Comment utiliser WhatsApp OTP pour la connexion et la vérification
Protégez plus de connexions, empêchez la fraude et réalisez des économies en utilisant WhatsApp pour l’envoi d’OTP.
Nam Hing Chau
Responsable Contenu et SEO
Résumé
WhatsApp OTP transmet les codes de vérification via WhatsApp plutôt que par SMS. Cela permet d'obtenir de meilleurs taux de réception, une interface familière et des coûts réduits dans des régions comme l'Inde, où le SMS est cher ou peu fiable. Cet article détaille également l'implémentation et démêle le vrai du faux concernant les bots OTP illimités ainsi que les promesses de sécurité liées au chiffrement de bout en bout.
L'OTP WhatsApp s'appuie sur l'API WhatsApp Business pour délivrer des mots de passe à usage unique aux utilisateurs via WhatsApp plutôt que par SMS. L'objectif de vérification est identique : confirmer un numéro de téléphone lors d'une connexion, d'une inscription ou d'une action sensible. En revanche, le mécanisme d'acheminement, les exigences de conformité et les contrôles de sécurité diffèrent sensiblement du SMS.
Ce guide constitue une référence technique pour les développeurs et les équipes produit souhaitant intégrer l'OTP WhatsApp au sein de leur application. Il aborde le fonctionnement du flux sous le capot, les prérequis de configuration, les règles de conformité, les pratiques de sécurisation ainsi que la mise en place du routage de repli (fallback).
Si vous cherchez encore à déterminer si l'OTP WhatsApp correspond aux besoins de votre produit, commencez par consulter notre ressource : pourquoi et comment envoyer des OTPs WhatsApp. Pour une analyse plus globale du choix des canaux d'OTP, reportez-vous à notre guide des meilleurs fournisseurs d'OTP.
OTP WhatsApp vs OTP SMS : comparaison directe
OTP WhatsApp | OTP SMS | |
Infrastructure d'acheminement | Données Internet (Wi-Fi ou réseau mobile) | Réseau d'opérateur mobile |
Risque de filtrage opérateur | Nul | Élevé sur certains marchés |
Chiffrement de bout en bout | Oui | Non |
Vitesse de distribution | Moins de 2 secondes (généralement) | 5 à 30 secondes ; risque d'échec total |
Coût | Tarification par catégorie et non par pays d'arrivée ; plus avantageuse à l'international | Plus élevé, en particulier pour les destinations internationales |
Modèle de message requis | Oui (validation par Meta) | Non |
Consentement explicite de l'utilisateur (opt-in) | Oui | Non (pour le transactionnel) |
Fonctionnement sans signal mobile | Oui (connexion Wi-Fi seule) | Non |
Vulnérabilité au SIM swapping | Non | Oui |
Marchés clés | Inde, Brésil, Indonésie, Amérique latine, Europe de l'Ouest | Repli mondial, Amérique du Nord, zones à faible pénétration de WhatsApp |
Fonctionnement de l'OTP WhatsApp
Le flux de vérification est structurellement très proche de celui de l'OTP par SMS, avec trois distinctions majeures : WhatsApp impose de vérifier l'inscription du numéro avant l'envoi, l'ensemble des messages doit obligatoirement utiliser un modèle préapprouvé, et le consentement préalable explicite de l'utilisateur est requis.
Étape 1 : Saisie du numéro de téléphone L'utilisateur renseigne son numéro de téléphone. Votre backend s'assure par le biais de l'API que le numéro est bien joignable sur WhatsApp. S'il n'est pas enregistré, l'API renvoie un statut de non-délivrabilité et votre système bascule automatiquement sur un repli par SMS.
Étape 2 : Génération de l'OTP Votre backend génère un code à 6 chiffres et le conserve temporairement en mémoire avec un délai de validité. Une durée d'expiration de 5 à 10 minutes constitue la norme ; prévoyez un délai plus court pour des opérations financières critiques.
Étape 3 : Envoi du modèle de message Vous transmettez l'OTP via l'API WhatsApp Cloud en utilisant un modèle validé par Meta. La structure du modèle est fixe : le code est simplement inséré sous forme de variable dynamique au moment de l'envoi. Un modèle standard ressemble généralement à :
« Votre code de vérification est {{1}}. Il expire dans 5 minutes. Ne le partagez avec personne. »
Étape 4 : Réception et saisie du code par l'utilisateur Le message parvient dans la conversation WhatsApp du destinataire en une à deux secondes dans des conditions habituelles. L'utilisateur copie le code dans votre application ou clique sur un deep link si cette option est configurée.
