Qu'est-ce que la vérification par téléphone ? Comment les codes SMS et vocaux sécurisent vos comptes
La vérification par téléphone est un facteur d'authentification basé sur la possession : elle prouve que vous contrôlez un numéro de téléphone spécifique à cet instant. C'est la colonne vertébrale de l'Authentification à Deux Facteurs (2FA) et de la récupération de compte pour des milliards de comptes.
Le flux
- Utilisateur entre numéro téléphone (format E.164 : +33612345678).
- Système génère un Code à usage unique (OTP) : 4-8 chiffres (SMS) ou chiffres lus (Voix). Limité dans le temps (typiquement 5-15 min).
- Canal livraison :
• SMS (A2P) : Via agrégateur (Twilio, Vonage, Sinch, Plivo) → SMSC opérateur → combiné.
• Voix (TTS/IVR) : Appel automatisé lit le code. Repli pour fixes, livraison SMS pauvre, accessibilité. - Utilisateur entre code dans formulaire app/web.
- Serveur valide : code correspond, pas expiré, pas rejoué (rate-limited). Succès → session élevée / compte créé / reset mot de passe autorisé.
Pourquoi ça marche (Et où ça échoue)
| Force | Faiblesse |
|---|---|
| Quelque chose que vous AVEZ (possession) | SIM swap / port-out fraud : attaquant déplace votre numéro sur leur SIM |
| Ubiquitaire (tout téléphone) | Attaques signalisation SS7 / Diameter interceptent SMS en transit |
| Faible friction utilisateur | SMS pas chiffré ; initiés opérateur peuvent lire |
| Marche hors-ligne (voix) | Numéros VoIP (Google Voice, TextNow) souvent rejetés par banques |
| Traçabilité réglementaire | Coût par SMS/voix (fraudeurs brûlent budgets) |
Modernes améliorations
- Flash Call / Auth silencieuse : App déclenche appel manqué vers votre numéro ; serveur voit CLIP (Calling Line Identity Presentation) entrant match — pas de saisie code. Utilisé par WhatsApp, Telegram, Truecaller.
- Vérification RCS : Rich Communication Services remplace SMS ; expéditeur vérifié, chiffré, branding.
- Number Verify (Identité mobile) : Réseau mobile confirme « IP de cette session correspond à l'abonné MSISDN » via Mobile Connect / OpenID Connect. Zéro interaction utilisateur.
- Passkeys (FIDO2/WebAuthn) : Remplacent OTP téléphone entièrement. Clé cryptographique liée biométrie appareil. Résistant phishing.
Bonnes pratiques développeurs
- Rate-limit : max 3 requêtes/heure par IP/numéro.
- Hachez OTPs en BDD (bcrypt/Argon2) — jamais log en clair.
- Expirez en 5-10 min. Invalidez à l'usage.
- Offrez Voix + SMS. Détectez VoIP (Twilio Lookup, Numverify) et avertissez.
- Loggez événements vérification (piste audit).
- Migrez vers Passkeys pour comptes haute valeur.
Pour utilisateurs
• Activez Verrouillage numéro / Gel portage chez votre opérateur (empêche SIM swap).
• Utilisez App authentificateur (TOTP) ou Passkeys là où offerts — plus fort que SMS.
• Ne partagez JAMAIS OTPs. Entreprises légitimes ne les demandent jamais.