Définition
Un mot de passe à usage unique (OTP) est un code court valable pour une seule connexion ou transaction, généralement pendant quelques minutes. Les entreprises l'envoient par SMS, WhatsApp, appel vocal ou e-mail, ou le génèrent dans une application d'authentification, pour vérifier que l'utilisateur contrôle bien un numéro, une boîte de réception ou un appareil.
Les OTP sont soit générés par un algorithme partagé par les deux parties (HOTP, RFC 4226, basé sur un compteur ; TOTP, RFC 6238, basé sur le temps, utilisé par les applications d'authentification), soit créés aléatoirement par un serveur et transmis via un canal de messagerie. Pour les OTP envoyés par message, le serveur conserve une empreinte (hash) du code avec une date d'expiration et un compteur de tentatives.
Bonnes pratiques : 4 à 8 chiffres, une courte durée de validité, une limite de tentatives erronées, un délai avant renvoi et aucune réutilisation. Gardez le message court, placez le code au début, indiquez la marque et ajoutez un avertissement invitant à ne pas partager le code. N'incluez jamais de contenu marketing dans un message OTP.
Le choix du canal compte. Le SMS atteint presque tous les téléphones ; les modèles d'authentification WhatsApp prennent en charge la copie du code, le remplissage automatique en un geste (one-tap) et sans action (zero-tap) sur Android ; l'OTP vocal atteint les lignes fixes et les utilisateurs qui ne peuvent pas lire un écran. De nombreuses entreprises utilisent un basculement de canal, par exemple WhatsApp d'abord, puis SMS, puis appel vocal.
Les points d'accès OTP sont une cible du SMS pumping (gonflement artificiel du trafic). Limitez le débit par numéro de téléphone, adresse IP et appareil, bloquez les pays de destination que vous ne desservez pas et surveillez la part des codes réellement saisis.
OmniChannels.ai envoie des OTP par SMS, par modèles d'authentification WhatsApp (one-tap, zero-tap et copie du code) et par appel vocal.
Exemple
482917 est votre code de vérification Acme. Il expire dans 5 minutes. Ne le communiquez à personne.