Étape 5 : Validation Votre backend compare le code soumis à la valeur enregistrée, vérifie qu'il n'a pas expiré et s'assure que le nombre de tentatives autorisées n'est pas dépassé. Si les contrôles sont concluants, la session est ouverte.
Prérequis techniques
Pour envoyer des OTPs via WhatsApp, vous devez disposer des éléments suivants :
Un compte Meta Business vérifié
Un numéro WhatsApp Business enregistré auprès de Meta
Au moins un modèle de message approuvé intégrant la variable d'OTP
Un accès à l'API WhatsApp Cloud (directement via Meta ou par l'intermédiaire d'une plateforme comme Prelude)
Un backend sécurisé capable de prendre en charge la génération, le stockage, l'expiration et la validation des codes
L'approbation d'un modèle par Meta nécessite généralement entre 24 et 48 heures lors de la première soumission. Les modèles destinés aux cas d'usage d'authentification sont habituellement validés plus rapidement que les messages marketing. Une fois validé, le modèle s'utilise indéfiniment sans réévaluation, sauf si vous en modifiez le contenu.
Passer par un fournisseur tel que Prelude simplifie grandement l'intégration. Prelude étant partenaire Meta Business Solution Provider (BSP), WhatsApp y est opéré comme un canal natif et non comme une intégration tierce ajoutée en surcouche.
L'API Verify gère l'ensemble du cycle de vie de la vérification : du déclenchement et de l'envoi du message jusqu'aux relances automatiques, au contrôle de validité des codes et au retour d'état, le tout avec un arbitrage dynamique des canaux et un routage de repli vers plus de 30 opérateurs. Les clients connectent leur propre compte WhatsApp Business à Prelude grâce au parcours Embedded Signup de Meta, garantissant ainsi des envois au nom de leur marque. Prelude permet également la messagerie bidirectionnelle sur WhatsApp, autorisant votre service à recevoir des réponses et à poursuivre l'échange dans la fenêtre de conversation de 24 heures.
Exigences de conformité de l'OTP WhatsApp
WhatsApp applique des règles de conformité bien plus strictes que le SMS pour l'acheminement des OTPs. Celles-ci sont impératives : tout manquement vous expose à une suspension de compte.
Consentement explicite de l'utilisateur. Vous devez impérativement obtenir un opt-in avant d'envoyer un quelconque message WhatsApp, y compris pour des OTPs transactionnels. Ce consentement doit être limpide et sans équivoque : l'utilisateur doit savoir expressément qu'il accepte de recevoir des messages WhatsApp de votre entreprise. Une case pré-cochée lors de l'inscription ne suffit pas. Le geste doit être délibéré et actif.
Modèles approuvés obligatoires. Tous les messages sortants doivent impérativement reposer sur des modèles préapprouvés. L'envoi de messages libres est strictement interdit en dehors des échanges directs d'assistance client. Chaque modèle d'OTP doit faire l'objet d'une validation préalable auprès de Meta.
Limites de débit (Rate limits). WhatsApp impose des restrictions de volume par numéro et par compte. Si vous les dépassez, vous risquez un bridage du débit ou une suspension temporaire. Pour la grande majorité des produits, ces seuils dépassent largement les besoins habituels d'OTP, mais il convient de les maîtriser avant de monter en charge.
Règles relatives au contenu des modèles. Les modèles d'OTP doivent rester strictement neutres, transactionnels et exempts de toute mention promotionnelle. Le message doit se limiter au code, à la durée de validité et à une mise en garde invitant à ne pas le divulguer. Rien de plus.
Gestion des débits et mécanismes de sécurité
Les directives de la plateforme WhatsApp et les bonnes pratiques de sécurité des OTPs convergent parfaitement : toutes deux requièrent les mêmes dispositifs de protection.
Expiration du code : Limitez la validité des codes à 5 ou 10 minutes. Pour des opérations bancaires ou des procédures de récupération de compte, préférez un créneau plus serré de 2 à 3 minutes. Mentionnez systématiquement ce délai d'expiration dans le message afin que l'utilisateur comprenne pourquoi un code devient caduc.
Nombre maximal de tentatives : Fixez un plafond de 3 à 5 échecs de saisie par code. Révoquez immédiatement le code une fois cette limite atteinte. Ne laissez jamais la possibilité de tester des combinaisons indéfiniment sur un code en cours de validité.
