Свой SMS-шлюз на Android: где разумен, где опасен

Телефон из ящика стола вместо платного шлюза

У салона на стойке лежит старый смартфон с лишней SIM. Часть клиентов в мессенджерах нет, а платить агрегатору за имя отправителя ради двадцати сообщений в день обидно. Пусть напоминания уходят с этого телефона.

Цены агрегаторов я считал в статье про SMS или мессенджер для напоминаний: 8-11 рублей за сообщение по прайсам на 2 октября 2026 плюс абонплата за имя. Условный пример: 600 напоминаний в месяц дают 4 800-6 600 рублей без имени отправителя. Тариф SIM с пакетом SMS я не сверял.

Что за проект и что я проверил

Проверял 22.10.2026 по GitHub и документации. Репозиторий capcom6/android-sms-gateway совпадает с описанием в посте канала GitHub Community от 18.09.2026. Файл LICENSE содержит Apache-2.0. Репозиторий создан 15 июня 2022, не архивирован, около 5,9 тысячи звёзд, 16 открытых задач. Последний коммит в master от 21 октября 2026, последний стабильный релиз v1.77.4 от 19 октября, релизы выходят примерно раз в неделю.

Автор по сути один: у capcom6 427 коммитов из 430 в списке участников. Если он уйдёт, сопровождать шлюз придётся вам. README и документация на английском. Сам проект я не запускал, пишу по README и документации.

Три режима, API и что видит сервер

Локальный режим: приложение поднимает сервер на телефоне и показывает адрес, логин и пароль. Запросы идут на порт 8080 по HTTP внутри вашей сети, аутентификация Basic. Из интернета такой телефон часто недоступен из-за общего адреса провайдера. Облачный режим работает через api.sms-gate.app без регистрации и бесплатно, при объёме больше 10 тысяч сообщений в день автор просит предупредить поддержку. Приватный сервер лежит в отдельном репозитории android-sms-gateway/server (Apache-2.0, около 200 звёзд, релиз от 21 октября): нужны Linux, Docker, MySQL или MariaDB и HTTPS. Пуш на телефон идёт через сервер автора и Firebase, но несёт только токен.

API: POST /3rdparty/v1/messages с текстом, номерами, номером SIM, сроком жизни и приоритетом. Статусы Pending, Processed, Sent, Delivered, Failed, причём Delivered приходит только при включённом отчёте о доставке. Вебхуки sms:sent, sms:delivered, sms:failed, sms:received в основной сборке требуют HTTPS с рабочим сертификатом. В облаке и на приватном сервере есть и JWT. Сообщение, зависшее в Processed, приложение само не повторяет и ошибкой не помечает: сверяйте его по своему журналу, слепой повтор даст дубль.

Что видит облако. По политике конфиденциальности без сквозного шифрования сервер получает тексты и номера: открытый текст хешируется в течение минуты, обработанные сообщения удаляются через месяц. Сквозное шифрование включается отдельно. С версии 1.77.0 от 29 сентября телефон создаёт ключ RSA-2048, а ваша система шифрует текст и номера его публичным ключом. Режиму три недели. Документация сама предупреждает, что ключ раздаёт сервер, и подмена даст злоумышленнику читать сообщения, поэтому отпечаток сверяют вручную. Входящие SMS в облачном режиме выгружаются на сервер (версия 1.76.0), шифруется ли выгрузка, я не выяснил.

Где телефон подведёт

Он засыпает. Приложение держит службу с блокировкой сна, но на Xiaomi и Samsung ОС убивает фоновые программы. FAQ советует отключить экономию батареи и держать аппарат на зарядке. В облачном режиме телефон узнаёт о сообщении по пушу Firebase, при высокой частоте в режиме экономии возможны задержки. Для кода входа опоздание на минуты уже авария, о способах входа я писал в статье про вход клиента без пароля. Лимиты отправки FAQ тоже не советует применять к кодам авторизации.

Установка. В Google Play приложения нет, на Android 15 Play Protect может заблокировать APK, а разрешение на SMS придётся выдать вручную. Политика Google Play ограничивает SMS-разрешения, причину отсутствия в магазине проект не называет. Берите APK со страницы релизов и сборку secure: insecure нужна для разработки.

Телефон хранит всё. Отправленные и полученные сообщения остаются в обычном приложении SMS на устройстве, авторы советуют PIN и отдельный аппарат. Потеря телефона равна утечке номеров и текстов клиентов. SIM с банковскими кодами в шлюз ставить нельзя.

Лимиты. README не рекомендует пакетную отправку из-за ограничений операторов. В приложении есть лимиты в минуту, час и сутки, пауза, чередование SIM и рабочие часы. Пороги российских операторов и условия блокировки SIM за спам я не нашёл, смотрите договор на свою SIM.

Что говорит закон

Реклама. По статье 18 закона «О рекламе» (ред. от 04.08.2026) реклама по сетям электросвязи допускается только с предварительного согласия адресата, автоматическая рассылка рекламы запрещена. Статья 44.1 закона «О связи» (ред. от 20.02.2026) требует согласия абонента на рассылку по сети подвижной связи, а рассылка по инициативе заказчика идёт по договору с оператором абонента. Считается ли рассылкой единичное подтверждение записи с обычной SIM, статья не говорит. Акции в такой текст не добавляйте. Что Минцифры готовит для SMS-рассылок, я разбирал в статье про проект поправок.

SIM-боксы. Постановление Правительства от 1 августа 2026 года № 966 вводит понятие «абонентский терминал пропуска трафика»: пользовательское оборудование, которое пропускает трафик между сетями связи или передачи данных и может работать с несколькими идентификационными модулями. Оно действует с 1 марта 2027. Раздел XV с требованиями я не читал, в СМИ пишут о юрлицах, ИП и пороге в четыре SIM, это вторичный источник. Определение широкое, попадает ли под него телефон с приложением-шлюзом и двумя SIM, я не знаю. Уточняйте у оператора и юриста.

Что можно сделать уже сейчас

Выделите отдельный телефон и отдельную SIM только под уведомления. Поставьте secure-сборку, включите локальный режим и отправьте curl-запросом тест на свой номер.

Оставьте его на сутки с выключенным экраном и посмотрите, сколько сообщений дошло до Delivered.

Стройте канал так: бот в Telegram или MAX первым, шлюз запасным, лимиты включены, отписка в системе. Для клиентских данных берите приватный сервер или сквозное шифрование с проверкой отпечатка.

Подключить шлюз к сайту, CRM или боту с очередью, повторами и журналом я могу в рамках автоматизации бизнес-процессов.

Частые вопросы

Можно ли слать коды входа через такой шлюз?

API это умеет, пример с кодом есть в документации. Но при засыпании телефона код придёт с опозданием. Для подписи договора кодом нужен ещё и журнал доставки, поэтому единственным каналом я бы его не делал.

Сколько это стоит?

По странице цен проекта приложение и облако бесплатны, для новых облачных пользователей автор допускает платные функции. Платите за SIM и тариф.

Коротко о главном

Android SMS Gateway под Apache-2.0 даёт запасной канал для подтверждений и статусов за цену тарифа SIM при малом объёме и отдельном аппарате. Для кодов входа, рекламы и номеров, которые нельзя выпускать из рук, он опасен.

Хотите проверить такую схему и подключить её к сайту или боту? Напишите мне в Telegram кодовое слово «СМС».