Bonnes pratiques OTP : comment réduire les coûts, améliorer la délivrabilité et stopper la fraude

La plupart des échecs d'OTP ne sont pas dus à un mauvais code. Ils sont causés par de mauvaises décisions d'implémentation : des messages qui coûtent deux fois plus cher qu'ils ne le devraient, des stratégies de diffusion qui ne tiennent pas compte du comportement des opérateurs régionaux et des parcours de vérification sans protection contre la fraude avant que la facture n'arrive.

Après avoir diffusé des centaines de millions d'OTP dans le monde entier, nous avons documenté ce qui fait réellement la différence. Ce guide présente six pratiques qui permettent de réduire les coûts, d'améliorer les taux de conversion et de prévenir les types de fraude qui gonflent discrètement vos dépenses de vérification.

Pour un aperçu complet du fonctionnement des systèmes OTP et de leurs cas d'usage, consultez notre guide complet sur l'SMS OTP.

Les principaux défis des systèmes OTP

Avant de passer aux solutions, il est utile de nommer clairement les problèmes. La plupart des implémentations d'OTP se heurtent aux mêmes quatre catégories d'échec :

Échecs de distribution. SMS non reçus en raison d'erreurs de réseau, de filtrage des opérateurs, de détection de spam ou de données de contact incorrectes. Chaque échec de distribution est un utilisateur qui ne peut pas finaliser sa vérification.

Coûts croissants. Les frais des opérateurs, les marges des fournisseurs, la segmentation des messages et le routage mondial y contribuent tous. À grande échelle, les coûts s'accumulent rapidement et restent souvent invisibles jusqu'à l'arrivée de la facture.

Fraude. Le pompage de SMS et l'IRSF gonflent artificiellement le trafic de vérification, générant des frais de télécommunication que la plateforme doit absorber. Aucun des deux ne nécessite de compétences techniques particulières pour être exécuté.

Ruptures de l'expérience utilisateur. Codes expirés, longs délais et formats de messages déroutants entraînent l'échec des premières tentatives et des renvois coûteux.

Ces problèmes ne sont pas indépendants. Un message mal optimisé augmente les coûts et réduit la conversion. Une stratégie de distribution fragile augmente les tentatives de renvoi, ce qui accroît l'exposition à la fraude. Les pratiques ci-dessous traitent ces quatre aspects simultanément.

10 bonnes pratiques pour vos OTP

1. Optimisez votre message OTP pour réduire les coûts

Lors de la rédaction des messages OTP, chaque caractère compte, littéralement. Un message bien optimisé garantit une communication claire tout en vous aidant à maîtriser vos coûts. Voici comment rester efficace :

Faites court

Le coût d'un SMS est calculé en fonction de la longueur du message, avec des frais appliqués par segment de 160 caractères. Dépasser cette limite, même d'un seul caractère, peut doubler votre facture.

Par exemple :

• "123456 est votre code de validation pour MyApp". Tient en 1 segment, ce qui limite les coûts.

• "Votre mot de passe à usage unique est 123456. Merci d'utiliser notre service". Déborde sur 2 segments, ce qui augmente les coûts.

Bien qu'il soit tentant d'ajouter un slogan accrocheur ou des éléments de marque supplémentaires, n'oubliez pas que chaque caractère supplémentaire pèse sur votre budget. Restez concis et concentrez-vous sur l'essentiel.

Évitez les emojis et l'encodage UCS-2

Les emojis et les caractères spéciaux peuvent rendre votre message plus vivant, mais ils ont un coût.

L'encodage des SMS fonctionne selon deux formats :

• GSM-7 : prend en charge la plupart des caractères latins et permet d'utiliser 160 caractères par segment.

• UCS-2 : requis pour les emojis et les caractères spéciaux, mais réduit la limite à 70 caractères par segment, doublant ainsi le coût pour chaque tranche de 70 caractères supplémentaires.

Par exemple :

• "123456 est votre code de validation pour MyApp" (GSM-7). Tient en 1 segment.

• "123456 est votre code de validation pour MyApp 😊" (UCS-2). Nécessite 2 segments.

Un piège moins évident : certains caractères du jeu de caractères GSM-7 nécessitent des séquences d'échappement. C'est le cas de {, }, [, ], ~, |, \ et ^, et chacun d'eux compte pour deux caractères. Un message qui semble faire moins de 160 caractères dans votre éditeur peut tout de même être divisé en deux segments s'il contient ces caractères étendus.

