WhatsApp API non ufficiale a confronto: Baileys, WAHA, Evolution

Baileys e whatsmeow sono librerie, whatsapp-web.js pilota un browser, WAHA ed Evolution API le incapsulano in un server REST, e Whapi.Cloud e Green-API vendono la stessa idea come servizio ospitato. Differiscono per linguaggio, licenza e rifinitura, ma tutte entrano in un account WhatsApp di tua proprietà e lo pilotano da codice. Il numero, il telefono e il ban sono tuoi.

Quale scegliere?

• Go, o un ingombro minimo: whatsmeow per Go, Baileys per TypeScript. Entrambe parlano con WhatsApp via WebSocket e non hanno bisogno di un browser.
• Un’API REST funzionante questa settimana: WAHA. Gira in Docker con Swagger, una dashboard e i webhook, e pubblica una release ogni due o tre settimane.
• Chatwoot, Typebot o Dify nello stack: Evolution API, che include quelle integrazioni e può usare anche la Cloud API ufficiale di Meta.
• Il vero client web, accettando Chromium: whatsapp-web.js.
• Nessun server da gestire: Whapi.Cloud o Green-API, che però collegano comunque il tuo numero.
• Un numero di cui non ti prendi il rischio: un numero gestito come whasp, oppure la piattaforma ufficiale per i bot specifici di un’azienda.

Come si confrontano?

Tutte documentano gruppi, media, reazioni e sondaggi. whatsapp-web.js elenca anche i canali, e per inviare video richiede Google Chrome invece di Chromium.

In cosa si differenzia ciascuna?

Baileys ha 11,4k stelle su GitHub. Il suo README la descrive come una libreria basata su WebSocket che non richiede Selenium né un browser. La versione 7 ha richiesto molto tempo: rc9 è uscita il 21 novembre 2025, rc10 il 6 maggio 2026, e rc14 del 29 luglio 2026 è l’ultima. Le note di rc11 dei maintainer dicono che la sua dipendenza libsignal è GPLv3 mentre Baileys è MIT, e che pensano di sostituirla. Leggi quelle note prima di distribuirla in un prodotto commerciale.

whatsapp-web.js esegue WhatsApp Web dentro un Chromium gestito tramite Puppeteer. Vuol dire più memoria, ma usa il vero client web. Richiede Node 18 o successivo, e la sua ultima release è la 1.34.7 (24 aprile 2026), con commit che proseguono fino a fine settembre.

whatsmeow è la libreria Go sotto il motore GOWS di WAHA. È l’unica libreria di questo elenco con il supporto passkey integrato.

WAHA è un server, non una libreria. WEBJS, il predefinito, e WPP eseguono un browser. NOWEB (Node.js, basato su Baileys) e GOWS (Go) usano un WebSocket. Dalla release 2026.6.1, le funzioni che prima erano solo Plus sono nell’immagine Core gratuita. WAHA documenta anche il reachout timelock e include un’app MCP.

Evolution API aggiunge hook per Typebot, Chatwoot, Dify, OpenAI, RabbitMQ e Kafka, più una modalità Cloud API. La licenza è Apache-2.0 con condizioni aggiuntive sul mostrare il suo marchio e sul notificare gli utenti, quindi leggi il file. L’ultima release stabile è la 2.3.7 (5 dicembre 2025) e il suo ramo main fissa Baileys 7.0.0-rc.9, mentre il ramo develop usa rc13.

Whapi.Cloud e Green-API vendono lo stesso modello di account collegato come servizio. La sandbox gratuita di Whapi consente 5 conversazioni attive al mese, e il piano gratuito di Green-API 3 chat.

Quali ti avvisano prima che una restrizione colpisca?

Non tutte espongono lo stato di restrizione di WhatsApp. Baileys ha fetchAccountReachoutTimelock() e un aggiornamento reachoutTimeLock da rc10. WAHA offre un endpoint timelock per GOWS, NOWEB e WEBJS dalla release 2026.8.1. whatsmeow ha integrato la gestione dei trusted-contact token il 27 aprile 2026, mentre una pull request per controllare il timelock e i limiti sui messaggi è aperta dal 25 marzo. Non abbiamo trovato un equivalente in whatsapp-web.js, e Evolution API riceve queste funzioni solo tramite la versione di Baileys che fissa. I dettagli sono nella spiegazione dell’errore 463 e del reachout timelock.

