Réponse courte. La connexion par numéro de téléphone n'est pas un écran qui appelle l'API d'un envoyeur de SMS ; c'est un service d'authentification qui génère le code, le stocke haché, limite les essais, choisit le canal, WhatsApp d'abord, SMS en repli, appel vocal au troisième essai, journalise chaque envoi et, surtout, ne renvoie rien à un appareil déjà connu : la biométrie du téléphone ou une passkey remplacent le code à partir de la deuxième connexion. Les contrôles avant l'envoi, limites par numéro, par adresse IP et par appareil, plages de numéros servies, décident du coût : sans eux, des robots demandent des codes par milliers et la facture SMS suit. Huit semaines pour construire le module, dont une de pilote sur de vrais clients pour mesurer la livraison réelle par opérateur.
Ce guide s'adresse au fondateur installé en France dont l'application sera ouverte par des clients en Algérie et par la diaspora avec des numéros français, au gérant dont les clients oublient leur mot de passe toutes les deux semaines, à l'entreprise dont la facture SMS a doublé sans que les inscriptions bougent, et à celui qui lit « connexion par OTP » dans un devis sans savoir ce qui se cache derrière. Il ne traite pas du paiement en ligne, décrit dans le guide technique sur l'intégration CIB et Edahabia, ni de l'agent conversationnel, décrit dans le guide sur l'agent IA sur WhatsApp ; il traite de la porte d'entrée, celle que chaque client franchit avant tout le reste.
Ce que les chiffres disent
Le code par SMS est devenu un authentifiant toléré, plus recommandé. La révision 4 des lignes directrices d'identité numérique du NIST américain, SP 800-63B, publiée en 2025, classe l'usage du réseau téléphonique pour recevoir un code, SMS ou appel, comme « restreint » : le vérificateur doit offrir au moins un autre authentifiant non restreint, devrait rappeler cette limite à l'utilisateur, et devrait tenir compte des signaux de risque, changement d'appareil, de carte SIM ou portage du numéro. Le même texte fixe des repères que nous appliquons : un code d'au moins six chiffres, une authentification hors bande invalide si elle n'est pas achevée en dix minutes, un plafond de cent essais échoués comme borne haute, les agences pouvant imposer moins, et le rappel qu'un code saisi à la main n'est pas résistant au hameçonnage. Ce sont des règles écrites pour les systèmes fédéraux américains ; elles se lisent, pour une application algérienne, comme le niveau en dessous duquel on ne descend pas.
La fraude est chiffrée par ceux qui la subissent. Twilio, l'un des plus gros envoyeurs de SMS de vérification au monde, écrit en septembre 2026 que sa protection contre le pompage de SMS, des robots qui demandent des codes vers des plages de numéros rémunérées, a évité 62,7 millions de dollars de coûts frauduleux à ses clients entre juin 2022 et octobre 2024 et bloqué plus de 569 millions de tentatives ; ce sont les chiffres d'un vendeur sur ses propres clients, à lire comme un ordre de grandeur. Côté alternatives, la FIDO Alliance publie le 7 mai 2026 son rapport sur l'état des passkeys : une enquête de Sapio Research en avril 2026 auprès de 11 000 adultes dans dix pays, sans l'Algérie, où 90 % connaissent les passkeys et 75 % en ont activé sur au moins un compte, et une estimation de l'alliance d'environ cinq milliards de passkeys en usage. Les pays interrogés ne ressemblent pas à l'Algérie ; la direction, elle, se transpose : le téléphone devient l'authentifiant, et le code devient le repli.