Pour minimiser les coûts, évitez les emojis et n'utilisez l'UCS-2 que lorsque cela est absolument nécessaire, comme dans les régions utilisant des alphabets non latins.

Comment Prelude vous aide-t-il à économiser ?

Si vous utilisez Prelude, vos messages sont automatiquement encodés dans le format le plus efficace. Par défaut, ils sont envoyés en GSM-7 pour garantir une capacité maximale en caractères. Si l'encodage UCS-2 est nécessaire, Prelude gère la transition de manière fluide, maintenant vos coûts au niveau le plus bas possible.

Cette approche garantit que vos messages OTP sont clairs, économiques et optimisés pour une distribution fluide.

2. Structurez votre message OTP pour une lisibilité instantanée

La distribution ne fait pas tout. Un OTP distribué qu'un utilisateur ne trouve pas ou lit mal génère une nouvelle tentative de renvoi. Ces tentatives coûtent cher et créent de la friction dans le parcours.

Après avoir analysé des centaines de millions d'envois d'OTP, nous avons identifié un format qui surpasse systématiquement les autres :

"{{Code}} est votre code de validation pour {{App Name}}"

Placer le code au début le rend immédiatement visible dans l'aperçu des notifications SMS. Les utilisateurs peuvent lire et saisir le code sans ouvrir le message ni changer d'application. À lui seul, ce choix réduit considérablement l'échec des premières tentatives.

L'exemple de BeReal. Le client de Prelude BeReal utilise une légère variante de ce format : 

"7860 est votre code de validation pour BeReal. Vos amis pour de vrai." 

Le slogan est court, fidèle à l'identité de marque et ne masque pas le code dans l'aperçu de la notification. Cette structure de message a permis à BeReal d'atteindre un taux de conversion global de 90 % pour la vérification des utilisateurs.

Pourquoi cela fonctionne-t-il si bien ? 

1. Visibilité du code : placer le code au début du message permet de le voir instantanément dans les notifications SMS. Les utilisateurs peuvent accéder au code et le saisir sans avoir à le chercher ou à quitter votre application.
   
   

2. Clarté et concision : un message court et direct évite toute confusion et minimise le risque d'erreur. Les utilisateurs savent exactement quoi faire dès qu'ils lisent le message.

   
   

3. Cohérence de marque : l'ajout d'un slogan renforce l'expérience utilisateur globale en valorisant votre image de marque. Il est toutefois crucial de le garder court pour ne pas détourner l'attention de l'objectif principal : la transmission du code de vérification.

3. Optimisez votre stratégie de distribution

S'en remettre à un seul fournisseur de SMS crée un point de défaillance unique. Les fournisseurs subissent des interruptions de service, les opérateurs filtrent certains profils d'expéditeurs et les tarifs varient considérablement selon la région et le volume. Le multi-routage répond à ces trois problématiques.

Comment fonctionne le multi-routage 

Répartir le trafic entre plusieurs fournisseurs permet, en cas de défaillance d'une route, de rediriger automatiquement les messages vers une autre, sans délai pour l'utilisateur. De plus, les forces des fournisseurs varient selon les régions : un prestataire ayant d'excellentes relations avec les opérateurs européens peut présenter une distribution irrégulière dans certaines parties de l'Asie du Sud-Est. Router vers le fournisseur le plus performant pour chaque destination améliore à la fois les taux de distribution et les coûts.

En pratique, une entreprise qui envoie des OTP en Europe, en Amérique latine et en Asie du Sud-Est peut utiliser le fournisseur A pour le trafic européen, là où il dispose d'accords directs avec les opérateurs, et le fournisseur B pour les marchés d'Asie-Pacifique, où son routage régional est plus performant. Aucun fournisseur ne couvre à lui seul ces deux régions avec le même niveau de qualité et de coût.

Le multi-routage n'est pas seulement une mesure de fiabilité. C'est une stratégie d'optimisation des coûts. La couche de routage de Prelude s'en charge automatiquement, en sélectionnant la meilleure route par destination sur la base des données de performance de distribution en temps réel.

Pour en savoir plus sur les facteurs influençant la distribution, consultez notre guide sur le taux de délivrabilité des SMS.

Pourquoi est-ce essentiel pour votre activité ?