Limitation des renvois : Imposez un intervalle minimal entre chaque demande de renvoi (comptez généralement 30 à 60 secondes). Plafonnez le nombre global d'OTPs émis par utilisateur et par heure (un seuil de 5 messages s'avère approprié). Cette précaution limite les abus et vous prémunit contre un dépassement des quotas imposés par WhatsApp.
Vérification préalable du numéro : Validez l'éligibilité du numéro sur WhatsApp avant tout envoi. Cela vous épargne des frais de messages non délivrés tout en constituant un excellent indicateur de prévention des fraudes : les lignes VoIP ou les numéros créés en masse correspondent très rarement à des comptes WhatsApp actifs.
Pour explorer en détail l'ensemble des mesures de sécurité liées aux OTPs, quel que soit le canal, parcourez notre guide des bonnes pratiques en matière d'OTP.
Quand privilégier l'OTP WhatsApp ?
L'OTP WhatsApp n'a pas vocation à supplanter systématiquement le SMS. Le choix de votre architecture dépend avant tout de l'implantation géographique de vos utilisateurs et de vos cas d'usage.
Privilégiez l'OTP WhatsApp quand : | Privilégiez l'OTP SMS quand : |
Vos utilisateurs résident en Inde, au Brésil, en Indonésie, en Amérique latine ou en Europe de l'Ouest | Votre public se trouve en Amérique du Nord ou sur des marchés où WhatsApp est peu répandu |
Le taux de distribution des SMS passe sous la barre des 90 % dans une zone ciblée | L'accord explicite pour WhatsApp n'a pas été recueilli auprès des utilisateurs existants |
Le coût des SMS internationaux pèse lourdement sur votre modèle économique au regard de vos volumes | Vos utilisateurs évoluent dans des régions où l'accès aux données mobiles est faible mais la couverture cellulaire fiable |
Vous recherchez un chiffrement de bout en bout appliqué par défaut | Le cadre réglementaire propre à votre activité impose l'usage exclusif du SMS |
WhatsApp représente le canal de messagerie usuel de votre audience | Votre base d'utilisateurs correspond à des profils habitués aux flux transactionnels par SMS (B2B, grandes entreprises) |
Adoptez WhatsApp comme canal principal lorsque : vos utilisateurs se concentrent massivement dans des régions où l'application domine les usages : Inde, Brésil, Indonésie, Mexique ou encore une large part de l'Europe de l'Ouest. Dès que votre taux de délivrabilité par SMS descend en deçà de 90 % dans un pays donné, WhatsApp a tout intérêt à devenir votre premier choix sur ce marché.
Utilisez WhatsApp en canal de repli lorsque : votre canal par défaut reste le SMS et que vous cherchez une reprise automatique en cas d'échec de distribution. Un fallback bien configuré réduit considérablement les pertes de conversion sans exiger de gérer WhatsApp comme canal principal. Prelude orchestre ces arbitrages de manière autonome : si un SMS ne passe pas, la requête bascule immédiatement vers WhatsApp sans modification de code de votre part.
Conservez le SMS en canal principal lorsque : votre public se situe dans des pays dotés d'un réseau SMS très performant et d'un taux d'adoption de WhatsApp plus modéré, ou si l'obligation d'obtenir l'opt-in WhatsApp introduit trop de frictions dans votre parcours d'inscription. C'est typiquement le cas des logiciels B2B à destination des entreprises.
Évitez l'OTP WhatsApp lorsque : vous ne disposez pas du consentement explicite de l'utilisateur. Envoyer un OTP via WhatsApp sans opt-in préalable constitue une infraction directe aux politiques de conformité et vous expose à un blocage immédiat de votre compte. Si vos utilisateurs actuels n'ont pas accepté ce canal, il vous est formellement interdit de leur adresser des messages WhatsApp de manière rétroactive.
Architecture de routage de repli (fallback)
Aucun canal ne peut prétendre à 100 % de délivrabilité partout dans le monde. Une chaîne d'envoi d'OTP robuste s'appuie sur un système de bascule automatique pour récupérer les vérifications interrompues sans solliciter d'intervention de la part de l'utilisateur.
