Sécurité et confidentialité de l'API WhatsApp Business : guide

Ce guide s'adresse aux DSI, responsables de la sécurité, DPO et responsables conformité qui doivent valider un programme sur l'API WhatsApp Business ou répondre à la question d'un client à son sujet. Vous comprendrez où les données sont chiffrées et où elles sont lisibles, qui les détient et pour combien de temps, quels contrôles relèvent de vous, et quoi demander à un prestataire de messagerie avant de signer.

L'API WhatsApp Business est-elle chiffrée de bout en bout ?

Pas comme les conversations grand public. Meta indique qu'avec Cloud API, les messages circulent chiffrés avec le protocole Signal entre le client et Cloud API, qui agit pour le compte de l'entreprise. Cloud API les déchiffre et les transmet à l'entreprise en HTTPS protégé par TLS ; l'inverse se produit pour les messages sortants.

Concrètement :

• Entre le téléphone du client et Cloud API de Meta : chiffrement par le protocole Signal.
• À l'intérieur de Cloud API : les messages sont lisibles par le service pour le traitement ; Meta indique que les données au repos sont chiffrées et que Cloud API gère les clés pour le compte de l'entreprise.
• Entre Cloud API et votre prestataire ou vos serveurs : TLS en transit, puis la protection que votre prestataire et vous appliquez.

La formule honnête à l'égard des clients est donc « chiffré en transit et protégé par le chiffrement de WhatsApp jusqu'à notre prestataire », et non « seuls vous et le client pouvez le lire ». Meta indique aussi que, lorsque les lois de protection des données emploient ces notions, il agit comme sous-traitant de données (ou prestataire de services) de l'entreprise lorsqu'il fournit Cloud API.

Où se trouvent les données et pendant combien de temps ?

Les données existent à au moins trois endroits, chacun avec sa propre durée de conservation. Cartographiez les trois avant d'approuver un programme.

Meta traite le trafic de Cloud API dans ses centres de données. Si vous avez besoin que le contenu des messages soit au repos dans un pays précis, Meta propose le stockage local, un paramètre propre à chaque numéro de téléphone professionnel. Une fois activé, le contenu des messages peut encore être traité à l'international pendant son utilisation, jusqu'à 60 minutes sur Cloud API, puis il ne persiste que dans la région choisie. Il ne peut être activé ou désactivé que lorsque le numéro n'est pas enregistré, et les régions prises en charge figurent dans la documentation d'enregistrement de Meta : vérifiez la disponibilité pour votre pays avant de vous y fier.

Le stockage local ne couvre que le périmètre de Meta. Demandez séparément à votre prestataire où il stocke les conversations et les sauvegardes.

Quelles réglementations s'appliquent ?

Cela dépend de l'endroit où vous et vos clients vous trouvez. Dans les pays du Golfe, la loi de protection des données personnelles des Émirats arabes unis et la loi saoudienne de protection des données personnelles, supervisée par la SDAIA, fixent des règles sur la licéité du traitement, le consentement, la limitation des finalités et les transferts transfrontaliers ; les régulateurs sectoriels de la banque, de la santé et des télécoms peuvent en ajouter. Des clients dans l'UE ou au Royaume-Uni font entrer le RGPD dans le périmètre. La documentation de Meta indique que les clients de Cloud API doivent respecter leurs propres obligations au titre des lois de protection des données.

Considérez cette section comme une orientation, pas comme un avis juridique. Demandez à un conseil de déterminer quelles lois s'appliquent à vos flux de données précis.

Qui doit avoir accès, et comment ?

Les défaillances de contrôle d'accès causent plus d'incidents que la cryptographie. Verrouillez ces couches :

1. Portefeuille professionnel Meta. Gardez le compte WhatsApp Business (WABA) dans votre propre portefeuille, imposez l'authentification à deux facteurs aux administrateurs et retirez rapidement les accès des personnes qui partent.
2. PIN de validation en deux étapes. Le PIN à six chiffres protège l'enregistrement de votre numéro. Conservez-le dans votre gestionnaire de mots de passe, pas dans la messagerie d'un prestataire. Abonnez-vous au webhook de sécurité de Meta, qui signale les changements de PIN et les tentatives de désactivation de la validation en deux étapes.
3. Jetons d'API. Utilisez des jetons d'utilisateur système avec les seules autorisations nécessaires, conservez-les dans un gestionnaire de secrets et renouvelez-les lors des changements de personnel ou de prestataires.
4. Point d'accès du webhook. N'acceptez que le HTTPS, vérifiez la signature de la charge utile de Meta avec le secret de votre application et ne journalisez jamais les charges utiles complètes dans des consoles partagées.
5. Accès des conseillers. Donnez aux conseillers un accès par rôle aux files qu'ils traitent, limitez l'export en masse et journalisez qui a consulté ou exporté quoi.
6. Accès du prestataire. Sachez quels membres du personnel du prestataire peuvent accéder à vos conversations, selon quel processus, et comment cet accès est journalisé.

