LE BLOG SMSMODE©
Reverse OTP : une authentification gratuite par SMS
Le 18 juillet 2022
La sécurité des données est une préoccupation pour de nombreux clients. Pour satisfaire ce besoin de fiabilité et gagner un avantage concurrentiel, beaucoup de solutions mettent en place l’authentification à deux facteurs (2FA), souvent par le biais d’un SMS OTP. Mais l’implémentation de la 2FA est coûteuse et chaque message envoyé est facturé. Il y a pourtant une solution pour garantir une authentification forte sans que l’envoi des messages OTP vous coûte un seul centime. Découvrez comment mettre en place un SMS OTP gratuit dans cet article.
Oui, vous avez bien lu, vous pouvez mettre en place une solution d’authentification à deux facteurs gratuite. Comment ? En utilisant la technologie OTP (One Time Password) à l’envers. Avec cette technique, vous générez vous-même le code dans votre application pour que votre client l’envoie sur un numéro virtuel dédié. Vous êtes à la fois l’émetteur du token et le destinataire du SMS. Et en faisant envoyer le message par votre client vous ne payez pas le SMS. C’est encore flou ? Suivez le guide.
Le SMS OTP : comment ça marche ?
Le SMS OTP est un message contenant un code court, unique, généralement compris entre 6 et 8 chiffres, utilisé pour authentifier un utilisateur. L’utilisateur saisit le code dans une page web ou une application pour terminer un processus de connexion, d’inscription ou de validation.
Côté plateforme ou API, le SMS OTP est routé de manière ultra-prioritaire pour assurer l’acheminement en temps et en heure du code temporaire qu’il contient (une durée de vie de 1 minute en moyenne). Les applications, banques, plateformes utilisent massivement les Tokens SMS dans le cadre de l’authentification à deux facteurs (2FA) pour valider la création d’un compte, une transaction ou encore la réinitialisation de mot de passe.
Souvent utilisée par les banques à travers du 3D-secure, cette méthode permet de s’assurer que l’auteur de la demande est en possession de deux facteurs d’identifications distincts (un code qu’il connait et un objet qu’il possède.
Rappel : qu’est-ce que le 2FA ?
Le 2FA, ou authentification à deux facteurs, est une couche de sécurité supplémentaire utilisée pour vérifier l’identité d’un utilisateur. Après avoir saisi son identifiant et son mot de passe, l’utilisateur est invité à fournir une deuxième forme d’identification à partir d’un appareil distinct, tel que son smartphone. Ce deuxième facteur peut être matérialisé par un token ou un message texte envoyé au téléphone de l’utilisateur.
La haute priorité, élément indispensable du SMS OTP
L’envoi d’un SMS OTP se doit d’être réalisé à travers un canal dédié de haute priorité, via des numéros courts dédiés à ce type de trafic SMS. L’envoi permet à l’auteur de la transaction de recevoir rapidement le code. Le but est d’augmenter sa sécurité des données de manière significative sans pour autant impacter le taux d’abandon de ces actions.
Ce processus d’envoi de SMS OTP permet aussi, à l’inscription, de récupérer une nouvelle donnée validée de la part de l’utilisateur : son numéro de téléphone, qui sera utile pour toute la durée de vie de la relation client.
Une application monétaire à l’origine d’un modèle disruptif pour des SMS OTP gratuits
Une startup française de la Fintech a adopté une nouvelle approche de l’authentification à deux facteurs. Elle a trouvé une solution qui lui permet d’inverser son système d’authentification en se plaçant comme récepteur des codes OTP pour supprimer ses envois de SMS.
En pratique, la startup loue un Numéro Virtuel Mobile destiné à recevoir des SMS. Ses utilisateurs envoient eux-mêmes un SMS généré in-app, pour valider une transaction. Cet OTP est généré par le client directement dans l’application, pour être envoyé au Numéro Virtuel Mobile (NVM). Dès réception de ce SMS, l’app fait concorder l’OTP généré et le numéro de téléphone utilisateur et valide la transaction.
La mécanique permet d’éviter d’envoyer un SMS MT (Mobile Terminated) et d’attendre un code envoyé par le client sur un NVM dédié à la réception de SMS MO (Mobile Originated). En somme, au lieu d’envoyer un SMS OTP à votre client, c’est votre client qui envoie un SMS OTP à un numéro de téléphone virtuel. Plus de SMS OTP envoyé par l’application, mais une validation du numéro très fiable tout de même. Le seul coût associé à ce dispositif d’authentification est donc la location d’un Numéro Virtuel Mobile.
