OTP par WhatsApp et SMS : sécurité, livraison et fraude

Ce guide s'adresse aux chefs de produit, aux ingénieurs et aux équipes sécurité qui envoient des mots de passe à usage unique (OTP) pour l'inscription, la connexion, les paiements ou la récupération de compte. Il explique le fonctionnement des modèles d'authentification WhatsApp, la livraison des codes par SMS, la conception du repli, et la manière d'endiguer les fraudes à l'OTP comme le SMS pumping sans pénaliser les vrais utilisateurs.

Qu'est-ce qui fait un bon message OTP ?

Un bon message OTP arrive en quelques secondes, se saisit facilement, ne peut pas être réutilisé et provient clairement de vous. Tout le reste de ce guide sert ces quatre propriétés.

• Rapide : délivré en quelques secondes dès la première tentative.
• Simple : autofill ou copie dès que possible ; pas de recherche dans le texte.
• Sûr : à durée de vie courte, à usage unique, d'au moins six chiffres, avec un avertissement « ne le partagez pas ».
• De confiance : un nom d'entreprise vérifié sur WhatsApp ou un identifiant d'expéditeur enregistré en SMS.

Comment fonctionnent les modèles d'authentification WhatsApp ?

WhatsApp impose un modèle d'authentification pour les codes à usage unique. Le texte est prédéfini par Meta, par exemple « 123456 est votre code de vérification », avec une recommandation de sécurité facultative (« Pour votre sécurité, ne partagez pas ce code ») et un pied de page d'expiration facultatif. Selon la documentation de Meta, les modèles d'authentification ne peuvent inclure ni URL, ni média, ni émoji, et les paramètres sont limités à 15 caractères.

Vous choisissez l'un des trois modes de remise :

Deux autres points de la documentation de Meta méritent d'être connus :

• La sécurité des appareils associés est activée par défaut sur la Cloud API : les codes ne vont qu'à l'appareil principal de l'utilisateur et sont masqués sur les appareils associés.
• Autofill sur iOS : Meta indique qu'à partir du 15 juin 2026, sur iOS 26 et versions ultérieures, les suggestions du clavier proposent l'autofill de l'OTP depuis la notification WhatsApp, sans intégration.

Si vous envoyez des codes via un modèle marketing ou utilitaire, Meta peut programmer le rejet de ce modèle, et cette décision ne peut pas être contestée. Consultez notre guide sur les catégories de modèles WhatsApp.

Comment envoyer des OTP par SMS ?

Le SMS reste le canal universel : il fonctionne sans données ni application. Pour le rendre fiable :

1. Utilisez un identifiant d'expéditeur transactionnel enregistré sur les marchés qui l'exigent, comme les Émirats arabes unis et l'Arabie saoudite, et n'y faites jamais passer de marketing. Consultez notre guide d'enregistrement des identifiants d'expéditeur.
2. Tenez le message en un seul segment. Placez le code en premier, nommez la marque, indiquez l'expiration et ajoutez un avertissement : « 123456 est votre code Najm. Valable 5 minutes. Ne le communiquez jamais. » Le texte arabe utilise l'Unicode, donc moins de caractères tiennent dans un segment.
3. Prenez en charge l'autofill SMS sur Android (format de l'API SMS Retriever) et sur iOS (champ one-time-code), pour que les utilisateurs n'aient pas à saisir le code.
4. Passez par des connexions de qualité qui renvoient des accusés de réception, afin que le repli et la surveillance reposent sur de vrais signaux.

La norme NIST SP 800-63B classe les OTP transmis par le réseau téléphonique public (SMS et voix) parmi les authentificateurs restreints, en raison des risques de SIM swap, de portabilité des numéros et d'interception, et recommande de vérifier des indicateurs de risque comme un changement de SIM avant l'envoi. Pour les actions à forte valeur, combinez l'OTP par SMS avec d'autres signaux ou proposez des facteurs plus robustes comme les passkeys.

Comment concevoir la livraison des OTP et le repli ?

Envoyez une fois sur le meilleur canal, attendez brièvement une confirmation de livraison, puis basculez une seule fois. C'est dans les relances non maîtrisées que le coût et la fraude explosent.

1. Choisissez le canal principal par utilisateur : WhatsApp pour ceux qui se sont déjà vérifiés par WhatsApp ou l'ont choisi ; SMS sinon.
2. Générez un code par session de vérification, valable sur une fenêtre courte et accepté une seule fois.
3. Attendez le statut « délivré » pendant un court délai, mesuré en secondes et non en minutes.
4. Basculez une seule fois vers l'autre canal en l'absence de livraison, en réutilisant le même code ou en invalidant le premier.
5. Proposez un renvoi à l'initiative de l'utilisateur avec un compte à rebours visible, plutôt que des répétitions automatiques.
6. Plafonnez les renvois et les tentatives par numéro de téléphone, appareil et session.
7. Journalisez le canal, le statut, la latence et le résultat de la vérification pour chaque envoi.