Le terrain algérien impose ses propres règles. WhatsApp facture ses messages d'authentification au message livré depuis le 1er juillet 2025, et l'Algérie est rangée dans la région tarifaire « Reste de l'Afrique », quarante marchés, dont le tarif se lit sur la grille de Meta ; des modèles d'authentification approuvés permettent le remplissage en un geste sur Android et, depuis iOS 26, sur iPhone, avec une mention d'expiration réglable de une à quatre-vingt-dix minutes. Côté SMS, aucun opérateur ne publie de grille professionnelle en dinars : les grilles des revendeurs internationaux affichent, vers l'Algérie, un SMS vingt à trente fois plus cher qu'un message WhatsApp d'authentification ; ce sont des prix de revente en euros, pas les tarifs de Mobilis, Djezzy ou Ooredoo, qui se négocient par contrat. Et un signal réglementaire à garder en tête : selon la presse, le ministère de la Poste et des Télécommunications a adressé à Meta, le 10 août 2026, une mise en demeure pour que tout compte WhatsApp utilisé en Algérie reste lié à un numéro mobile algérien valide, au nom de la traçabilité des comptes ; le numéro de téléphone restera, en Algérie, l'identité de référence.
La vie d'une connexion par numéro de téléphone, en six moments
L'authentification ne se décrit pas par ses canaux mais par ce qui arrive à un client qui tape son numéro, jusqu'à ce qu'il ouvre l'application le lendemain sans rien taper.
Le numéro saisi est normalisé au format international et reconnu : mobile algérien, numéro étranger de la diaspora, ou rien de tout cela, auquel cas il est refusé avant qu'un seul message parte. Les contrôles avant l'envoi sont le moment qui décide de la facture : pas plus de trois codes par numéro et par heure, pas plus de dix par adresse IP, un identifiant d'appareil qui compte lui aussi, une liste de plages de numéros servies, et un défi invisible pour les navigateurs qui se comportent comme des robots ; un code qui part sans ces contrôles est un code que n'importe qui peut faire partir. L'envoi choisit le canal : WhatsApp d'abord quand le numéro y est joignable, parce que le message arrive tracé, se remplit en un geste et coûte une fraction du SMS ; SMS sinon ; appel vocal au troisième essai seulement. Le code a six chiffres, vit cinq minutes, et n'est stocké que sous forme hachée, comme un mot de passe : une fuite de la base ne révèle aucun code valide.
La saisie et la vérification acceptent trois essais, comparent en temps constant pour ne rien révéler par la durée de la réponse, et invalident le code dès qu'il a servi ; au quatrième essai, un nouveau code est nécessaire, et le numéro ralentit. La session est double : un jeton court pour les appels à l'API, renouvelé par un jeton long lié à l'appareil, révocable depuis le compte, et une nouvelle preuve demandée après trente jours ou avant une action sensible, par le même principe que le guide sur l'application hors ligne applique aux données : ce que le téléphone garde doit rester valable sans réseau. L'appareil connu est le moment qui divise le coût par quatre : au deuxième lancement, l'empreinte ou le visage déverrouillent la session, une passkey est proposée, et le code ne revient que sur un téléphone jamais vu sur ce compte.
L'authentification par téléphone, en cinq couches
Derrière les six moments, cinq couches, et celle du milieu est la seule qu'on construit vraiment.
Les canaux sont des connecteurs interchangeables : le modèle d'authentification WhatsApp via la plateforme de Meta, le SMS par un contrat direct avec l'opérateur ou par un agrégateur, l'appel vocal, l'e-mail pour les comptes qui n'ont pas de numéro algérien ; chacun a son prix, son taux de livraison et ses règles, qui changent tous les ans, et aucun n'est le seul. Le service d'authentification est le vrai livrable : il génère et hache les codes, applique les limites, choisit le canal et bascule quand le premier ne livre pas, journalise chaque envoi avec son canal, son coût et son résultat ; c'est le seul composant qui sait qu'un code existe. Les sessions et les appareils tiennent les jetons, le renouvellement, la liste des appareils connus et la déconnexion à distance ; c'est cette couche qui fait qu'un client ne reçoit pas un code à chaque ouverture.
L'application n'a qu'un écran, « votre numéro », le remplissage automatique quand le téléphone l'offre, et un lien « renvoyer autrement » toujours visible ; elle ne sait pas par quel canal le code est parti, et c'est voulu : changer de fournisseur de SMS ne touche pas l'application, par le même raisonnement que le guide sur l'intégration des logiciels existants applique aux connecteurs. La supervision est un écran lu chaque semaine : codes envoyés par canal et par opérateur, délai d'arrivée, part vérifiée, coût par connexion, et une alerte quand les envois montent sans que les vérifications suivent, qui est la signature du pompage de SMS. Une authentification sans cet écran est une facture qu'on découvre à la fin du mois.
