WhatsApp Business: Resmi Cloud API vs. WAHA Kendi Kendine Barındırma + GDPR

WhatsApp'ı bir n8n iş akışına entegre etmek isteyen kişi, sadece deneyerek çözülemeyecek temel bir kararla karşı karşıya kalır. Bir yol, Meta'nın yerel bir n8n düğümüne sahip resmi WhatsApp Business Cloud API'sinden geçerken, diğer yol arka planda gerçek bir WhatsApp Web oturumunu kontrol eden kendi kendine barındırılan açık kaynaklı bir proje olan WAHA üzerinden geçer. Her iki yol da aynı görevi çok farklı şekillerde çözer ve her ikisi de ilk iş akışından önce yanıtlanması gereken kendi veri koruma sorularını beraberinde getirir.

Bu yazı her iki yaklaşımı karşılaştırır, n8n'deki teknik farkları gösterir ve Cloud API ile kendi kendine barındırma için GDPR yönlerini ayrı ayrı sınıflandırır. Sonunda, yalnızca fiyata değil gerçek kullanıma dayanan bir karar yardımı yer alır.

Resmi WhatsApp Business Cloud API

Cloud API, Meta'nın işletme amaçlı WhatsApp iletişimi için kendi ürünüdür ve tamamen Meta'nın sunucuları üzerinden çalışır. n8n bunun için WhatsApp Business Cloud adında hazır bir düğüm sunar, bu düğüm WhatsApp Business Cloud düğümüne ilişkin resmi n8n dokümantasyonuna göre birden fazla kaynağı kapsar.

• Mesaj gönder, bir iş akışının biri onay, serbest metin alanı veya kendi formu üzerinden yanıt verene kadar duraklatıldığı "Gönder ve yanıt bekle" varyantı dahil.
• Şablon gönder (şablon mesajları), 24 saatlik pencerenin dışında ilk temas için gereklidir.
• Medya yönet: görsellerin, belgelerin veya ses dosyalarının yüklenmesi, indirilmesi ve silinmesi.

Oturum açmak için düğüm, WhatsApp Business Cloud kimlik bilgilerine ilişkin dokümantasyona göre ya Meta for Developers panosunda "WhatsApp" ve "API Setup" altında oluşturduğun erişim jetonu ve işletme hesabı kimliğine sahip bir API anahtarı ya da uygulama ayarlarındaki uygulama kimliği ve uygulama gizli anahtarıyla OAuth2 kullanır. Her durumda bir Meta geliştirici hesabı, bir işletme portföyü ve WhatsApp uygulaması olarak ayarlanmış bir Meta uygulaması gereklidir. Bir numara tamamen doğrulanıp üretim ortamında gönderim için onaylanana kadar, Meta'ya göre gönderen numarasının kontrolü ve mesaj şablonlarının onaylanması gibi başka yapılandırma adımları da gerekir.

WAHA: resmi olmayan, kendi kendine barındırılan yol

WAHA (WhatsApp HTTP API) tamamen farklı bir yaklaşım izler. Meta'nın resmi arayüzüne bağlanmak yerine WAHA, kendi Docker konteynerinde gerçek bir WhatsApp hesabına tamamen normal bir WhatsApp Web oturumu gibi giriş yapan ve bunun üzerinden mesaj gönderen, alan ve grupları yöneten başsız (headless) bir tarayıcı başlatır. n8n için bunun için gelen WhatsApp olaylarının doğrudan bir iş akışını tetikleyebilmesini sağlayan eylem ve tetikleyici düğümlere sahip `@devlikeapro/n8n-nodes-waha` topluluk düğümü mevcuttur.