Voici l'enchaînement standard mis en place par Prelude sur les zones où WhatsApp prédomine :
Tentative par OTP WhatsApp : distribution instantanée auprès des profils disposant d'un compte WhatsApp actif
En cas d'échec d'acheminement, bascule sur le SMS : prise en charge des personnes non inscrites sur WhatsApp
En cas d'échec du SMS, bascule sur la voix : relais efficace lorsque le réseau SMS local se révèle instable
À l'inverse, pour les zones où le SMS fait office de canal de référence :
Tentative par OTP SMS
En cas de non-délivrance ou d'expiration du délai, bascule vers WhatsApp
Si WhatsApp échoue également, bascule sur la voix
L'arbitrage de ce repli se joue au niveau de l'infrastructure de routage, et non dans le code applicatif de votre plateforme. L'API Verify de Prelude gère la sélection du meilleur canal et l'exécution du fallback de manière autonome selon la destination, les accusés de réception et les préférences que vous avez établies. Rien n'est à redévelopper de votre côté : l'intelligence de bascule est directement intégrée au cœur du moteur de distribution.
Pour aller plus loin sur les architectures de repli multicanal, découvrez notre guide d'optimisation du taux de délivrabilité des SMS.
Et maintenant ?
L'API Verify de Prelude orchestre l'ensemble de votre processus de vérification sur WhatsApp, SMS, RCS et l'authentification silencieuse sur réseau (Silent Network Auth). Elle inclut un routage intelligent, un fallback automatisé auprès de plus de 30 opérateurs, des outils de détection des fraudes et des tableaux de bord analytiques détaillés. Nos clients constatent généralement une hausse de 20 à 30 % de leurs conversions ainsi qu'une baisse de 30 à 40 % de leurs coûts d'envoi mensuels. Découvrez le fonctionnement de la solution ou lancez vos premiers tests gratuitement.
Pour poursuivre votre lecture :
Pourquoi et comment envoyer des OTPs WhatsApp pour approfondir l'intérêt de ce canal pour votre produit
FAQ
Est-il possible d'automatiser l'envoi d'OTP sur WhatsApp ?
Absolument, et c'est même fortement recommandé. Tout l'intérêt de l'API WhatsApp Business repose précisément sur l'envoi et la validation automatisés d'OTPs à grande échelle. Attention toutefois : « automatisé » ne signifie ni « sans limite » ni « dénué de règles ». Vous devez impérativement respecter les politiques de Meta concernant les modèles de messages et le recueil du consentement.
Que faire si un utilisateur n'utilise pas WhatsApp ?
Il est essentiel de s'assurer que le numéro possède bien un compte WhatsApp actif avant de déclencher l'envoi du code. Si ce n'est pas le cas, mettez en place un repli vers le SMS ou un autre canal. Les plateformes spécialisées prennent en charge cette bascule de façon transparente, vous évitant d'avoir à redévelopper cette logique.
Peut-on envoyer des OTPs sans modèle préalablement validé ?
Non. WhatsApp interdit l'envoi de messages sortants au format libre hors des conversations d'assistance initiées par l'utilisateur. Chaque message d'OTP doit obligatoirement reposer sur un modèle validé au préalable. Ce processus d'approbation prend généralement entre 24 et 48 heures pour une nouvelle création.
Est-il possible de diffuser le même message d'OTP à tous les utilisateurs ?
Oui, à condition qu'il respecte rigoureusement un modèle déjà approuvé. WhatsApp n'autorise pas la saisie de texte libre en dehors d'un échange actif de support. Le gabarit de votre message d'OTP doit donc être générique, les valeurs changeantes (comme {{1}}) venant s'y insérer dynamiquement lors de l'expédition.
L'OTP WhatsApp coûte-t-il moins cher que le SMS ?
Sur de nombreux marchés, oui. La tarification des messages d'authentification sur WhatsApp est calculée selon la catégorie d'envoi et non en fonction du réseau de destination. Cela évite les surtaxes prélevées par les opérateurs télécoms qui renchérissent le SMS dans certains pays comme l'Inde, le Brésil, la France ou l'Allemagne. Dès que les volumes augmentent, l'économie réalisée s'avère particulièrement notable.
Comment gérer les utilisateurs refusant de recevoir des notifications sur WhatsApp ?
Conservez le SMS par défaut et proposez WhatsApp comme méthode alternative au cours du parcours d'inscription. Les utilisateurs donnant leur accord pourront recevoir leur OTP via WhatsApp, tandis que les autres resteront sur le flux SMS habituel. N'adressez jamais d'OTP par WhatsApp à un utilisateur qui n'a pas explicitement donné son consentement.
Quel est le délai de validation d'un modèle par Meta ?