«Un écran qui appelle l'API d'un envoyeur de SMS est un formulaire ; l'authentification, c'est le service qui génère, hache, limite, choisit le canal et se souvient de l'appareil.»
Un exemple chiffré
Un exemple sur des hypothèses d'usage, avec une mécanique qui n'en est pas : une application grand public, six mille clients actifs, un mois.
20 000 connexions par mois : six mille clients qui ouvrent l'application un peu plus de trois fois par mois en moyenne, les plus actifs chaque jour. Sans appareils connus, ce sont vingt mille codes ; avec eux, 5 000 codes réellement envoyés, parce que la biométrie et la passkey prennent les trois quarts des connexions, et que seuls les nouveaux clients, les nouveaux téléphones et les sessions expirées reçoivent un code. 70 / 30 entre WhatsApp et SMS est notre hypothèse sur la part des numéros joignables sur WhatsApp ; elle se mesure au pilote, et elle décide du coût bien plus que le prix unitaire.
L'écart de prix de vingt à trente fois entre un SMS et un message WhatsApp d'authentification vers l'Algérie vient des grilles publiques de revendeurs internationaux et n'est pas un tarif algérien : un contrat direct avec un opérateur change le chiffre, pas le sens. Ce que l'exemple montre sans dépendre des prix : avec les mêmes vingt mille connexions, l'application sans service d'authentification paie vingt mille SMS, et celle qui en a un paie mille cinq cents SMS et trois mille cinq cents messages WhatsApp, soit un coût divisé par un ordre de grandeur, et une surface d'attaque pour les robots réduite d'autant. Les hypothèses à vérifier chez vous : combien de connexions, combien d'appareils par client, quelle part de numéros sur WhatsApp, et quel tarif votre contrat SMS vous donne ; le pilote de la semaine six répond aux trois premières.
Six façons de prouver qui se connecte
Six canaux, et aucun ne suffit seul ; la première semaine du projet sert à écrire lequel sert à quoi.
Le code par SMS marche sur tout téléphone, sans application ni data, et c'est le réflexe que tout le monde connaît ; il est payé à chaque envoi, sa livraison varie selon l'opérateur et l'heure, le NIST le classe restreint, et il est la cible des robots. Il reste indispensable en Algérie comme repli, pas comme premier canal. Le code par WhatsApp se remplit en un geste sur Android et, depuis iOS 26, sur iPhone, arrive tracé et coûte une fraction du SMS ; il demande un compte WhatsApp Business, un modèle d'authentification approuvé par Meta, et ne couvre que les numéros présents sur WhatsApp, ce qui en Algérie est la grande majorité des smartphones. L'appel vocal lit le code à voix haute quand rien d'autre n'arrive ; il est le plus coûteux par tentative et se réserve au troisième essai.
Le lien par e-mail ne coûte rien et sert aux comptes professionnels et à la diaspora qui n'a pas de numéro algérien ; les boîtes sont mal consultées sur mobile, et aucun système exigeant ne l'accepte comme preuve seule. Le mot de passe ne coûte rien à l'envoi et tout le monde le connaît ; il est oublié, réutilisé et hameçonné, et sa récupération appelle de toute façon un code ou un lien, ce qui en fait rarement une économie. La passkey, la biométrie du téléphone liée au compte, n'envoie rien, ne se copie pas et résiste au hameçonnage ; elle suppose un téléphone récent et un premier enrôlement, et se propose après la première connexion réussie plutôt que de s'imposer à l'inscription. Le montage qui tient en 2027 : WhatsApp d'abord, SMS en repli, vocal au troisième essai, e-mail pour les comptes sans numéro algérien, passkey proposée dès que l'appareil le permet. Pour un numéro français de la diaspora, le message WhatsApp est facturé au tarif de la France et le SMS international coûte plus cher encore ; l'e-mail et la passkey y prennent une part plus grande, comme dans le guide sur l'appartement géré depuis la France.