Un NVM, c’est quoi en fait ?
Comme son nom l’indique, un Numéro Virtuel Mobile n’est pas lié à un téléphone physique, c’est un numéro long attribué à un client B2B. Ce numéro est conçu pour la réception gratuite et immédiate de SMS provenant d’un téléphone mobile (SMS MO). Le numéro est hébergé chez un MVNO français (opérateur mobile virtuel), disponible 24/7 sans dysfonctionnement.
Le Numéro Virtuel Mobile utilise la technique dite de « sélection directe à l’arrivée » (SDA) qui permet d’atteindre le numéro sans intermédiaire. Ce numéro « direct externe unidirectionnel » est idéal pour les entreprises qui souhaitent être contactées par SMS, engager des conversations avec leurs clients ou constituer des listes de diffusion de toutes sortes (alerte, ligne de transport, jeux-concours, newsletter…). À la réception d’un SMS, une notification est envoyée sur une URL déterminée pour traitement par vos soins de la requête.
DOCUMENTATION
Toutes les caractéristiques du Numéro Virtuel Mobile en réception
Notre fiche produit décrit précisément le principe de fonctionnement pour recevoir des SMS (opt’in SMS, demandes d’informations et renseignements, inscriptions à un service, une newsletter ou un jeu, collectes de données clients, etc.) et ainsi de répondre aux besoins de multiples cas d’application.
Comment mettre en place ce système de 2FA gratuit dans mon application ?
1 – Se doter d’une API d’authentification, d’un token logiciel ou d’une librairie de génération d’OTP
Il existe de nombreuses façons de mettre en œuvre l’authentification 2FA dans une application. Une méthode populaire consiste à utiliser un token logiciel ou une application comme Authy ou Google Authenticator pour avoir un moyen sécurisé de stocker, générer et utiliser vos OTP.
Vous pouvez aussi vous doter d’une librairie token qui générera des OTP à la demande, dans laquelle vous pourrez piocher pour chaque opération à valider.
2 – Louer un NVM smsmode©
Dotez-vous d’un numéro virtuel pour y recevoir les OTP qui seront envoyés par vos clients. Mettez en place des requêtes HTTP GET pour pouvoir récupérer les OTP et les numéros à matcher.
3 – Créer mon modèle
Pour éviter le churn (abandon d’opération), vous devez rendre le processus d’authentification le plus simple possible pour l’utilisateur. Un bon moyen est de générer un bouton « in app » qui, une fois cliqué, ouvre l’application de messagerie par défaut de vos utilisateurs avec le numéro de votre NVM en destinataire et le code OTP à coller dans le corps du texte.
4 – Déclencher l’authentification
Le numéro virtuel smsmode© vous permet de mettre en place le déclenchement automatique d’actions, pour que votre solution de 2FA soit entièrement pilotée. En pratique, l’opération consiste en une vérification entre les deux codes OTP qui doivent correspondre.
Faites un call back sur votre application pour vérifier la concordance entre le code reçu par votre NVM et celui qui vous avez généré pour votre utilisateur.
Si les deux codes OTP correspondent et que le numéro est bien celui attendu, vous n’avez plus qu’à valider l’authentification !
2FA Gratuit : Les plus et les moins
Cette technique d’authentification gratuite pour les applications, que l’on pourrait appeler « Reverse OTP », a des avantages et des inconvénients :
Les moins :
- Une nécessité de développement un peu plus important au démarrage qu’un service de SMS OTP classique.
- Une approche innovante qui peut troubler les utilisateurs. À vous de faire en sorte que la présentation soit professionnelle et l’utilisation fluide.
- Un déploiement qui ne peut se faire que sur une application mobile
Les plus :
- Une fois installé, chaque envoi est gratuit ! Le seul coût est la location du NVM
- Une solution tout aussi scalable que le OTP classique.
- Une diminution du churn ! Tout comme pour le OTP classique, on quitte l’application mais le préremplissage du SMS fluidifie l’opération, quand il est parfois compliqué de mémoriser le code reçu par SMS.
Notre équipe vous conseille
Vous êtes intéressés par nos services ? Nos account managers et notre équipe techniques sont à votre disposition pour répondre à toutes vos questions sur nos solutions SMS et pour bénéficier des conseils de mise en place de campagne.