Comptez entre 24 et 48 heures pour un premier dépôt dans la plupart des situations. Les modèles consacrés à l'authentification bénéficient généralement d'une validation plus rapide que les messages marketing. Dès lors qu'un modèle est validé, il reste utilisable sans renouvellement tant que vous n'en modifiez pas le texte.
L'OTP WhatsApp s'appuie sur l'API WhatsApp Business pour délivrer des mots de passe à usage unique aux utilisateurs via WhatsApp plutôt que par SMS. L'objectif de vérification est identique : confirmer un numéro de téléphone lors d'une connexion, d'une inscription ou d'une action sensible. En revanche, le mécanisme d'acheminement, les exigences de conformité et les contrôles de sécurité diffèrent sensiblement du SMS.
Ce guide constitue une référence technique pour les développeurs et les équipes produit souhaitant intégrer l'OTP WhatsApp au sein de leur application. Il aborde le fonctionnement du flux sous le capot, les prérequis de configuration, les règles de conformité, les pratiques de sécurisation ainsi que la mise en place du routage de repli (fallback).
Si vous cherchez encore à déterminer si l'OTP WhatsApp correspond aux besoins de votre produit, commencez par consulter notre ressource : pourquoi et comment envoyer des OTPs WhatsApp. Pour une analyse plus globale du choix des canaux d'OTP, reportez-vous à notre guide des meilleurs fournisseurs d'OTP.
OTP WhatsApp vs OTP SMS : comparaison directe
OTP WhatsApp | OTP SMS | |
Infrastructure d'acheminement | Données Internet (Wi-Fi ou réseau mobile) | Réseau d'opérateur mobile |
Risque de filtrage opérateur | Nul | Élevé sur certains marchés |
Chiffrement de bout en bout | Oui | Non |
Vitesse de distribution | Moins de 2 secondes (généralement) | 5 à 30 secondes ; risque d'échec total |
Coût | Tarification par catégorie et non par pays d'arrivée ; plus avantageuse à l'international | Plus élevé, en particulier pour les destinations internationales |
Modèle de message requis | Oui (validation par Meta) | Non |
Consentement explicite de l'utilisateur (opt-in) | Oui | Non (pour le transactionnel) |
Fonctionnement sans signal mobile | Oui (connexion Wi-Fi seule) | Non |
Vulnérabilité au SIM swapping | Non | Oui |
Marchés clés | Inde, Brésil, Indonésie, Amérique latine, Europe de l'Ouest | Repli mondial, Amérique du Nord, zones à faible pénétration de WhatsApp |
Fonctionnement de l'OTP WhatsApp
Le flux de vérification est structurellement très proche de celui de l'OTP par SMS, avec trois distinctions majeures : WhatsApp impose de vérifier l'inscription du numéro avant l'envoi, l'ensemble des messages doit obligatoirement utiliser un modèle préapprouvé, et le consentement préalable explicite de l'utilisateur est requis.
Étape 1 : Saisie du numéro de téléphone L'utilisateur renseigne son numéro de téléphone. Votre backend s'assure par le biais de l'API que le numéro est bien joignable sur WhatsApp. S'il n'est pas enregistré, l'API renvoie un statut de non-délivrabilité et votre système bascule automatiquement sur un repli par SMS.
Étape 2 : Génération de l'OTP Votre backend génère un code à 6 chiffres et le conserve temporairement en mémoire avec un délai de validité. Une durée d'expiration de 5 à 10 minutes constitue la norme ; prévoyez un délai plus court pour des opérations financières critiques.
Étape 3 : Envoi du modèle de message Vous transmettez l'OTP via l'API WhatsApp Cloud en utilisant un modèle validé par Meta. La structure du modèle est fixe : le code est simplement inséré sous forme de variable dynamique au moment de l'envoi. Un modèle standard ressemble généralement à :
« Votre code de vérification est {{1}}. Il expire dans 5 minutes. Ne le partagez avec personne. »
Étape 4 : Réception et saisie du code par l'utilisateur Le message parvient dans la conversation WhatsApp du destinataire en une à deux secondes dans des conditions habituelles. L'utilisateur copie le code dans votre application ou clique sur un deep link si cette option est configurée.
Étape 5 : Validation Votre backend compare le code soumis à la valeur enregistrée, vérifie qu'il n'a pas expiré et s'assure que le nombre de tentatives autorisées n'est pas dépassé. Si les contrôles sont concluants, la session est ouverte.