Six abus que le service doit arrêter
Six abus que nous voyons sur les applications que nous reprenons, et ce que le service d'authentification fait contre chacun.
Le pompage de SMS coûte de l'argent : des robots demandent des codes par milliers vers des plages de numéros que des intermédiaires rémunèrent, souvent la nuit, souvent vers des pays où l'application n'a aucun client ; les plages servies, les limites par IP et par appareil, le défi invisible et l'alerte « envois en hausse, vérifications stables » l'arrêtent en quelques minutes au lieu de quelques semaines. Les essais en force tentent les combinaisons d'un code à six chiffres ; trois essais puis nouveau code, cinq minutes de validité et un blocage progressif ramènent la probabilité de succès à une sur trois cent mille par code. L'échange de SIM et le portage donnent le numéro du client à un tiers ; le service regarde les signaux de changement d'appareil ou de carte avant les actions sensibles, et demande une seconde preuve pour changer de numéro ou vider un solde.
L'hameçonnage du code est le plus fréquent : un faux conseiller appelle et demande « le code que vous venez de recevoir » ; le message dit « ne partagez jamais ce code », le code est lié à l'action demandée et non à un accès général, et la saisie manuelle n'est jamais traitée comme une preuve forte, exactement ce que le NIST écrit. Le rejeu et le partage d'appareil sont ordinaires dans les familles où un téléphone sert à plusieurs ; code invalidé après vérification, liste des appareils connus et déconnexion à distance depuis le compte. Le numéro recyclé est le cas algérien que les gens oublient : un ancien client change de numéro, l'opérateur le réattribue, et l'inconnu qui le reçoit se connecte au compte ; expiration des sessions inactives, seconde preuve avant les données sensibles et détection d'un appareil jamais vu sur un compte ancien. Les deux premiers coûtent de l'argent, les quatre autres coûtent des clients, et aucun ne se traite dans l'écran.
«Les deux premiers abus coûtent de l'argent, les quatre autres coûtent des clients, et aucun ne se traite dans l'écran.»
Vu ailleurs : NIST, Meta, FIDO, et ce qui se transpose
Trois textes publics disent l'essentiel. Le NIST écrit ce que vaut chaque authentifiant : le code reçu par téléphone est restreint, il faut offrir autre chose à côté, six chiffres au moins, dix minutes au plus, un plafond d'essais, et la saisie manuelle n'est pas résistante au hameçonnage ; ce qui se transpose à toute application algérienne, c'est l'architecture que ces règles imposent, le code comme un repli et non comme la preuve unique, et l'alternative, biométrie ou passkey, disponible dès que l'appareil le permet. Meta écrit comment livrer un code par WhatsApp : un modèle d'authentification approuvé, le remplissage en un geste, l'expiration affichée, la facturation au message livré et une région tarifaire pour l'Algérie ; ce qui se transpose, c'est le réflexe de lire la grille et les règles avant de promettre un coût, comme le guide sur l'agent WhatsApp le fait pour les conversations.
La FIDO Alliance dit où va le marché : cinq milliards de passkeys en usage, trois quarts des répondants de dix pays qui en ont activé, et des plateformes, Android, iOS, navigateurs, qui les proposent nativement ; ce qui ne se transpose pas, c'est le rythme, parce que l'Algérie n'est pas dans l'enquête et que le parc de téléphones y est plus ancien, et c'est pourquoi la passkey se propose au lieu de s'imposer. Ce que les trois textes ne disent pas et que seul le pilote dit : la livraison réelle des SMS par opérateur et par heure en Algérie, la part des numéros joignables sur WhatsApp parmi vos clients, et le délai d'arrivée du code sur un réseau chargé un soir de ramadan.