Une stratégie de distribution optimisée dépasse le simple choix technique. C'est le moyen de garantir à vos utilisateurs une expérience fluide, où qu'ils se trouvent. Le multi-routage réduit les risques liés aux pannes ou aux problèmes de réseau tout en vous aidant à respecter votre budget.

4. Utilisez plusieurs canaux

Le SMS reste le canal OTP par défaut, mais ce n'est pas toujours le plus fiable ni le plus économique, selon l'endroit où se trouvent vos utilisateurs. Tous ne disposent pas d'une couverture réseau mobile stable et la fiabilité des SMS varie d'une région à l'autre.

Les canaux de messagerie en ligne comme WhatsApp OTP, RCS, Telegram OTP ou Viber offrent des avantages significatifs dans certains contextes :

• Coût. WhatsApp et le RCS sont généralement moins chers que le SMS à grande échelle, en particulier pour les volumes importants sur les marchés où l'adoption de ces applications est forte.

• Portée. Dans les régions où la couverture mobile est instable, les canaux applicatifs surpassent souvent le SMS en matière de taux de distribution.

• Préférence des utilisateurs. Au Brésil, en Inde et dans une grande partie de l'Europe, WhatsApp enregistre une utilisation quotidienne active plus élevée que le SMS. Les utilisateurs sont plus enclins à voir un message WhatsApp et à y répondre rapidement.

La meilleure approche ne consiste pas à choisir un canal plutôt qu'un autre, mais à intégrer une logique de repli automatique : le SMS comme canal principal, avec WhatsApp ou l'appel vocal comme alternative en cas d'échec de distribution du SMS. Prelude assure le routage via SMS, appel vocal, WhatsApp, Telegram, Viber, RCS et Silent Network Authentication à partir d'un seul appel API, avec un repli automatique configuré par destination.

Le recours à plusieurs canaux élargit votre portée, réduit vos coûts et garantit que vos OTP sont distribués efficacement, même dans des conditions difficiles. En diversifiant vos modes de distribution, vous offrez une expérience fluide à tous vos utilisateurs, quels que soient leur localisation ou l'état de leur réseau.

5. Bloquez la fraude avant qu'elle ne pèse sur votre facture

La prévention de la fraude est indispensable à grande échelle. Deux types d'attaques sont à l'origine de la majorité des pertes financières liées aux OTP : le pompage de SMS et l'IRSF.

Le pompage de SMS consiste à utiliser des bots pour saturer vos points de terminaison OTP afin de déclencher de gros volumes de messages sortants vers des numéros surtaxés contrôlés par l'attaquant. Chaque message distribué génère des frais de terminaison télécom ; l'attaquant en récupère une partie grâce à des accords de partage de revenus avec les opérateurs ou les agrégateurs. Pour la plateforme, ce trafic ressemble à des connexions légitimes jusqu'à ce que la facture arrive. En 2025, les pertes mondiales liées au pompage de SMS dépassaient 1,2 milliard de dollars par an.

L'IRSF (International Revenue Share Fraud) fonctionne selon un modèle économique similaire. Les attaquants contrôlent des tranches de numéros à tarif élevé (ou s'associent avec des opérateurs qui les gèrent) et y dirigent le trafic OTP pour toucher une part des frais de terminaison qui en découlent. L'IRSF ne s'accompagne souvent d'aucun comportement utilisateur suspect, ce qui la rend particulièrement difficile à détecter par des outils de surveillance classiques.

À quoi ressemble la détection ? Ces deux attaques partagent des signaux identifiables : des pics de trafic inhabituels provenant de régions ou de préfixes spécifiques, des taux de réussite de vérification très bas malgré des volumes d'envoi élevés, des sessions très courtes et des vagues de trafic issues d'infrastructures automatisées.

Une prévention efficace passe par une détection avant l'envoi. La limitation du débit et le filtrage géographique aident, mais ne suffisent pas à eux seuls. Les systèmes qui analysent les signaux de fraude seulement après l'envoi de l'OTP ont déjà engendré des coûts avant que le blocage ne survienne.

L'API Watch de Prelude combine des analyses heuristiques, des modèles d'IA, des données de fournisseurs tiers et des renseignements partagés au sein de son réseau de clients pour évaluer chaque demande de vérification avant de la router. Les requêtes suspectes sont bloquées avant l'envoi du message, plutôt que d'être simplement signalées dans un rapport a posteriori.

