Messagerie client banque et fintech : alertes, OTP et fraude

Ce guide s'adresse aux responsables produit, canaux digitaux et conformité des banques, sociétés de paiement, prêteurs et fintechs. Il recense les messages qu'un client financier doit recevoir, le canal et le type de modèle adaptés à chacun, ainsi que les exigences de sécurité et de régulation qui déterminent ce que vous pouvez envoyer et où.

Quels messages une banque ou une fintech doit-elle envoyer ?

La messagerie financière se répartit en cinq parcours : alertes de transaction, authentification, contrôle des cartes, rappels de remboursement et alertes fraude. Tous sont opérationnels : ils doivent donc être conçus par les équipes produit et risques, et non comme des campagnes.

La colonne des modèles n'a d'intérêt que là où votre régulateur autorise WhatsApp. Meta classe un modèle en utility lorsqu'il n'est pas promotionnel et lié au compte ou à la transaction du client lui-même ; consultez notre guide sur les catégories de modèles.

Qu'attendent les régulateurs de la messagerie financière ?

Les régulateurs attendent en général une notification rapide de l'activité du compte, une authentification forte du client, la protection des données clients et des voies de réclamation claires. Les règles exactes varient selon les pays et évoluent souvent : lisez les circulaires en vigueur plutôt que de vous fier à des synthèses.

Exemples GCC à vérifier

• Arabie saoudite. Les Minimum Verification Controls de la SAMA, qui s'appliquent aux catégories de fintechs comme les portefeuilles électroniques et le crédit, exigent des notifications par SMS pour l'inscription, la réinscription d'un appareil, les changements de statut du compte et les transactions, et demandent que les messages indiquent leur objet et le nom de l'établissement. Les banques doivent aussi consulter les circulaires bancaires de la SAMA sur les alertes SMS et les contrôles de la banque en ligne dans le SAMA Rulebook.
• Émirats arabes unis. En avril 2026, des médias émiratis ont rapporté une circulaire de la CBUAE demandant aux établissements financiers agréés de cesser d'utiliser les messageries instantanées, dont WhatsApp, pour partager des données clients, confirmer des transactions ou envoyer des codes d'authentification, en invoquant les risques de fraude et de localisation des données. Des synthèses sectorielles évoquent aussi un avis de la CBUAE de 2025 s'éloignant de l'OTP par SMS et e-mail comme facteur d'authentification unique. Confirmez les deux points avec le CBUAE Rulebook et votre équipe conformité.
• Ailleurs. De nombreux régulateurs imposent des règles d'authentification forte du client et de devoir envers le consommateur. Rattachez chaque type de message à la règle qui l'exige ou le restreint.

Règles des plateformes

La Business Messaging Policy de WhatsApp interdit de demander aux utilisateurs de partager un numéro de carte ou de compte financier complet, et classe le recouvrement de dettes et certains produits de crédit parmi les usages interdits. Le SMS exige un identifiant d'expéditeur enregistré sur de nombreux marchés, dont les Émirats et l'Arabie saoudite ; voir l'enregistrement des identifiants d'expéditeur.

Comment concevoir les alertes de transaction et le contrôle des cartes ?

Une alerte doit permettre au client de reconnaître ou de rejeter une transaction en quelques secondes. Cela suppose une structure fixe, des identifiants masqués et une seule action claire.

Alerte de transaction (SMS)

{{bank}} : Achat de {{amount}} AED chez {{merchant}} avec la carte se terminant par {{last4}}, le {{date}} à {{time}}. Ce n'est pas vous ? Appelez le {{official number}}. Nous ne demandons jamais votre code PIN ni votre OTP.

Confirmation de contrôle de carte (application ou SMS)

{{bank}} : Votre carte se terminant par {{last4}} a été bloquée à {{time}} depuis l'application {{bank}}. Si vous n'êtes pas à l'origine de cette action, appelez le {{official number}}.

Règles de conception :

1. Placez le montant, la devise et le commerçant en premier.
2. Masquez les numéros de carte et de compte, en ne conservant que les quatre derniers chiffres.
3. Utilisez le même identifiant d'expéditeur pour tous les messages de sécurité.
4. Indiquez un numéro de téléphone imprimé sur la carte ou affiché dans l'application, et non un lien.
5. Ne combinez jamais une alerte avec une offre : cela entame la confiance et peut modifier la catégorie du modèle.
6. Envoyez des versions en arabe et en anglais selon la langue préférée du client.

Comment organiser l'OTP et les messages d'authentification ?

Utilisez la méthode la plus forte attendue par votre régulateur et considérez l'OTP par SMS ou WhatsApp comme un facteur parmi d'autres, là où il reste autorisé. Notre guide de l'OTP détaille la livraison, l'expiration et les schémas de fraude.