Cosa ha rotto la novità passkey di giugno 2026?

Il 30 giugno 2026 i tracker di Baileys, WAHA, Evolution API, whatsapp-web.js e whatsmeow hanno ricevuto tutti la stessa segnalazione. Dopo che il QR code o il codice di abbinamento erano stati accettati, WhatsApp chiedeva una passkey e il collegamento non si completava mai. Ha colpito alcuni account, non tutti. WAHA parla di “alcuni account”, e Green-API dice che WhatsApp ha iniziato un passaggio sperimentale di alcuni utenti nell’estate 2026. Non abbiamo trovato alcun annuncio di WhatsApp.

Un’analisi della community nella issue 2672 di Baileys, costruita a partire da una cattura di whatsmeow e dal codice di WhatsApp Web, dice che il server invia una richiesta WebAuthn dopo il pairing, con nome in codice interno “Shortcake”, con verifica dell’utente obbligatoria. Il suo autore distingue ciò che è stato osservato da ciò che è stato dedotto. La conseguenza è che un client headless non può firmarla da solo, quindi deve intervenire una persona con un authenticator.

Dove si trova ciascuna:

• whatsmeow: ha integrato il supporto passkey il 1° luglio 2026.
• WAHA: il motore GOWS l’ha ottenuto nella release 2026.7.1 (15 luglio). Un’estensione del browser firma la challenge. NOWEB, WEBJS e WPP risultavano ancora da verificare nell’issue di tracciamento di WAHA.
• Baileys: nulla è stato integrato. Una pull request che aggiungeva l’handshake è stata chiusa senza merge il 20 agosto, una seconda il 4 settembre, e l’issue è aperta. L’ultimo commit su master è del 4 agosto.
• Evolution API: una pull request è aperta dal 7 luglio.
• whatsapp-web.js: l’issue è stata chiusa dallo stale bot il 19 agosto senza una correzione.

Da metà luglio alcuni utenti dicono che ai loro account non viene più chiesta. È un dato aneddotico, e solo WhatsApp sa se la modifica è stata annullata. I workaround copiano una sessione da una vera scheda di WhatsApp Web dentro la libreria. Così il materiale delle chiavi esce da un profilo del browser, quindi trattalo come sensibile.

Qual è il problema che hanno tutte in comune?

Ogni opzione tranne la piattaforma ufficiale collega un account di tua proprietà come client non ufficiale. La pagina di aiuto di WhatsApp sui dispositivi collegati dice che collegare un account a un’app o a un sito non ufficiale, ora o in passato, può comportare un ban temporaneo o permanente. Dice anche che i dispositivi collegati vengono disconnessi se il telefono non viene usato per più di 14 giorni. WAHA e Baileys hanno avvisi simili nei propri disclaimer. Vedi perché WhatsApp banna i numeri e l’errore 463.

Il ban quindi lo porti tu, e sei tu a gestire la sessione, il telefono e il riscaldamento (warm-up). I servizi ospitati tolgono i server, non il rischio.

In cosa è diversa whasp?

whasp gestisce il numero: un vero account WhatsApp personale su un telefono cloud tutto suo e su un IP ISP tutto suo, riscaldato, con monitoraggio dello stato di salute. Ricevi un webhook e una chiamata API. Se un numero viene bannato, viene sostituito senza costi con lo stesso profilo, ma le chat non passano al nuovo. Costa $49 per numero ogni 30 giorni, per circa 100 utenti attivi.

I compromessi sono reali. Gli utenti devono scrivere per primi, non ci sono gruppi, né note vocali in uscita, né la possibilità di portare il proprio numero. Una libreria ti dà i gruppi e più funzioni, con il rischio sul tuo account. Per i bot specifici di un’azienda, come assistenza od ordini, la piattaforma ufficiale è spesso la risposta giusta. I termini di Meta escludono da essa gli assistenti AI generalisti, come spiegato nell’articolo sul divieto dei chatbot AI su WhatsApp di gennaio 2026.

Cosa fare dopo

Per tutte le strade, ufficiali e non, leggi tutte le opzioni per mettere un agente AI su WhatsApp. Per collegare Claude o ChatGPT, vedi i server MCP per WhatsApp. Dettagli e prezzi sono nella pagina dei prezzi.