Cazibesi ortadadır: Meta'dan onay gerekmez, işletme doğrulama süreci yoktur, altyapı üzerinde tam kontrol vardır ve proje dokümantasyonuna göre WAHA'nın kendisi açık kaynaklıdır ve mesaj sınırı olmadan kullanılabilir. Sorun da WAHA dokümantasyonunda aynı derecede açık şekilde belirtilmiştir: WhatsApp, kendi platformunda botlara veya resmi olmayan istemcilere temelde izin vermez, bu nedenle bu yol tamamen güvenli sayılamaz. Tek bir numara üzerinden yüksek mesaj hacminde bir engelleme tehdidi vardır, bu yüzden projenin kendisi özel bir numara ve ölçülü bir gönderim hızı önerir.

Karar yardımı: hangi yol hangi projeye uyar?

Seçim, kişisel tercihlerden çok somut kullanım amacına bağlıdır.

• Toplu gönderim, pazarlama yayınları veya işletme açısından kritik işlem mesajları için Cloud API pratikte alternatifsizdir, çünkü yalnızca o, 24 saatlik pencerenin dışında şablon mesajlarına izin verir ve WhatsApp'ın kendisinden kaynaklanan bir engelleme riskine tabi değildir.
• Yönetilebilir hacimli reaktif destek botları, dahili prototipler veya test senaryoları için, Meta işletme doğrulamasının çabası faydayla orantılı olmadığında WAHA genellikle daha hızlı bir giriş noktasıdır.
• Bütçe ve hazırlık süresi kısıtlıysa, WAHA ücretsiz kendi kendine barındırma ile puan toplarken, Cloud API da düşük hacimde ücretsizdir, ancak gönderim hacmi arttıkça Meta'nın fiyatlandırma modeline göre görüşme ücretleri uygulanır.
• Güvenilirlik ve sözleşme güvenliği ön plandaysa, belgelenmiş sınırlara sahip resmi API bağlantısı açıkça Cloud API'den yana konuşur, çünkü WAHA teknik olarak her WhatsApp güncellemesiyle değişebilen, WhatsApp Web'in resmi olmayan bir otomasyonuna dayanır.

Resmi Cloud API'nin GDPR değerlendirmesi

Cloud API'de tüm mesaj içerikleri, telefon numaraları ve meta veriler, AB dışında da işlenebilen Meta'nın altyapısı üzerinden geçer. Bu, Meta'yı API üzerinden gönderilen mesajlar için fiilen bir veri işleyen haline getirir ve bunun için geçerli bir veri işleme sözleşmesine ve örneğin standart sözleşme maddeleri üzerinden uluslararası veri aktarımları için bir hukuki dayanağa ihtiyacın vardır. Pratikte bu şu anlama gelir: işleme faaliyetleri kaydında hangi müşteri verilerinin WhatsApp üzerinden geçtiğini, iletişim için hangi rızanın mevcut olduğunu ve sohbet geçmişlerinin n8n iş akışın veya bağlı bir CRM içinde ne kadar süreyle saklandığını belgelemelisin. Olumlu tarafı, yerleşik bir sağlayıcı olarak Meta'nın işletme müşterileri için şeffaf sözleşme belgeleri sunması, bu da denetim makamlarına karşı uyumu kanıtlamayı kolaylaştırır.

Kendi kendine barındırılan WAHA'nın GDPR değerlendirmesi

WAHA ile kendi kendine barındırmada mesaj içerikleri ve oturum verileri temel olarak kendi işlettiğin veya kiraladığın sunucuda kalır, bu da Meta'nın ABD altyapısı üzerinden dolaşmadan AB içinde veri işlemeyi mümkün kılar. Bu, uluslararası veri aktarımı sorusunu önemli ölçüde azaltır, ancak seni sorumluluktan kurtarmaz: telefon numaraları ve sohbet içerikleri gibi kişisel veriler işlenmeye devam eder, bu nedenle hala bir hukuki dayanağa, bir silme kavramına ve WAHA'nın çalıştığı sunucu için barındırma sağlayıcınla veri işleme sözleşmesi dahil teknik ve organizasyonel önlemlere ihtiyacın vardır. Buna ek olarak, salt veri koruma hukukunun ötesine geçen bir husus daha vardır: WAHA, WhatsApp Web'i Meta'nın rızası olmadan otomatikleştirdiği için, WhatsApp'ın kendi kullanım koşullarının dışında hareket edersin. Bu bir GDPR ihlali değildir, ancak özellikle bu kanal üzerinden kişisel müşteri verileri işliyorsan, kendi risk değerlendirmende veri koruma sorusu kadar ciddiye alınmalıdır.