Les règles d'une authentification qui tient
Six règles, écrites la première semaine et relues à chaque incident. Rien ne part sans contrôles : limites par numéro, par IP et par appareil, plages servies, défi invisible ; c'est la règle qui protège la facture. Le code est haché, court et à usage unique : six chiffres, cinq minutes, trois essais, invalidé après usage, jamais stocké en clair, jamais inscrit dans un journal. Le canal est une décision du service, pas de l'écran : WhatsApp d'abord, SMS en repli, vocal au troisième essai, et l'application ignore lequel a servi. L'appareil connu remplace le code : biométrie ou passkey à partir de la deuxième connexion, liste des appareils et déconnexion à distance dans le compte. Les comptes, les modèles et les contrats sont au nom de l'entreprise, le compte WhatsApp Business, le contrat opérateur, les clés d'API, jamais au nom du prestataire, comme le guide sur l'application bloquée chez un développeur disparu le rappelle. Le coût par connexion est un indicateur lu chaque semaine, pas une ligne découverte sur la facture.
Une septième règle porte sur le cahier des charges : « connexion par OTP » n'est pas une exigence, c'est une phrase ; l'exigence s'écrit « le code part par WhatsApp quand le numéro y est joignable et par SMS sinon, il a six chiffres, vit cinq minutes et accepte trois essais ; un appareil connu ne reçoit pas de code pendant trente jours ; les envois sont limités à trois par numéro et par heure ; un écran donne chaque semaine les codes envoyés par canal, la part vérifiée et le coût par connexion », et elle se vérifie à la recette par des tests d'abus automatisés, comme le recommande le guide sur le cahier des charges. Un devis qui chiffre « l'OTP » sans dire par quel canal, avec quelles limites et sans appareils connus a chiffré un formulaire.
Six applications, ce qu'on choisit
Six applications que nous construisons souvent, et pour chacune le montage d'authentification retenu la première semaine.
- La marketplace ou l'application grand public. Numéro de téléphone, WhatsApp d'abord, SMS en repli, passkey proposée après la première commande ; pas de mot de passe du tout.
- Le portail de commande B2B décrit dans le guide dédié. Numéro du gérant du point de vente, appareil connu sur la tablette de la boutique, seconde preuve pour changer le numéro ou dépasser le crédit.
- L'application de terrain des prévendeurs ou des livreurs. Appareil de l'entreprise enrôlé une fois, code PIN local qui marche sans réseau, code par SMS seulement pour réenrôler un nouveau téléphone.
- L'espace propriétaire ou patient ouvert depuis la France. Numéro français ou e-mail, WhatsApp au tarif France, passkey proposée dès la première connexion ; le SMS international en dernier recours.
- L'application de clinique ou de cabinet pour les patients. Numéro de téléphone et SMS ou WhatsApp pour le premier accès, lien sécurisé pour consulter un résultat, seconde preuve avant le dossier complet.
- Le SaaS d'un fondateur vendu à des entreprises. E-mail et passkey pour les comptes, code par WhatsApp ou SMS en option pour les utilisateurs qui le demandent, connexion par le compte Google ou Microsoft de l'entreprise quand elle en a un.
Le calendrier 2027
Le calendrier est celui d'un module d'authentification en huit semaines, dont une de pilote sur de vrais clients, construit en parallèle du reste de l'application.
La semaine 0 à 1 écrit les règles : qui se connecte, avec quel type de numéro, depuis quel pays, quels canaux dans quel ordre, quelles limites, quelle durée de session, quelles actions demandent une seconde preuve. La semaine 1 à 2 demande ce qui prend du temps : le compte WhatsApp Business de l'entreprise et son modèle d'authentification soumis à l'approbation de Meta, le contrat SMS avec l'opérateur ou l'agrégateur au nom de l'entreprise, le nom d'expéditeur ; ces délais dépassent toujours le temps de code. Les semaines 2 à 4 construisent le service d'authentification : génération, hachage, limites, bascule de canal, journal, et les tests d'abus automatisés qui rejouent le pompage, la force brute et le rejeu à chaque livraison. La semaine 4 à 5 fait l'écran et le remplissage automatique sur Android et iOS, avec le « renvoyer autrement » visible et des messages d'erreur qui disent quoi faire.
