu kullanıcı deneyimi (UX), senkronize edilmiş Google hesapları arasında passkey'ler eşleşmediğinde veya Bluetooth yakınlık eşleştirmesi başarısız olduğunda sonsuz döngülere neden olur.
Bir kullanıcı passkey oluşturduğunda, WhatsApp gelecekteki tüm cihaz bağlama işlemleri için bunu talep eder. Passkey cihazdan silinir ancak WhatsApp sunucularında aktif kalırsa, kullanıcının erişimi kilitlenir. Bu sürtünme, meşru kullanıcılar için süreci zorlaştırır ve otomatik dağıtımlar için aşılamaz engeller yaratır.
"Ücretsiz" Açık Kaynaklı Kütüphanelerin Gizli Maliyeti
WhatsApp belgelenmemiş kriptografik güncellemeler yayınladığında, ücretsiz kütüphaneler devasa bakım maliyetlerini gizler ve ekipleri ölçeklenemeyen manuel geçici çözümlere zorlar.
Passkey güncellemesi geldiğinde, topluluğun anında bulduğu geçici çözüm manuel oturum çıkarma oldu: resmi WhatsApp Web istemcisine giriş yapmak, kimliği doğrulanmış oturum verilerini çıkarmak ve bunu kütüphaneye enjekte etmek. Uygulamada ekipler, resmi web istemcilerinden yapılan bu manuel çıkarma işleminin yüzlerce numarayı yöneten otomatik CRM platformları için sürdürülemez olduğunu hızla fark ediyorlar.
Bu olay, kendi kendine barındırılan altyapının gerçek maliyetini ortaya koyuyor. Açık kaynak beklenmedik bir şekilde bozulur; bakıcılar ve operatörler bu sarsıntıyı birlikte üstlenirler. Whapi.Cloud, protokol değişikliklerini perde arkasında absorbe ederek müşteriye dönük API'yi sabit tutar ve sessiz protokol değişimlerine bağlı sürpriz kesintileri azaltır.
Entegrasyonunuzun Engelini Nasıl Kaldırırsınız: Manuel Yapıştırma Çözümü
Whapi'nin Manuel Yapıştırma özelliği, WebAuthn engelini aşmak ve bağlantıyı dakikalar içinde geri yüklemek için güvenli, tek seferlik bir payload enjekte eder.
Whapi.Cloud, karmaşık oturum çıkarıcıları ortadan kaldıran basitleştirilmiş bir geçici çözüm sunar. Manuel Yapıştırma özelliği, gerekli WebAuthn doğrulamasını kendi yerel tarayıcınızda oluşturmanıza ve güvenli bir şekilde Whapi.Cloud örneğinize aktarmanıza olanak tanır.
Payload, anında süresi dolan tek seferlik bir kriptografik imzadır. Meydan okuma (challenge) betiğini Whapi panelinden kopyalar, giriş yapılmış bir WhatsApp Web sekmesinin konsoluna yapıştırır ve imzalı doğrulamayı geri döndürürsünüz. Bu, özel anahtarlarınızı açığa çıkarmadan headless sınırlamasını atlar.
Ayrıntılı adımlar için yeni passkey adımı hakkındaki Whapi.Cloud rehberini okuyun.
Sırada Ne Var: AutoPasskey
Whapi'nin yakında çıkacak olan AutoPasskey özelliği, geliştiriciler için karmaşık W3C doğrulama seremonisini tamamen soyutlayacaktır.
Manuel Yapıştırma acil krizi çözerken, uzun vadeli çözüm tarayıcı adımının tamamen kaldırılmasını gerektirir. Whapi.Cloud, güvenen taraf kısıtlamalarını otomatik olarak halledecek olan AutoPasskey'i aktif olarak geliştirmektedir. Yönetilen bir bulut altyapısına geçiş yapmak, entegrasyonunuzun bir sonraki belgelenmemiş protokol güncellemesinden sağ çıkmasını garanti eder.
