Les bonnes pratiques essentielles pour les SMS OTP : une route rapide et directe, un sender ID enregistré, un message court avec le code au début, une validité de quelques minutes, des limites contre le SMS pumping et un canal de repli quand le SMS échoue. Mesurez le succès au nombre de codes saisis, pas seulement aux accusés de réception.
Choisir la bonne route
Un mot de passe à usage unique n'est utile que s'il arrive en quelques secondes. La plupart des utilisateurs abandonnent ou redemandent un code après 30 à 60 secondes. L'OTP est donc le type de trafic où les routes bon marché coûtent le plus cher.
- Utilisez des routes directes ou de haute qualité, idéalement déclarées et tarifées pour le trafic OTP.
- Gardez au moins deux routes par pays important pour pouvoir basculer quand l'une se dégrade.
- Surveillez la latence, pas seulement le taux de livraison. Une livraison médiane sous 5 à 10 secondes est un objectif raisonnable sur de bonnes routes. Voir taux de livraison et latence SMS.
Sender ID et enregistrement
Les utilisateurs font confiance aux codes qui viennent d'un nom reconnaissable. Là où les sender ID alphanumériques sont pris en charge, enregistrez le nom de votre marque dans les pays qui l'exigent, et utilisez le même nom partout. Dans des pays comme l'Inde, les messages OTP doivent aussi correspondre à un modèle enregistré. Aux États-Unis, le trafic OTP passe par des campagnes 10DLC enregistrées, des numéros toll-free vérifiés ou des short codes. Les règles sont dans l'enregistrement du sender ID et 10DLC et SMS toll-free aux États-Unis.
Bien rédiger le message
- Le code en premier ou au début : "123456 est votre code MyApp. Valable 5 minutes." Le code apparaît ainsi dans l'aperçu de la notification.
- Nommez le service pour que les utilisateurs sachent à quoi sert le code, et ajoutez "Ne communiquez pas ce code" pour limiter l'ingénierie sociale.
- Restez en GSM-7 et sous 160 caractères pour que le message tienne en un seul segment. Un seul caractère accentué ou spécial peut faire passer tout le message en Unicode et réduire la limite à 70. Voir encodage GSM-7 ou Unicode.
- Pas de liens dans les messages OTP sauf nécessité. Les liens déclenchent les filtres anti-spam et ressemblent à du phishing.
- Prenez en charge le remplissage automatique : sur Android, la SMS Retriever API utilise un hash d'application de 11 caractères dans le message ; sur iOS, le système détecte les codes, et les codes liés à un domaine utilisent une dernière ligne avec le domaine et le code.
Réglages du code et de la session
| Réglage | Pratique courante |
|---|---|
| Longueur du code | 6 chiffres |
| Validité du code | 3 à 10 minutes |
| Période de validité du SMS à l'envoi | Courte, quelques minutes, pour que les messages en retard expirent au lieu d'arriver inutiles |
| Renvoi autorisé après | 30 à 60 secondes |
| Nombre maximal de tentatives par numéro | Un petit nombre par heure, puis blocage ou changement de canal |
Se protéger du SMS pumping
Les points d'envoi d'OTP sont la cible principale du trafic artificiellement gonflé : des bots déclenchent des milliers de codes vers des numéros surtaxés ou coûteux pour qu'un acteur de la chaîne touche une part des frais. Les défenses efficaces :
- Limites par numéro de téléphone, par IP, par appareil et par préfixe pays.
- Bloquer ou soumettre à un contrôle les pays que vous ne servez pas.
- Alertes sur les hausses soudaines de trafic vers des préfixes inhabituels, et sur une faible conversion (codes envoyés mais jamais saisis).
- Protection anti-bot sur le formulaire qui déclenche le code.
Plus d'informations dans le SMS pumping (trafic artificiellement gonflé).
Mesurer la conversion et prévoir un repli
Les accusés de réception peuvent être faux ou arriver en retard. Le vrai indicateur est la conversion : la part des codes que les utilisateurs saisissent. Suivez-la par pays, réseau et route. Quand le SMS échoue ou que l'utilisateur demande un renvoi, un repli comme un appel vocal qui lit le code ou un message WhatsApp peut sauver la session. Voir repli OTP : SMS, voix et WhatsApp.
Obtenir des routes OTP
VoIPMatcher trouve des routes SMS A2P de qualité OTP auprès de ses carriers et les gère pour vous. Vos données de trafic ne sont pas partagées avec les fournisseurs. Demander une route SMS OTP en indiquant vos pays et votre volume mensuel.
Questions fréquentes
L'OTP par SMS est-il sécurisé ?
L'OTP par SMS est un second facteur raisonnable pour la plupart des services grand public, mais ce n'est pas le plus robuste. Les codes peuvent être volés par SIM swap, phishing ou ingénierie sociale, c'est pourquoi les messages doivent dire de ne pas communiquer le code. Pour les opérations à risque comme les gros paiements, beaucoup de services ajoutent une authentification par application et gardent le SMS en repli.
Combien de temps un OTP doit-il rester valide ?
La plupart des services rendent un code valide de 3 à 10 minutes. Une validité plus courte limite les dégâts si un code est intercepté, mais une fenêtre trop courte pénalise les utilisateurs sur les routes lentes. Fixez aussi une courte période de validité du SMS à l'envoi, pour qu'un message bloqué dans une file expire au lieu d'arriver quand le code ne fonctionne plus.
Combien de chiffres doit compter un OTP ?
Six chiffres est la pratique courante. Cela donne un million de combinaisons, ce qui suffit quand les tentatives sont limitées, et c'est facile à lire et à saisir. Les codes plus courts sont plus faciles à deviner et les plus longs provoquent plus d'erreurs de saisie. Combinez la longueur avec une limite de tentatives par numéro et par session.
Quelle est la meilleure alternative à l'OTP par SMS ?
Les alternatives courantes sont les appels OTP vocaux, les messages d'authentification WhatsApp, les applications d'authentification et les notifications push dans votre propre application. La plupart des services gardent le SMS par défaut, car il fonctionne sur tous les téléphones sans application, et ajoutent un autre canal en repli ou pour les opérations à risque. Choisissez par pays et mesurez la conversion de chaque canal.
Pourquoi les SMS OTP arrivent-ils en retard ?
Les retards viennent en général de la route : les routes indirectes mettent les messages en file à chaque saut, le throttling crée un arriéré quand vous dépassez votre TPS, et les pare-feu des opérateurs retiennent ou filtrent les sender ID non enregistrés. Les téléphones éteints ou hors couverture retardent aussi la livraison. Mesurez la latence par pays et par réseau, et gardez une route de secours.
Besoin d'une route ?
Indiquez la destination, le type de route et le tarif cible. Nous vous répondons avec ce que nous pouvons fournir.