Prérequis techniques
Pour envoyer des OTPs via WhatsApp, vous devez disposer des éléments suivants :
Un compte Meta Business vérifié
Un numéro WhatsApp Business enregistré auprès de Meta
Au moins un modèle de message approuvé intégrant la variable d'OTP
Un accès à l'API WhatsApp Cloud (directement via Meta ou par l'intermédiaire d'une plateforme comme Prelude)
Un backend sécurisé capable de prendre en charge la génération, le stockage, l'expiration et la validation des codes
L'approbation d'un modèle par Meta nécessite généralement entre 24 et 48 heures lors de la première soumission. Les modèles destinés aux cas d'usage d'authentification sont habituellement validés plus rapidement que les messages marketing. Une fois validé, le modèle s'utilise indéfiniment sans réévaluation, sauf si vous en modifiez le contenu.
Passer par un fournisseur tel que Prelude simplifie grandement l'intégration. Prelude étant partenaire Meta Business Solution Provider (BSP), WhatsApp y est opéré comme un canal natif et non comme une intégration tierce ajoutée en surcouche.
L'API Verify gère l'ensemble du cycle de vie de la vérification : du déclenchement et de l'envoi du message jusqu'aux relances automatiques, au contrôle de validité des codes et au retour d'état, le tout avec un arbitrage dynamique des canaux et un routage de repli vers plus de 30 opérateurs. Les clients connectent leur propre compte WhatsApp Business à Prelude grâce au parcours Embedded Signup de Meta, garantissant ainsi des envois au nom de leur marque. Prelude permet également la messagerie bidirectionnelle sur WhatsApp, autorisant votre service à recevoir des réponses et à poursuivre l'échange dans la fenêtre de conversation de 24 heures.
Exigences de conformité de l'OTP WhatsApp
WhatsApp applique des règles de conformité bien plus strictes que le SMS pour l'acheminement des OTPs. Celles-ci sont impératives : tout manquement vous expose à une suspension de compte.
Consentement explicite de l'utilisateur. Vous devez impérativement obtenir un opt-in avant d'envoyer un quelconque message WhatsApp, y compris pour des OTPs transactionnels. Ce consentement doit être limpide et sans équivoque : l'utilisateur doit savoir expressément qu'il accepte de recevoir des messages WhatsApp de votre entreprise. Une case pré-cochée lors de l'inscription ne suffit pas. Le geste doit être délibéré et actif.
Modèles approuvés obligatoires. Tous les messages sortants doivent impérativement reposer sur des modèles préapprouvés. L'envoi de messages libres est strictement interdit en dehors des échanges directs d'assistance client. Chaque modèle d'OTP doit faire l'objet d'une validation préalable auprès de Meta.
Limites de débit (Rate limits). WhatsApp impose des restrictions de volume par numéro et par compte. Si vous les dépassez, vous risquez un bridage du débit ou une suspension temporaire. Pour la grande majorité des produits, ces seuils dépassent largement les besoins habituels d'OTP, mais il convient de les maîtriser avant de monter en charge.
Règles relatives au contenu des modèles. Les modèles d'OTP doivent rester strictement neutres, transactionnels et exempts de toute mention promotionnelle. Le message doit se limiter au code, à la durée de validité et à une mise en garde invitant à ne pas le divulguer. Rien de plus.
Gestion des débits et mécanismes de sécurité
Les directives de la plateforme WhatsApp et les bonnes pratiques de sécurité des OTPs convergent parfaitement : toutes deux requièrent les mêmes dispositifs de protection.
Expiration du code : Limitez la validité des codes à 5 ou 10 minutes. Pour des opérations bancaires ou des procédures de récupération de compte, préférez un créneau plus serré de 2 à 3 minutes. Mentionnez systématiquement ce délai d'expiration dans le message afin que l'utilisateur comprenne pourquoi un code devient caduc.
Nombre maximal de tentatives : Fixez un plafond de 3 à 5 échecs de saisie par code. Révoquez immédiatement le code une fois cette limite atteinte. Ne laissez jamais la possibilité de tester des combinaisons indéfiniment sur un code en cours de validité.
Limitation des renvois : Imposez un intervalle minimal entre chaque demande de renvoi (comptez généralement 30 à 60 secondes). Plafonnez le nombre global d'OTPs émis par utilisateur et par heure (un seuil de 5 messages s'avère approprié). Cette précaution limite les abus et vous prémunit contre un dépassement des quotas imposés par WhatsApp.
