Éviter les pièges classiques
Un OTP mal implémenté donne une fausse impression de sécurité. Les points ci-dessous sont ceux qui font réellement la différence.
Côté code
- Usage unique réel : invalidez le code dès qu'il a servi, même si sa durée de validité court encore.
- Limitez les tentatives : 3 à 5 essais, puis nouveau code obligatoire. Sans cela, un code à 4 chiffres se devine.
- Générez aléatoirement : jamais de suite prévisible ni de dérivé de l'heure.
- Un code par session : une nouvelle demande doit invalider la précédente.
Contre les abus
- Limitez la fréquence d'envoi par numéro et par adresse IP. Sans plafond, un robot peut déclencher des milliers de SMS à vos frais — c'est la fraude au pompage de SMS.
- Imposez un délai avant de pouvoir redemander un code, typiquement 30 à 60 secondes.
- Surveillez les destinations inhabituelles : une hausse soudaine d'envois vers un pays où vous n'avez pas de clients est un signal d'alerte.
Côté utilisateur
- Rappelez dans le message qu'un code ne se communique jamais, à personne, y compris à votre support.
- Prévoyez un parcours de secours si l'utilisateur perd l'accès à son numéro.
- Affichez les derniers chiffres du numéro destinataire pour qu'il repère une erreur de saisie.
Vos équipes ne doivent jamais demander un code OTP à un client, par téléphone comme par email. Inscrivez-le dans vos procédures : c'est le scénario d'arnaque le plus courant.
