Le repli OTP consiste à envoyer le code de vérification par un second canal, comme un appel vocal ou WhatsApp, quand le SMS n'arrive pas ou que l'utilisateur demande un autre code. Une bonne configuration essaie d'abord le canal fiable le moins cher, attend un court instant, puis change de canal : le taux de vérification augmente et les coûts de fraude SMS sont limités.
Pourquoi un seul canal ne suffit pas
Même les bonnes routes SMS échouent parfois : un réseau bloque le trafic, un sender ID n'est pas enregistré chez un opérateur, un téléphone est en zone de mauvaise couverture, ou un pare-feu filtre le message. Chaque OTP raté est un utilisateur qui ne peut pas s'inscrire ou se connecter. Le repli transforme beaucoup de ces échecs en vérifications réussies. Les bases d'une première tentative fiable sont dans les bonnes pratiques pour les SMS OTP.
Les principaux canaux comparés
| Canal | Points forts | Points faibles |
|---|---|---|
| SMS | Fonctionne sur tous les mobiles, sans application, remplissage automatique sur Android et iOS | Prix très variable selon le pays, règles de sender ID, cible du SMS pumping |
| Appel vocal (synthèse vocale) | Fonctionne sur les lignes fixes et avec une mauvaise couverture data, adapté aux utilisateurs qui ne peuvent pas lire de SMS | Les utilisateurs peuvent ne pas répondre aux numéros inconnus, nécessite du CLI et des routes voix par pays |
| Message d'authentification WhatsApp | Passe par les données, souvent moins cher que le SMS dans les pays chers, expéditeur vérifié | L'utilisateur doit avoir WhatsApp, approbation des modèles et tarifs Meta |
| Autre OTT ou RCS | Riche et aux couleurs de la marque sur les marchés pris en charge | Couverture variable selon le pays et l'appareil |
Concevoir le parcours de repli
- Choisissez le canal principal par pays. Dans les pays où WhatsApp est très utilisé et le SMS cher, commencer par WhatsApp peut avoir du sens ; ailleurs, commencez par le SMS.
- Fixez une attente courte. Si le code n'a pas été saisi après 20 à 60 secondes, proposez ou déclenchez le canal suivant.
- Laissez l'utilisateur choisir. Un bouton "M'appeler plutôt" ou "Envoyer par WhatsApp" fonctionne mieux qu'un basculement silencieux.
- Gardez le même code sur tous les canaux ou invalidez l'ancien, pour que les utilisateurs ne soient pas perdus entre deux codes différents.
- Limitez le nombre total de tentatives par numéro et par session, tous canaux confondus.
L'OTP vocal en pratique
Un appel OTP vocal lit le code par synthèse vocale, en général deux fois, dans la langue de l'utilisateur. Il lui faut une route voix qui transmet votre caller ID, car beaucoup de gens ne répondent pas aux appels masqués ou inconnus. Voir routes CLI ou Non-CLI et les routes Local CLI. L'OTP vocal peut aussi être détourné par des fraudeurs qui déclenchent des appels vers des numéros surtaxés : appliquez les mêmes limites que pour le SMS. Voir la fraude au partage de revenus international.
L'authentification WhatsApp en pratique
Sur WhatsApp, les messages OTP sont envoyés via la WhatsApp Business Platform avec des modèles d'authentification approuvés, qui peuvent inclure un bouton pour copier le code ou le remplir automatiquement en un geste. Les modèles et les tarifs sont fixés par Meta et évoluent : vérifiez les règles en vigueur avant de prévoir vos coûts.
Repli et fraude
Le repli ne règle pas le SMS pumping ; il peut l'étendre à d'autres canaux. Protégez le déclencheur, pas seulement le canal : détection des bots sur le formulaire, limites par numéro, IP et préfixe, et alertes quand des codes sont envoyés sans être saisis. Suivez la conversion par canal et par pays : elle montre où le canal principal échoue et où le repli est détourné.
Des routes pour chaque canal
Un dispositif de repli a besoin de bonnes routes SMS A2P et, pour l'OTP vocal, de terminaison VoIP avec CLI. VoIPMatcher trouve les deux auprès de ses carriers et les gère pour vous. Demander une route SMS OTP ou demander une route voix pour les appels OTP.
Questions fréquentes
Qu'est-ce que l'OTP vocal ?
L'OTP vocal est un mot de passe à usage unique transmis par un appel téléphonique automatique au lieu d'un SMS. Un système de synthèse vocale lit le code, en général deux fois, dans la langue de l'utilisateur. Il fonctionne sur les lignes fixes et avec une mauvaise couverture data, et sert souvent de repli quand un code SMS n'arrive pas après une courte attente.
L'OTP WhatsApp est-il moins cher que l'OTP par SMS ?
Souvent, mais pas partout. Les messages d'authentification WhatsApp passent par les données et peuvent coûter moins cher que le SMS dans les pays où les opérateurs appliquent des tarifs A2P élevés. Meta fixe les prix et les modifie dans le temps, et l'utilisateur doit avoir WhatsApp installé. Comparez le prix actuel par message pour chaque pays avant de choisir un canal principal.
Le code de repli doit-il être le même que le code SMS ?
Gardez soit le même code sur tous les canaux, soit invalidez le premier quand le second est envoyé. L'essentiel est que l'utilisateur ne se retrouve jamais avec deux codes valides sans savoir lequel saisir. Limitez le nombre total de tentatives par numéro et par session, tous canaux confondus.
Combien de temps attendre avant le repli OTP ?
Une fenêtre courante est de 20 à 60 secondes après l'envoi du SMS. Si le code n'a pas été saisi à ce moment-là, proposez ou déclenchez le canal suivant. Laisser l'utilisateur choisir avec un bouton comme M'appeler plutôt fonctionne en général mieux qu'un basculement silencieux, et évite des coûts vocaux et WhatsApp inutiles.
Besoin d'une route ?
Indiquez la destination, le type de route et le tarif cible. Nous vous répondons avec ce que nous pouvons fournir.