L’authentification par SMS avec le One Time Password (OTP)
Romain Didelot
Partager :
Introduction
Diminuer le risque de fraudes sans entraver les utilisateurs dans leurs processus de connexion ou de création de comptes est une préoccupation pour beaucoup d’entreprises. Pour la sécurité de l’utilisateur dans une application, la méthode la plus commune est la vérification à la connexion, c’est-à-dire l’authentification. Plusieurs solutions existent, mais comment adopter celle qui sera la plus efficace et la plus sécurisée tout en minimisant les coûts ?
Quelles sont les différentes formes d’authentification par SMS ?
L’authentification simple par SMS
L’authentification simple par SMS permet à l’utilisateur de se connecter à un compte sans fournir de nom d’utilisateur ni même de mot de passe. Une fois l’adresse de connexion renseignée, un SMS OTP (One Time Password pour code à usage unique) est envoyé sur le téléphone portable des utilisateurs qui renseignent le code pour se connecter à l’application. C’est une vérification avantageuse par sa rapidité et sa facilité, car détenir un téléphone mobile suffit et il n’y a rien à retenir. Le téléphone est cependant le seul facteur d’authentification, ce qui fragilise cette méthode.
L’authentification à deux facteurs (2FA)
L’authentification à deux facteurs via SMS est la méthode la plus utilisée. Elle permet de renforcer votre système de sécurité existant tout en bénéficiant d’une mise en place facile et peu coûteuse. Les utilisateurs renseignent leurs logins (nom et mots de passe) et des SMS incluant des codes OTP sont envoyés pour apporter une vérification supplémentaire à la connexion. Cette authentification en deux étapes vous permet de bénéficier d’une sécurité renforcée pour toutes les connexions à vos applications.
L’authentification multi facteurs (MFA) avec SMS
L’authentification multifacteur (MFA pour Multi Factors Authentication) est une méthode de vérification en plusieurs étapes (le plus souvent 3) avant d’accorder l’accès à un système, une application ou des données. L’objectif de la MFA est de renforcer la sécurité en s’assurant que la personne qui tente une connexion est bien celle qu’elle prétend être.
Cette authentification repose sur :
- Quelque chose que vous savez (facteur de connaissance : mot de passe, code PIN)
- Quelque chose que vous avez (facteur de possession : téléphone, ordinateur)
- Quelque chose que vous êtes (facteur biométrique)
En pratique, pour la connexion à une application bancaire en ligne par exemple :
- Étape 1 : Entrer le nom d'utilisateur et le mot de passe (connaissance).
- Étape 2 : Recevoir un code de vérification par SMS sur votre téléphone portable et l'entrer dans l'application (possession).
- Étape 3 : Utiliser l'empreinte digitale pour déverrouiller l'application d'authentification sur le téléphone (facteur biométrique).
Cette méthode est la plus fiable, car il est très difficile de contrefaire/subtiliser 3 facteurs de vérification en une fois. En revanche, la MFA représente un grand coup de développement et peut être complexe à activer, surtout pour de simples opérations de connexion où 2 facteurs distincts sont amplement suffisants.
Dans quelles situations utiliser le SMS OTP pour l’authentification ?
Ce type de SMS contenant des codes a connu la notoriété par son utilisation dans le but de sécuriser les paiements en ligne effectués par carte bancaire. Mais l’envoi de SMS « One Time Password » peut être utilisé à bien d’autres fins :
- Connexion à des services bancaires ou de trading en ligne (portefeuille d’actions, crypto…)
- Accès aux comptes de médias sociaux, streaming vidéo et audio, gestion de contenu, plateformes de développement logiciel, comptes mail et services cloud
- Inscription et vérification de nouveaux comptes utilisateurs
- Connexion à une application de messagerie ou de stockage de fichiers
- Réinitialisation de mots de passe
- Authentification pour les portails d'entreprises ou plateformes de télétravail
- Accès aux plateformes de e-commerce, de livraison et de logistique
- Signature électronique certifiée
- Vérification d'identité pour les services d’informations, gouvernementaux, de santé ou sensible
- Accès aux systèmes de gestion des ressources humaines
- Connexion aux forums ou réseaux de jeux en ligne
- Validation de réservations de voyages et de billets électroniques
Les applications pour ces codes sont pratiquement infinies dans le monde du web et du mobile ! smsmode© préconise à toutes les sociétés qui utilisent des comptes personnels avec des données privées pour leurs utilisateurs de mettre en place l’authentification par SMS. Vous pouvez réellement accroître la sécurité des connexions sur votre application ou sur des réseaux non sécurisés avec le SMS OTP en envoyant des mots de passe temporaires.