Pour une analyse complète des types de fraude et des stratégies de détection, consultez Le guide complet sur la fraude OTP et le pompage de SMS : Comprendre et prévenir ce phénomène.

6. Choisissez le bon fournisseur d'OTP

La qualité de l'implémentation est essentielle, mais elle dépend directement du fournisseur sur lequel vous vous appuyez. Un message parfaitement optimisé envoyé par un fournisseur dont le routage est de mauvaise qualité restera peu performant.

Les critères de sélection spécifiques aux OTP diffèrent de ceux d'une API de SMS classique :

• Détection de la fraude avant l'envoi. La fraude est-elle bloquée avant l'envoi du message, ou simplement signalée une fois les coûts facturés ?

• Analyses de conversion. Pouvez-vous visualiser le coût par utilisateur vérifié et le taux de conversion des OTP par pays et par canal, et pas seulement le statut de distribution ?

• Repli multicanal. La plateforme bascule-t-elle automatiquement vers WhatsApp ou l'appel vocal en cas d'échec du SMS, ou cela nécessite-t-il un développement supplémentaire ?

• Pas de marge sur les coûts des opérateurs. Certains fournisseurs ajoutent une marge sur les tarifs des opérateurs, ce qui pèse lourdement sur le budget à grande échelle.

• API dédiée à la vérification (Verify). La plateforme gère-t-elle la génération du code, l'envoi et la validation via un point de terminaison unique, ou vos équipes doivent-elles concevoir cette logique ?

Pour un comparatif complet des fournisseurs spécialisés dans les OTP évalués selon ces critères, consultez notre guide des meilleurs fournisseurs d'OTP.

Si vous hésitez encore entre développer votre propre système OTP ou faire appel à un prestataire, consultez notre guide d'aide à la décision : développer en interne ou acheter sa solution de vérification OTP.

7. Définissez des fenêtres d'expiration et des limites de tentatives

La sécurité des OTP dépend fortement de la durée de validité du code et du nombre d'essais accordés à l'utilisateur. Ces décisions exigent un arbitrage entre sécurité et conversion.

Fenêtres d'expiration. Une durée de 5 à 10 minutes constitue le standard pour équilibrer confort d'utilisation et sécurité. Un délai inférieur à 2 minutes crée trop de friction. Le passage d'une application à l'autre, un réseau capricieux ou une saisie lente peuvent faire expirer un code légitime avant sa validation. Un délai supérieur à 15 minutes prolonge la fenêtre d'exposition si le code est intercepté.

Pour les transactions financières ou les actions sensibles sur un compte, des fenêtres plus courtes (2 à 3 minutes) sont recommandées. L'expiration doit toujours être indiquée dans le message ou l'interface pour que l'utilisateur sache de combien de temps il dispose. Une barre de progression ou un compte à rebours sur l'écran de vérification réduit nettement les tentatives infructueuses.

Limites de renvoi. Plafonnez les demandes de renvoi par numéro de téléphone sur une période donnée. Limiter à trois renvois en 10 minutes est un bon point de départ. Au-delà, une période de pause évite que des utilisateurs frustrés ne cliquent à répétition ou que des bots ne saturent le point de terminaison. Informez clairement l'utilisateur lorsqu'il a atteint la limite et indiquez-lui quand il pourra réessayer.

Limites de saisie. Limitez le nombre de fois qu'un utilisateur peut tenter de saisir un code avant que la session ne soit invalidée. Le standard se situe entre trois et cinq tentatives par code. Invalidez le code immédiatement dès que la limite est atteinte. N'autorisez pas des tentatives illimitées sur un code actif.

8. Validez les numéros de téléphone avant l'envoi

Envoyer un OTP à un numéro invalide, non distribuable ou VoIP engendre des coûts inutiles et ne donne aucune indication sur la légitimité de l'utilisateur. La validation du numéro avant l'envoi est l'un des contrôles de coûts et de fraude les plus simples à mettre en œuvre.

Que faut-il valider ? Au minimum : le format E.164 correct, le type de numéro (mobile et non ligne fixe ou VoIP) et son activité sur un réseau réel. Des validations plus poussées vérifient les données de l'opérateur, la récence d'un échange de carte SIM (SIM swap) et l'association éventuelle du numéro à des comportements frauduleux.