Vérification préalable du numéro : Validez l'éligibilité du numéro sur WhatsApp avant tout envoi. Cela vous épargne des frais de messages non délivrés tout en constituant un excellent indicateur de prévention des fraudes : les lignes VoIP ou les numéros créés en masse correspondent très rarement à des comptes WhatsApp actifs.
Pour explorer en détail l'ensemble des mesures de sécurité liées aux OTPs, quel que soit le canal, parcourez notre guide des bonnes pratiques en matière d'OTP.
Quand privilégier l'OTP WhatsApp ?
L'OTP WhatsApp n'a pas vocation à supplanter systématiquement le SMS. Le choix de votre architecture dépend avant tout de l'implantation géographique de vos utilisateurs et de vos cas d'usage.
Privilégiez l'OTP WhatsApp quand : | Privilégiez l'OTP SMS quand : |
Vos utilisateurs résident en Inde, au Brésil, en Indonésie, en Amérique latine ou en Europe de l'Ouest | Votre public se trouve en Amérique du Nord ou sur des marchés où WhatsApp est peu répandu |
Le taux de distribution des SMS passe sous la barre des 90 % dans une zone ciblée | L'accord explicite pour WhatsApp n'a pas été recueilli auprès des utilisateurs existants |
Le coût des SMS internationaux pèse lourdement sur votre modèle économique au regard de vos volumes | Vos utilisateurs évoluent dans des régions où l'accès aux données mobiles est faible mais la couverture cellulaire fiable |
Vous recherchez un chiffrement de bout en bout appliqué par défaut | Le cadre réglementaire propre à votre activité impose l'usage exclusif du SMS |
WhatsApp représente le canal de messagerie usuel de votre audience | Votre base d'utilisateurs correspond à des profils habitués aux flux transactionnels par SMS (B2B, grandes entreprises) |
Adoptez WhatsApp comme canal principal lorsque : vos utilisateurs se concentrent massivement dans des régions où l'application domine les usages : Inde, Brésil, Indonésie, Mexique ou encore une large part de l'Europe de l'Ouest. Dès que votre taux de délivrabilité par SMS descend en deçà de 90 % dans un pays donné, WhatsApp a tout intérêt à devenir votre premier choix sur ce marché.
Utilisez WhatsApp en canal de repli lorsque : votre canal par défaut reste le SMS et que vous cherchez une reprise automatique en cas d'échec de distribution. Un fallback bien configuré réduit considérablement les pertes de conversion sans exiger de gérer WhatsApp comme canal principal. Prelude orchestre ces arbitrages de manière autonome : si un SMS ne passe pas, la requête bascule immédiatement vers WhatsApp sans modification de code de votre part.
Conservez le SMS en canal principal lorsque : votre public se situe dans des pays dotés d'un réseau SMS très performant et d'un taux d'adoption de WhatsApp plus modéré, ou si l'obligation d'obtenir l'opt-in WhatsApp introduit trop de frictions dans votre parcours d'inscription. C'est typiquement le cas des logiciels B2B à destination des entreprises.
Évitez l'OTP WhatsApp lorsque : vous ne disposez pas du consentement explicite de l'utilisateur. Envoyer un OTP via WhatsApp sans opt-in préalable constitue une infraction directe aux politiques de conformité et vous expose à un blocage immédiat de votre compte. Si vos utilisateurs actuels n'ont pas accepté ce canal, il vous est formellement interdit de leur adresser des messages WhatsApp de manière rétroactive.
Architecture de routage de repli (fallback)
Aucun canal ne peut prétendre à 100 % de délivrabilité partout dans le monde. Une chaîne d'envoi d'OTP robuste s'appuie sur un système de bascule automatique pour récupérer les vérifications interrompues sans solliciter d'intervention de la part de l'utilisateur.
Voici l'enchaînement standard mis en place par Prelude sur les zones où WhatsApp prédomine :
Tentative par OTP WhatsApp : distribution instantanée auprès des profils disposant d'un compte WhatsApp actif
En cas d'échec d'acheminement, bascule sur le SMS : prise en charge des personnes non inscrites sur WhatsApp
En cas d'échec du SMS, bascule sur la voix : relais efficace lorsque le réseau SMS local se révèle instable
À l'inverse, pour les zones où le SMS fait office de canal de référence :
Tentative par OTP SMS
En cas de non-délivrance ou d'expiration du délai, bascule vers WhatsApp
Si WhatsApp échoue également, bascule sur la voix
L'arbitrage de ce repli se joue au niveau de l'infrastructure de routage, et non dans le code applicatif de votre plateforme. L'API Verify de Prelude gère la sélection du meilleur canal et l'exécution du fallback de manière autonome selon la destination, les accusés de réception et les préférences que vous avez établies. Rien n'est à redévelopper de votre côté : l'intelligence de bascule est directement intégrée au cœur du moteur de distribution.
