Un SMS OTP – mot de passe à usage unique – est un court code numérique envoyé par message texte pour vérifier que quiconque tente de se connecter, d'effectuer un paiement ou de réinitialiser un mot de passe a effectivement accès au numéro de téléphone enregistré. Il est utilisé une fois et expire peu de temps après, généralement dans un délai de cinq à quinze minutes.
Comment ça marche
- Un utilisateur tente une action sensible : se connecter, effectuer un paiement, réinitialiser un mot de passe.
- Le système génère un code aléatoire à usage unique et l'envoie par SMS au numéro de téléphone lié au compte.
- L'utilisateur saisit ce code dans l'application ou le site Web dans la fenêtre d'expiration.
- Le système confirme les correspondances de code et laisse l'action se poursuivre.
Pourquoi les SMS spécifiquement
SMS OTP fonctionne comme une vérification de deuxième facteur car il repose sur quelque chose que l'utilisateur possède physiquement (son téléphone) distinct de quelque chose qu'il connaît, comme un mot de passe. Même si un mot de passe est volé ou deviné, un attaquant sans accès physique au téléphone (ou contrôle de son numéro) ne peut généralement pas terminer la connexion. Les SMS sont utilisés sur d’autres canaux principalement parce qu’ils ne nécessitent aucune application, aucune connexion Internet et qu’ils fonctionnent sur pratiquement tous les téléphones.
Utilisations courantes
- Authentification à deux facteurs pour les connexions
- Confirmer un paiement ou une modification des détails du compte
- Vérifier un numéro de téléphone lors de la création d'un compte
- Autoriser une réinitialisation de mot de passe
Les SMS OTP sont-ils sécurisés ?
Le SMS OTP constitue une amélioration significative de la sécurité par rapport à un mot de passe seul, mais ce n'est pas le deuxième facteur le plus puissant possible : il peut être vulnérable à la fraude par échange de carte SIM, où un attaquant convainc un opérateur de transférer le numéro d'une victime vers une nouvelle carte SIM, ou à l'interception sur des réseaux mal sécurisés. Pour la plupart des applications grand public, il s'agit d'une norme pratique à faible friction ; les cas d'utilisation de sécurité plus élevée l'associent de plus en plus à, ou le remplacent, des applications d'authentification ou des clés matérielles.
Meilleures pratiques pour les entreprises envoyant des OTP
- Gardez la fenêtre d’expiration courte – cinq à dix minutes sont typiques.
- Acheminez le trafic OTP via un chemin d'envoi dédié et hautement prioritaire plutôt que la même file d'attente que les messages marketing.
- Limitez la fréquence à laquelle un code peut être demandé pour le même numéro, afin d'éviter les abus.
- N'incluez jamais quoi que ce soit au-delà du code et d'une brève instruction : les messages OTP sont une cible de phishing courante pour les textes sosies.