Règles essentielles pour l'OTP financier :

• Liez le code à l'action : « Code pour le virement de 2 500 SAR vers le bénéficiaire se terminant par 4410. »
• Gardez une expiration courte et limitez les nouvelles tentatives.
• Ajoutez « ne communiquez ce code à personne, notre personnel ne vous le demandera jamais ».
• Surveillez le traffic pumping : volumes d'OTP inhabituels vers des numéros surtaxés ou des plages de pays inattendues ; voir la prévention du SMS pumping.
• Là où les modèles d'authentification WhatsApp sont autorisés, Meta prend en charge les formats copy-code, one-tap et zero-tap.

Comment gérer les alertes fraude et les relances de recouvrement ?

Une alerte fraude doit être impossible à imiter de façon convaincante ; une relance de recouvrement doit être loyale, exacte et envoyée uniquement sur les canaux autorisés.

Procédure d'alerte fraude

1. Détectez la transaction suspecte et mettez-la en attente ou refusez-la selon vos règles.
2. Envoyez un SMS avec le détail de la transaction et sans lien.
3. Demandez au client de confirmer dans l'application ou en appelant le numéro officiel.
4. Passez à un appel sortant en l'absence de réponse dans le délai que vous avez défini.
5. Journalisez chaque message et chaque réponse pour le traitement des litiges.

Relances de recouvrement

Envoyez avant l'échéance un rappel de paiement neutre, avec le montant, la date et les moyens de paiement officiels. Pour les comptes en retard, respectez les règles locales de protection des consommateurs sur la fréquence, les horaires et la formulation des contacts, et évitez WhatsApp compte tenu de sa politique sur le recouvrement de dettes. N'écrivez jamais à des tiers au sujet de la dette d'un client.

Exemple concret : un portefeuille électronique de Riyad cartographie ses messages

« Nakhla Pay », portefeuille électronique fictif agréé en Arabie saoudite, passe sa messagerie en revue avant son lancement.

L'équipe recense chaque événement que les contrôles de la SAMA associent à une notification SMS : inscription, réinscription d'un appareil, changement de statut du compte et transactions. Chacun reçoit un modèle SMS en arabe et en anglais qui nomme Nakhla Pay et indique l'objet du message. Les validations de paiement se font dans l'application ; l'OTP par SMS n'est utilisé que là où l'équipe risques l'approuve comme facteur.

Les alertes fraude partent par SMS sans lien et invitent le client à confirmer dans l'application. Les conseils de sensibilisation aux arnaques passent par e-mail et dans l'application, jamais mêlés à des promotions. Les conversations de support se déroulent dans une boîte de réception supervisée, et les agents sont formés à ne jamais demander de numéros de carte ni de codes. La conformité valide chaque modèle avant sa mise en ligne et le réexamine à chaque nouvelle circulaire.

Erreurs courantes et limites à connaître

• Supposer que WhatsApp est autorisé parce qu'il est populaire. Les régulateurs financiers peuvent le restreindre ; vérifiez d'abord.
• Des liens dans les messages de sécurité. Ils habituent les clients à cliquer sur des liens que les fraudeurs copient.
• Mêler des promotions aux alertes. Cela érode la confiance et peut faire basculer un modèle dans la catégorie marketing.
• S'appuyer uniquement sur l'OTP par SMS pour les actions à risque élevé. De nombreux régulateurs attendent désormais une authentification plus forte.
• Des identifiants d'expéditeur incohérents. Les clients ne distinguent plus les vrais messages des faux.
• Aucun suivi de la livraison. Des alertes non délivrées font que les clients passent à côté d'une fraude ; utilisez les rapports de livraison pour repérer les problèmes.
• Croire la conformité acquise grâce à la messagerie. Les messages soutiennent, sans les remplacer, la surveillance de la fraude et les processus de litige.

Checklist de lancement de la messagerie financière

1. Listez chaque événement qui exige ou justifie un message au client.
2. Associez chaque événement à un canal que votre régulateur accepte.
3. Rédigez des modèles masqués et sans lien, en arabe et en anglais.
4. Enregistrez les identifiants d'expéditeur et les noms de modèles.
5. Définissez l'expiration des OTP, les nouvelles tentatives et la surveillance de la fraude.
6. Fixez les règles de recouvrement : fréquence, horaires et canaux.
7. Obtenez la validation de la conformité et planifiez un réexamen après chaque nouvelle circulaire.

Comment OmniChannels.ai vous aide

OmniChannels.ai s'appuie sur BroadNet Technologies, société de messagerie télécom disposant d'une connectivité avec les opérateurs SMS, certifiée ISO/IEC 27001:2022 et SOC 2 Type II. La plateforme prend en charge le SMS pour les alertes et l'OTP, les modèles d'authentification WhatsApp (one-tap, zero-tap et copy-code) là où votre régulateur les autorise, l'OTP vocal ainsi que des modèles en arabe et en anglais. Les rapports de livraison, avec filtres et export CSV, font apparaître les messages en échec, et vos systèmes core banking et antifraude se connectent via l'API REST et les webhooks publics. En savoir plus sur l'OTP et les notifications et le SMS, ou contactez notre équipe.