De même, lors de l’inscription d’un nouveau client, vous pouvez vérifier son numéro de téléphone avec un code par message et vous assurer de l’exactitude des informations.
Ce procédé permet de se connecter pour la première fois, mais aussi de vous garantir une base de données certifiée et d’ainsi qualifier vos leads.
Il est également possible de certifier une signature électronique qui permettrait de valider des contrats à distance grâce aux codes générés.
Diversifiez vos moyens de paiement, proposez le lien de paiement envoyé par SMS
Quels sont les avantages de l’authentification par SMS ?
Un confort non négligeable pour l’utilisateur final : l’utilisation du mobile dans le processus de sécurité des comptes permet de recevoir un code très rapidement sur un support qui se trouve à portée de main. Avec une réception immédiate, la transmission d’un code unique par SMS sécurise le fonctionnement tout en fluidifiant la connexion.
Un support universel qui fonctionne sur tous les terminaux mobiles et tous les réseaux mondiaux : tous les utilisateurs auront ainsi un sentiment de sécurité, quel que soit leur téléphone portable. Chacun aura conscience du système de sécurité qui protège ses données personnelles. Vous n’aurez pas pour autant besoin de développer une application supplémentaire pour activer la vérification.
La collecte du numéro de téléphone mobile de vos clients, de manière certifiée pour ainsi enrichir votre base de contacts avec des données de qualité : en effet, grâce à l’OTP, lorsqu’un client s’inscrit sur votre site internet, il a la possibilité de renseigner son numéro de téléphone. Ce numéro n’est pas toujours valide et votre base de données est alors erronée. Lors de l’inscription, un code transmis par SMS permet de valider son numéro directement sur votre application ou votre site internet.
Une intégration transparente et une simplicité d’administration : ce service est entièrement gratuit, seuls les SMS envoyés vous seront facturés.
Notre guide de “best practices” vous guidera sur la manière d’implémenter un service de 2FA.
Comment implémenter le SMS “One Time password” ?
Lorsque vous utilisez notre solution d’authentification forte par SMS, vous bénéficiez de :
Une API REST performante et documentée pour implémenter le SMS OTP. Un code alphanumérique est généré automatiquement par votre application ou votre site internet. Le code OTP est à usage unique, son délai d’expiration est défini en amont par votre équipe. Le routage de SMS OTP implémentée grâce à l’API se charge de transmettre ce code dans les meilleurs délais par un canal de haute priorité exclusivement dédié à ce type d’envoi.
Le routage des SMS 2FA ou OTP vers la France, les DOM-COM ou l’international, s’effectue sur un canal dédié, prioritaire et surveillé en permanence via des outils de monitoring. L’utilisation de nos web services garantit également une sécurité maximale et une confidentialité totale de vos données (mesures de chiffrement et hachage des données utilisateurs).
Pourquoi adopter la solution smsmode© ?
- Opérateur Français Télécom ARCEP
- Fournisseurs de backup de haute priorité
- Canal dédié uniquement pour l’OTP
- Garantie que 95% des messages sont reçus en moins de dix secondes
- Monitoring 24/7
- Outils de mesure avec délais de réception, trafic, et alertes
Créez votre compte gratuitement
Essayez notre plateforme SMS et bénéficiez de 20 crédits de tests offerts, sans engagement.