Pour aller plus loin sur les architectures de repli multicanal, découvrez notre guide d'optimisation du taux de délivrabilité des SMS.
Et maintenant ?
L'API Verify de Prelude orchestre l'ensemble de votre processus de vérification sur WhatsApp, SMS, RCS et l'authentification silencieuse sur réseau (Silent Network Auth). Elle inclut un routage intelligent, un fallback automatisé auprès de plus de 30 opérateurs, des outils de détection des fraudes et des tableaux de bord analytiques détaillés. Nos clients constatent généralement une hausse de 20 à 30 % de leurs conversions ainsi qu'une baisse de 30 à 40 % de leurs coûts d'envoi mensuels. Découvrez le fonctionnement de la solution ou lancez vos premiers tests gratuitement.
Pour poursuivre votre lecture :
Pourquoi et comment envoyer des OTPs WhatsApp pour approfondir l'intérêt de ce canal pour votre produit
FAQ
Est-il possible d'automatiser l'envoi d'OTP sur WhatsApp ?
Absolument, et c'est même fortement recommandé. Tout l'intérêt de l'API WhatsApp Business repose précisément sur l'envoi et la validation automatisés d'OTPs à grande échelle. Attention toutefois : « automatisé » ne signifie ni « sans limite » ni « dénué de règles ». Vous devez impérativement respecter les politiques de Meta concernant les modèles de messages et le recueil du consentement.
Que faire si un utilisateur n'utilise pas WhatsApp ?
Il est essentiel de s'assurer que le numéro possède bien un compte WhatsApp actif avant de déclencher l'envoi du code. Si ce n'est pas le cas, mettez en place un repli vers le SMS ou un autre canal. Les plateformes spécialisées prennent en charge cette bascule de façon transparente, vous évitant d'avoir à redévelopper cette logique.
Peut-on envoyer des OTPs sans modèle préalablement validé ?
Non. WhatsApp interdit l'envoi de messages sortants au format libre hors des conversations d'assistance initiées par l'utilisateur. Chaque message d'OTP doit obligatoirement reposer sur un modèle validé au préalable. Ce processus d'approbation prend généralement entre 24 et 48 heures pour une nouvelle création.
Est-il possible de diffuser le même message d'OTP à tous les utilisateurs ?
Oui, à condition qu'il respecte rigoureusement un modèle déjà approuvé. WhatsApp n'autorise pas la saisie de texte libre en dehors d'un échange actif de support. Le gabarit de votre message d'OTP doit donc être générique, les valeurs changeantes (comme {{1}}) venant s'y insérer dynamiquement lors de l'expédition.
L'OTP WhatsApp coûte-t-il moins cher que le SMS ?
Sur de nombreux marchés, oui. La tarification des messages d'authentification sur WhatsApp est calculée selon la catégorie d'envoi et non en fonction du réseau de destination. Cela évite les surtaxes prélevées par les opérateurs télécoms qui renchérissent le SMS dans certains pays comme l'Inde, le Brésil, la France ou l'Allemagne. Dès que les volumes augmentent, l'économie réalisée s'avère particulièrement notable.
Comment gérer les utilisateurs refusant de recevoir des notifications sur WhatsApp ?
Conservez le SMS par défaut et proposez WhatsApp comme méthode alternative au cours du parcours d'inscription. Les utilisateurs donnant leur accord pourront recevoir leur OTP via WhatsApp, tandis que les autres resteront sur le flux SMS habituel. N'adressez jamais d'OTP par WhatsApp à un utilisateur qui n'a pas explicitement donné son consentement.
Quel est le délai de validation d'un modèle par Meta ?
Comptez entre 24 et 48 heures pour un premier dépôt dans la plupart des situations. Les modèles consacrés à l'authentification bénéficient généralement d'une validation plus rapide que les messages marketing. Dès lors qu'un modèle est validé, il reste utilisable sans renouvellement tant que vous n'en modifiez pas le texte.
Commencez à optimiser votre flux d'Auth
Envoyez des SMS de vérification partout dans le monde au meilleur tarif, avec la meilleure délivrabilité et sans aucun spam.
