Noir SMS API

Começo rápido

1. Pegue uma chaveEntre na conta, abra Painel → API e clique em Generate API key. Copie a chave: ela só aparece uma vez.
2. Adicione saldoA API usa o seu saldo normal. Recarregue por cartão ou USDC / SOL no painel.
3. Compre, leia, prontoCompre um número, coloque no app que está verificando, consulte o código (ou use um webhook) e depois finalize ou cancele.

curl -X POST https://noirsms.com/api/v1/numbers \
  -H "Authorization: Bearer nsk_live_SUA_CHAVE" \
  -H "Content-Type: application/json" \
  -d '{"service": "wa", "country": "us", "max_price": 1.50}'

Autenticação

Toda requisição precisa da sua chave de API, como token Bearer ou no cabeçalho X-API-Key. As chaves começam com nsk_live_. Uma chave por conta; gerar outra no painel desativa a antiga na hora. Nunca coloque a chave num navegador ou app: chame a API a partir do seu servidor.

Authorization: Bearer nsk_live_SUA_CHAVE
# or
X-API-Key: nsk_live_SUA_CHAVE

URL base: https://noirsms.com/api/v1. Todos os corpos são JSON, todos os preços são em dólares americanos e todos os horários em ISO 8601 (UTC).

Especificação para máquinas: /api/openapi.json (OpenAPI 3.1). Importe no Postman ou no Insomnia, ou gere um cliente na sua linguagem.

Como funciona uma compra

• waiting: o número é seu por 20 minutos (expires_at). Digite no app e aguarde o SMS.
• received: chegou pelo menos um SMS; o código está em sms[].code e o texto completo em sms[].text. Enquanto o número estiver aberto, você pode pedir outro SMS com /resend.
• canceled: você cancelou (permitido a partir de cancelable_at, 2 minutos após a compra) e o valor voltou para o seu saldo.
• expired: nenhum SMS em 20 minutos; o valor voltou para o seu saldo automaticamente.

O preço é calculado do nosso lado no momento da compra; envie max_price para recusar a compra se o preço atual for maior do que você espera.

Webhooks

Configure uma URL HTTPS na página API do painel e enviamos um POST sms.received assim que detectamos um SMS num número que você comprou pela API (tentamos de novo uma vez após 3 segundos se o seu servidor falhar). Responda com qualquer status 2xx.

{
  "type": "sms.received",
  "created_at": "2026-10-14T07:06:03Z",
  "data": {
    "number_id": "6026e15f-088d-45b5-bf22-70ed0b417afa",
    "phone": "12025550147", "service": "wa", "country": "us",
    "status": "received", "expires_at": "2026-10-14T07:25:10Z",
    "sms": { "code": "482915", "text": "Your WhatsApp code: 482-915", "received_at": "2026-10-14T07:06:02Z" }
  }
}

Todo webhook traz X-NoirSMS-Signature: t=<unix time>,v1=<assinatura>, onde a assinatura é o HMAC-SHA256 em hexadecimal de "<t>.<corpo bruto>" com o seu segredo de webhook (mostrado no painel). Valide a assinatura e rejeite timestamps com mais de 5 minutos.

import crypto from 'node:crypto';

function verify(rawBody, header, secret) {
  const { t, v1 } = Object.fromEntries(header.split(',').map((p) => p.split('=')));
  if (Math.abs(Date.now() / 1000 - Number(t)) > 300) return false;
  const expected = crypto.createHmac('sha256', secret).update(`${t}.${rawBody}`).digest('hex');
  return crypto.timingSafeEqual(Buffer.from(expected), Buffer.from(v1));
}

import hmac, hashlib, time

def verify(raw_body: bytes, header: str, secret: str) -> bool:
    parts = dict(p.split("=", 1) for p in header.split(","))
    if abs(time.time() - int(parts["t"])) > 300:
        return False
    expected = hmac.new(secret.encode(), f"{parts['t']}.".encode() + raw_body, hashlib.sha256).hexdigest()
    return hmac.compare_digest(expected, parts["v1"])

Erros

Os erros usam o status HTTP e um corpo JSON com um code estável, que você pode usar para decidir o que fazer:

{ "error": { "code": "insufficient_balance", "message": "Insufficient balance. You need $0.73.", "needed": 0.73 } }

Limites e regras

• 120 requisições por minuto por chave. Consulte um número a cada 3 a 5 segundos, não mais rápido que isso.
• Cada número serve para uma verificação e fica reservado por 20 minutos. Só SMS: sem chamadas e sem envio de mensagens.
• Os preços seguem oferta e demanda e podem mudar durante o dia; sempre leia em /services ou use max_price.
• Use a API só para as suas próprias contas legítimas ou, como revendedor, para clientes que sigam a mesma Política de Uso Aceitável. Criação de contas em massa ou automatizada, spam, burlar banimentos e burlar verificações de bancos, fintechs ou de identidade (KYC) são proibidos e levam ao encerramento da conta.

Volume alto

Sua plataforma, painel ou bot compra números todos os dias? Abra um ticket no Suporte do painel com o seu volume mensal aproximado, os serviços e países que você usa e o que a sua plataforma faz. Analisamos cada pedido e podemos oferecer condições especiais para volume médio e alto.

Pedir condições para volume