Pourquoi les numéros VoIP facilitent-ils la fraude ? Les numéros VoIP sont massivement utilisés dans les attaques par pompage d'OTP, car ils sont peu coûteux à générer en masse et peuvent être orientés vers des routes surtaxées. Bloquer ou signaler les numéros VoIP dès l'étape de validation permet d'écarter une part importante du trafic de pompage avant qu'il n'atteigne votre fournisseur.

Comment l'implémenter ? La plupart des fournisseurs d'OTP et des API d'analyse de numéros proposent un point de terminaison de recherche (lookup) qui indique le type de numéro, l'opérateur, le pays et le statut d'activité. Le coût de cette recherche ne représente généralement qu'une fraction de celui d'un SMS non distribué. L'API Watch de Prelude intègre la validation des numéros dans son évaluation des risques avant l'envoi. Les types de numéros suspects sont signalés ou bloqués avant le routage.

9. Limitez le débit au niveau de l'application

La détection de la fraude au niveau du fournisseur est essentielle, mais elle constitue un dernier rempart. Mettre en place une limitation de débit (rate limiting) au niveau de l'application, avant que la requête ne parvienne à votre fournisseur d'OTP, réduit l'exposition à la fraude et protège contre les erreurs de configuration ou les failles côté fournisseur.

Quels éléments limiter :

• Par numéro de téléphone : limitez les demandes d'OTP à un nombre fixe sur une période glissante (par ex. 5 requêtes par heure et par numéro).

• Par adresse IP : signalez ou bloquez les adresses IP générant des volumes de requêtes inhabituels.

• Par session utilisateur : limitez les demandes au sein d'un même parcours d'authentification.

• Par empreinte d'appareil (device fingerprint) : sur les applications mobiles, la limitation au niveau de l'appareil permet de détecter les bots qui alternent les numéros de téléphone.

Friction progressive. Pour les utilisateurs qui atteignent les limites, proposez une étape intermédiaire avant le blocage complet : un CAPTCHA, un délai d'attente ou une vérification renforcée. Cela préserve l'accès des utilisateurs légitimes qui ont dépassé la limite par erreur, tout en rendant les attaques automatisées plus coûteuses à exécuter.

Suivi. Enregistrez les dépassements de limites et analysez-les régulièrement. Un pic soudain de ces événements sur un pays, un préfixe d'opérateur ou une plage d'IP spécifique est souvent le premier signal visible d'une campagne de fraude en cours.

10. Envisagez la Silent Network Authentication pour vos applications mobiles

Pour les applications mobiles, la Silent Network Authentication (SNA) offre une expérience de vérification nettement supérieure à celle d'un OTP par code. Elle élimine également toute une catégorie d'exposition à la fraude.

Comment ça marche : Plutôt que d'envoyer un code à saisir, la SNA vérifie le numéro de téléphone de l'utilisateur en arrière-plan en s'assurant que l'appareil émettant la requête est connecté au compte réseau mobile correspondant au numéro fourni. L'opérateur confirme ou rejette la correspondance de manière invisible, sans aucune intervention de l'utilisateur.

Pourquoi c'est important : Supprimer la saisie du code élimine la friction responsable de la plupart des échecs lors de la première tentative. Cela supprime aussi la surface d'attaque pour le SIM swapping et l'ingénierie sociale qui ciblent le canal de transmission des codes. Il n'y a plus aucun code à intercepter.

Quand l'utiliser : La SNA est idéale comme canal principal pour les applications mobiles lorsque l'utilisateur utilise ses données mobiles. Pour les connexions Wi-Fi ou sur les marchés où la SNA n'est pas encore largement déployée par les opérateurs, l'envoi d'un OTP par SMS ou WhatsApp en repli garantit une couverture totale. En pratique, on tente d'abord la SNA et l'on bascule sur le SMS si la vérification opérateur ne peut aboutir.

Prelude prend en charge le routage SNA aux côtés du SMS, de l'appel vocal, de WhatsApp, de Telegram, Viber et RCS à partir d'une seule API. Consultez notre guide complet sur l'SMS OTP pour en savoir plus sur le choix des canaux selon vos cas d'usage.

Prêt à optimiser vos parcours de vérification ? L'API Verify de Prelude gère pour vous le routage, la détection de la fraude et le repli multicanal via une intégration unique. Découvrez son fonctionnement ou commencez gratuitement.