Recibe SMS en un número real de EE. UU., directo en tu código.

¿Por qué no un número de una plataforma de telecom?

Los números programables de las plataformas de telecom suelen clasificarse como VoIP. El propio artículo de Twilio sobre filtrar VoIP antes de mandar códigos muestra su Lookup marcando un número de Twilio como nonFixedVoip (Twilio). Si el servicio en el que te registras, o contra el que pruebas, filtra VoIP, su código nunca llega a un número de plataforma. Una línea Cleat es una línea móvil. Esa es toda la razón para usarla. Más sobre tipos de línea.

Primeros pasos

1. 01Consigue una línea. Regístrate, verifica tu identidad y suscríbete.
2. 02Crea una API key en Ajustes. Empieza con clt_ y se muestra una sola vez.
3. 03Agrega un endpoint de webhook en Ajustes, si quieres recibir pushes: una URL HTTPS pública. Su secreto de firma empieza con whsec_ y se muestra una sola vez.
4. 04Lista tus líneas y luego consulta los SMS o espera los webhooks.

curl https://cleat.so/api/v1/lines \
  -H "Authorization: Bearer $CLEAT_API_KEY"

{
  "data": [
    {
      "id": "8f14e45f-ceea-4b6b-9d3c-2a1f0e7c5b10",
      "phone": "13055550100",
      "label": "Staging sign-ups",
      "status": "active",
      "createdAt": "2026-09-11T10:00:00.000Z"
    }
  ]
}

curl "https://cleat.so/api/v1/lines/$LINE_ID/messages?after=2026-09-11T10:00:00Z&limit=50" \
  -H "Authorization: Bearer $CLEAT_API_KEY"

{
  "data": [
    {
      "id": "c9a7e0d2-5b1f-4e8a-9f3c-6d2b1a0e4f77",
      "line": { "id": "8f14e45f-ceea-4b6b-9d3c-2a1f0e7c5b10", "phone": "13055550100", "label": "Staging sign-ups" },
      "from": "55512",
      "body": "Your verification code is 704 118",
      "code": "704118",
      "receivedAt": "2026-09-11T10:02:41.000Z"
    }
  ]
}

Webhooks

Cuando llega un SMS, Cleat manda un POST a cada uno de tus endpoints con este cuerpo JSON, un header cleat-signature y el user agent Cleat-Webhooks/1.0:

{
  "type": "message.received",
  "data": {
    "id": "c9a7e0d2-5b1f-4e8a-9f3c-6d2b1a0e4f77",
    "line": { "id": "8f14e45f-ceea-4b6b-9d3c-2a1f0e7c5b10", "phone": "13055550100", "label": "Staging sign-ups" },
    "from": "55512",
    "body": "Your verification code is 704 118",
    "code": "704118",
    "receivedAt": "2026-09-11T10:02:41.000Z"
  }
}

El header de firma se ve así: t=1789120961,v1=5d41…. v1 es el HMAC-SHA256 en hexadecimal del timestamp, un punto y el cuerpo crudo, con la clave del secreto de firma del endpoint. Verifícalo contra los bytes crudos antes de parsearlos, y rechaza los timestamps viejos para que nadie pueda reenviar una entrega capturada.

import crypto from "node:crypto";
import express from "express";

const app = express();
const secret = process.env.CLEAT_WEBHOOK_SECRET; // whsec_…

// cleat-signature: t=<unix seconds>,v1=<hex HMAC-SHA256 of "t.body">
function verified(header, body) {
  const parts = Object.fromEntries(String(header).split(",").map((part) => part.split("=")));
  const expected = crypto.createHmac("sha256", secret).update(`${parts.t}.${body}`).digest("hex");
  const fresh = Math.abs(Date.now() / 1000 - Number(parts.t)) < 300;
  return fresh && parts.v1?.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(parts.v1), Buffer.from(expected));
}

app.post("/cleat-webhook", express.raw({ type: "application/json" }), (req, res) => {
  const body = req.body.toString("utf8");
  if (!verified(req.get("cleat-signature"), body)) return res.sendStatus(401);

  const { type, data } = JSON.parse(body);
  if (type === "message.received") {
    // data.code is Cleat's best guess at a one-time code; data.body is the full text.
    console.log(data.line.phone, data.from, data.code ?? data.body);
  }
  res.sendStatus(200);
});

app.listen(3000);

Detalles de la entrega

• Los endpoints deben ser URLs https:// públicas. Cleat no sigue redirecciones.
• Responde con cualquier estado 2xx en menos de 10 segundos.
• Cada SMS se manda una vez. Si tu endpoint estaba caído, ponte al día con la API usando ?after= y el receivedAt del último SMS que procesaste. El id de un SMS nunca cambia, así que úsalo para saltarte duplicados.
• Hasta cinco endpoints por espacio de trabajo. Ajustes muestra el último estado de cada endpoint y cuántas entregas seguidas han fallado.
• code es la mejor suposición de Cleat sobre el código de un solo uso, o null. El body completo siempre está.
• Un código dictado en una llamada automática llega igual: la llamada se transcribe y se entrega como un message.received, con la transcripción en body, el número que llamó en from y code lleno. Nada en el payload indica que la entrega fue una llamada y no un SMS.

Referencia de la API

Límites y permisos

120 peticiones por minuto por API key; al pasarte, la API responde 429. Solo el dueño del espacio de trabajo puede crear API keys y endpoints de webhook, y una clave revocada deja de funcionar de inmediato.

Casos que encajan

• Las cuentas propias de tu empresa, como consolas de nube, registradores de dominios y procesadores de pagos, con los códigos publicados en un canal que vigila la persona de guardia.
• Staging y QA de tus propios flujos de registro e inicio de sesión, contra un número que se comporta como el teléfono de un cliente.
• Proyectos personales que necesitan un número de celular de EE. UU. registrado.

Casos que no

• Enviar SMS. Cleat Line solo recibe.
• Pruebas de carga o grupos de números. Cada línea es una suscripción aparte con un dueño verificado. Cleat no está hecho para manejar muchos números.
• Cuentas que no son tuyas ni de tu empresa.
• Cualquier cosa que necesite voz en vivo. Una línea no puede llamar, y no hay timbre que contestar, ni audio que transmitir, ni grabación que descargar: solo la transcripción de una llamada después de que terminó.

Cómo se compara

¿Compartes códigos con gente que no programa? Mira 2FA compartido para equipos. Por qué a Google Voice y a otros números de internet no les llegan los códigos: Google Voice y los códigos de verificación. Cómo manejamos la identidad: confianza y seguridad. Las reglas completas de cobro: precio.