Comment gérer les données personnelles dans les modèles et les conversations ?

Collectez le minimum, et ne collectez jamais ce que la politique interdit. La politique de messagerie professionnelle de WhatsApp précise que les entreprises ne doivent ni partager ni demander de partager des numéros complets de carte de paiement, de compte financier, de carte d'identité ou d'autres identifiants sensibles.

Règles pratiques :

• Modèles : évitez de placer des données sensibles dans les variables. Écrivez « votre commande se terminant par 4821 » plutôt que les coordonnées complètes d'un compte ; les paramètres de modèle font partie du contenu du message et sont stockés comme tout autre message.
• Paiements et identité : envoyez un bouton CTA URL vers une page web sécurisée plutôt que de collecter les informations dans la conversation.
• OTP : utilisez des modèles d'authentification et une courte durée de validité ; voir notre guide de sécurité des OTP.
• Médias : traitez par défaut les images et documents envoyés par les clients comme sensibles et appliquez-leur une durée de conservation.
• Exports : les exports CSV de conversations ou de rapports sont les données les plus faciles à faire fuiter. Limitez-les et journalisez-les.

Que demander à un prestataire d'API WhatsApp ?

Utilisez cette checklist lors des achats. Demandez des preuves, pas des adjectifs.

1. Qui détient le WABA et le portefeuille professionnel Meta qui l'héberge, et pouvons-nous partir ailleurs ?
2. Où sont stockés les conversations, les médias et les sauvegardes, et dans quels pays ?
3. Quelle est la conservation par défaut, et pouvons-nous configurer la suppression par type de données ?
4. Quelles évaluations ou certifications de sécurité indépendantes détenez-vous ? Demandez les rapports ou certificats, avec leur périmètre.
5. Comment les accès du personnel, les actions d'administration et les exports sont-ils journalisés, et pouvons-nous consulter ces journaux ?
6. Comment les jetons d'API et le PIN de validation en deux étapes sont-ils stockés, et qui peut les utiliser ?
7. Quels sous-traitants ultérieurs utilisez-vous, et comment sommes-nous informés des changements ?
8. Quel est votre processus de notification des incidents, et dans quel délai ?
9. Utilisez-vous nos données de messages pour entraîner des modèles d'IA ? Les conditions de plateforme de Meta l'encadrent lorsqu'une entreprise mandate un fournisseur d'IA.
10. Pouvons-nous signer un accord de traitement des données qui reflète les lois qui nous sont applicables ?

Exemple concret : l'approbation d'un assureur d'Abou Dhabi

Exemple fictif. « Falcon Assurance » souhaite envoyer des suivis de sinistres par WhatsApp. L'équipe sécurité cartographie les flux de données : Meta Cloud API, un prestataire de boîte de réception et le système de gestion des sinistres. Elle confirme le rôle de sous-traitant de Meta et la conservation de 30 jours, vérifie si le stockage local est disponible pour son pays et demande au prestataire les lieux de stockage et les sous-traitants ultérieurs.

Elle décide que les modèles de sinistre ne feront référence qu'aux numéros de sinistre, jamais aux identifiants des assurés ni aux coordonnées bancaires ; les paiements passent par un bouton CTA URL vers son portail. Les conseillers ne voient que la file de leur région, les exports exigent l'accord d'un responsable et le PIN est conservé dans le coffre-fort de l'entreprise. L'approbation prend la forme d'un flux de données documenté et d'un registre des risques, pas d'un simple oui ou non.

Erreurs courantes et limites assumées

• Dire aux clients que les conversations sont « chiffrées de bout en bout jusqu'à nous ». Soyez précis.
• N'évaluer que Meta. Les prestataires et vos propres systèmes détiennent les données qui vivent le plus longtemps.
• Laisser un prestataire détenir le WABA et le PIN. Cela complique le contrôle et la migration.
• Aucune règle de conservation pour la boîte de réception. « Pour toujours » est aussi une décision, et souvent mauvaise.
• Trop s'appuyer sur les certifications. Vérifiez leur périmètre ; elles ne couvrent pas votre configuration.

Comment OmniChannels.ai vous accompagne

OmniChannels.ai, propulsé par BroadNet Technologies, connecte les entreprises à l'API WhatsApp Business via Meta Embedded Signup, qui crée le compte WhatsApp Business dans le propre portefeuille Meta de l'entreprise. Les modèles sont prévisualisés et suivis jusqu'à leur approbation, afin que les équipes puissent examiner les données que porte chaque modèle avant son envoi. BroadNet est certifiée ISO/IEC 27001:2022, ISO/IEC 27018 et SOC 2 Type II, et se conforme au RGPD. L'authentification de l'API et les webhooks sont documentés publiquement sur la page développeurs. Contactez-nous pour passer en revue vos questions de sécurité.