Comment prévenir le SMS pumping et la fraude à l'OTP ?

Le SMS pumping, aussi appelé trafic artificiellement gonflé (AIT), survient quand des bots demandent des OTP vers des plages de numéros où quelqu'un tire profit de la terminaison du trafic. Vous payez chaque message ; aucun utilisateur réel ne vérifie quoi que ce soit. La prévention se fait par couches.

Checklist des contrôles

• Autorisations géographiques : n'autorisez les destinations d'OTP que dans les pays où vous avez des clients ; exigez une revue pour en ajouter.
• Limites de débit par numéro de téléphone, adresse IP, appareil, session et préfixe de numéro.
• Protection contre les bots (défi ou score de risque) avant la demande d'OTP, et non après.
• Suivi de la conversion : alerte quand la conversion de vérification d'un pays ou d'un préfixe chute brutalement.
• Validation des numéros : rejetez les numéros mal formés, séquentiels ou manifestement invalides.
• Alertes de dépense et plafonds quotidiens par destination.
• Backoff exponentiel sur les renvois et aucune relance automatique illimitée.
• Privilégier WhatsApp pour les utilisateurs qui l'ont, puisque les modèles d'authentification sont liés à un compte WhatsApp et non à une terminaison SMS surtaxée.
• Procédure d'incident : qui peut bloquer un pays ou un préfixe, et en combien de temps.

Protégez aussi les utilisateurs : ne demandez jamais le code lors d'un appel ou d'une conversation, dites-le dans le message, et exigez une nouvelle authentification en cas de changement de numéro ou de SIM.

Exemple concret : une application de livraison au Qatar

« Rafeeq Delivery » (société fictive) vérifie les nouveaux utilisateurs et confirme les commandes de forte valeur.

• Les utilisateurs Android reçoivent un modèle d'authentification WhatsApp avec autofill « one-tap » ; les utilisateurs iOS et web reçoivent la copie de code.
• Repli : si la livraison WhatsApp n'est pas confirmée après un court délai, le même code part une seule fois par SMS depuis un identifiant d'expéditeur transactionnel enregistré.
• Limites : trois demandes de code par numéro et par heure, un plafond par appareil et par IP, et des destinations d'OTP limitées aux pays du CCG où l'application opère.
• Surveillance : une nuit, les demandes d'OTP vers un préfixe hors CCG explosent avec une vérification quasi nulle. Les autorisations géographiques les bloquent automatiquement ; l'incident ne coûte rien, car ce pays n'avait jamais été activé.
• Résultat : l'équipe suit chaque semaine la dépense par vérification réussie et la conversion de vérification par canal, et ajuste le canal principal par marché.

Quelles erreurs et limites faut-il connaître ?

• Utiliser des modèles marketing ou utilitaires pour les OTP sur WhatsApp.
• Codes à longue durée de vie ou réutilisables, ou codes qui restent valables après l'émission d'un nouveau.
• Renvois illimités, qui favorisent le pumping et frustrent les utilisateurs.
• Aucune restriction géographique sur les OTP d'inscription.
• Mélanger du texte promotionnel aux SMS d'OTP, ce qui peut faire bloquer l'identifiant d'expéditeur.
• Faire de l'OTP le seul facteur pour les actions à haut risque.
• Ignorer les évolutions de coût. Meta facture les modèles d'authentification délivrés selon le marché du destinataire ; vérifiez les tarifs en vigueur dans la grille tarifaire de Meta.

Comment OmniChannels.ai vous aide

OmniChannels.ai prend en charge les modèles d'authentification WhatsApp avec OTP « one-tap », « zero-tap » et par copie de code, en plus des modèles utilitaires et marketing, avec aperçu mobile et suivi des approbations. Le SMS est délivré grâce à la connectivité opérateurs de BroadNet Technologies, et l'OTP vocal couvre les utilisateurs qui ne peuvent pas recevoir de texte : vous pouvez donc combiner WhatsApp, SMS et voix pour l'OTP, avec un repli entre canaux configuré selon chaque cas d'usage. Les rapports de livraison, avec vues synthétique et avancée, filtres et export CSV, aident à suivre la livraison par canal. L'envoi d'OTP et les webhooks de livraison sont documentés dans l'API REST publique.