Sonuç: dogmatik değil pragmatik karar vermek

Genel olarak "veri korumasına daha dost" bir yol yoktur, iki farklı risk profili vardır. Cloud API uluslararası veri aktarımları getirir, ancak buna karşılık WhatsApp'a karşı hukuki güvenlik sağlar. WAHA verileri yerel tutar, ancak tüm operasyonel riski ve resmi olmayan bir bağlantının belirsizliğini sana devreder. Pratikte, ilk iş akışı oluşturulmadan önce her iki seçeneğin de hacim, bütçe ve risk toleransına göre hesaplanması önerilir. Bu değerlendirmeyi tek başına yapmak istemiyorsan, NordFlux, n8n otomasyonunda sana doğru yolu bulmanda, dijital çalışanlar kurmanda ve bu sırada verilerin üzerinde tam kontrolü elinde tutmanda destek olur.

Sıkça sorulan sorular

Cloud API ve WAHA'yı aynı anda bir iş akışında kullanabilir miyim?

Teknik olarak evet, çünkü ikisi de n8n'de örneğin Cloud API üzerinden şablon gönderimi ve WAHA üzerinden reaktif yanıtlar gibi istenildiği gibi birleştirilebilen bağımsız düğümlerdir. Ancak bu nadiren mantıklıdır, çünkü iki paralel WhatsApp bağlantısı yönetim yükünü ikiye katlar ve veri koruma değerlendirmesinin her iki yol için ayrı ayrı yapılması gerekir.

Cloud API için mutlaka doğrulanmış bir şirkete ihtiyacım var mı?

Daha geniş bir hedef kitleye üretim ortamında gönderim ve şablon mesajları için evet, çünkü Meta bir işletme doğrulaması ile birlikte kontrol edilmiş bir gönderen numarası şart koşar. Sınırlı kapsamdaki testler için başlangıçta n8n'in kimlik bilgileri dokümantasyonunda açıklandığı gibi test numaralı bir geliştirici hesabı yeterlidir.

WAHA üretim ortamındaki müşteri hizmetleri için uygun mu?

Daha küçük hacimler ve reaktif senaryolar için WAHA pratikte üretim ortamında kullanılmaktadır, ancak projenin kendisi tek bir numara üzerinden yüksek gönderim hacmine karşı engelleme riski nedeniyle açıkça uyarıda bulunur. Çok sayıda kişiyle işletme açısından kritik iletişim için resmi Cloud API daha sağlam bir seçimdir.

WAHA numarası engellendiğinde çalışan n8n iş akışlarına ne olur?

Engellenen bir WhatsApp hesabı aktif oturumu sonlandırır, bu nedenle WAHA konteyneri yeni bir numara oturum açana kadar artık mesaj gönderemez veya alamaz. Bu tetikleyiciye veya düğüme dayanan n8n'deki iş akışları o zaman boşa çalışır, bu nedenle üretim kurulumları genellikle oturum durumu için bir izleme planlamalıdır.

WhatsApp Business Cloud API temelde para tutuyor mu?

Belirli kategorilerdeki kullanıcı kaynaklı sohbetler gibi görüşmelerin bir kısmı için şu anda herhangi bir ücret alınmazken, işletme kaynaklı görüşmeler ve birçok pazarlama mesajı Meta'nın fiyatlandırma modeline göre faturalandırılır. Kesin maliyetler ülkeye ve mesaj kategorisine bağlıdır ve üretim ortamına geçmeden önce Meta'nın fiyatlandırma genel bakışında kontrol edilmelidir.