La semaine 5 à 6 installe les sessions, les appareils connus, la déconnexion à distance, la biométrie et la proposition de passkey. La semaine 6 à 7 est le pilote : cinq cents clients réels, la livraison mesurée par canal et par opérateur, le délai d'arrivée, la part vérifiée et le coût par connexion ; c'est la seule semaine qui dit la vérité sur les opérateurs. La semaine 7 à 8 installe la supervision hebdomadaire, les alertes de fraude, bascule tous les clients et décide de la part de SMS acceptable. Ce que coûte ensuite une année de ce module, messages compris, entre dans le budget décrit par le guide sur la vie d'une application, et le paiement de Meta en devise suit le guide sur le paiement du cloud depuis l'Algérie.
Ce qui fait échouer une authentification
Les authentifications que nous reprenons échouent presque toujours pour l'une de ces raisons.
- L'écran appelle directement l'envoyeur de SMS. Pas de limites, pas de journal, pas de bascule : les robots trouvent l'adresse en une semaine.
- Le code est stocké en clair ou écrit dans les journaux. Une fuite de base révèle des codes valides ; le hachage coûte une ligne.
- Un code à chaque ouverture. Sans appareils connus, le client reçoit vingt codes par mois et l'entreprise les paie tous.
- Le SMS comme seul canal. Un soir d'opérateur saturé, personne ne se connecte, et le support reçoit les appels.
- Pas de supervision du coût par connexion. Le pompage se découvre sur la facture, trois semaines plus tard.
- Le compte WhatsApp Business au nom du prestataire. Changer de prestataire revient à refaire approuver les modèles et à perdre le numéro.
- La passkey imposée à l'inscription. Les téléphones anciens n'y arrivent pas et les clients partent ; elle se propose après la première connexion réussie.
Questions fréquentes
Les questions que nous recevons de gérants, de fondateurs installés en France et d'équipes qui reprennent une application.
- Faut-il encore un mot de passe si on a le code par téléphone ?
- Non, pour une application grand public : le numéro de téléphone, le code à la première connexion sur un appareil, puis la biométrie ou la passkey suffisent, et le mot de passe n'ajoute qu'une chose à oublier. Un SaaS vendu à des entreprises garde l'e-mail et la passkey, avec le code en option.
- WhatsApp ou SMS pour envoyer le code ?
- Les deux, dans cet ordre : WhatsApp quand le numéro y est joignable, parce que le message arrive tracé, se remplit en un geste et coûte une fraction du SMS ; SMS sinon ; appel vocal au troisième essai. Le choix appartient au service d'authentification, pas à l'écran, et le pilote mesure la part réelle de chaque canal.
- Combien coûte un code ?
- Cela dépend du canal et du contrat : WhatsApp facture au message livré selon la région « Reste de l'Afrique » de sa grille, et le SMS se négocie avec l'opérateur ou l'agrégateur, sans grille publique en dinars. Les grilles de revendeurs internationaux montrent un SMS vingt à trente fois plus cher qu'un message WhatsApp d'authentification vers l'Algérie ; le levier le plus fort n'est pas le prix unitaire mais le nombre de codes, divisé par quatre par les appareils connus.
- Comment empêcher les robots de vider le budget SMS ?
- Par les contrôles avant l'envoi : trois codes par numéro et par heure, dix par adresse IP, un identifiant d'appareil, des plages de numéros servies, un défi invisible pour les navigateurs suspects, et une alerte quand les envois montent sans que les vérifications suivent. Un service qui applique ces règles arrête le pompage en minutes.
- Et les clients de la diaspora avec un numéro français ?
- Le numéro est reconnu comme étranger ; WhatsApp est facturé au tarif de la France et le SMS international coûte plus cher encore, donc l'e-mail et la passkey prennent une part plus grande, et le SMS reste le dernier recours. Le compte reste le même quel que soit le pays du numéro.
- Combien de temps pour construire l'authentification ?
- Huit semaines pour le module, dont une de pilote sur cinq cents clients réels ; le compte WhatsApp Business, l'approbation du modèle et le contrat SMS se demandent dès la première semaine parce qu'ils prennent plus de temps que le code. Le module se construit en parallèle du reste de l'application.