Mot de passe à usage unique
Un code à usage unique envoyé par SMS pour vérifier qui contrôle un numéro de téléphone, avec une expiration courte et une limite de tentatives.
Définitions uniquement : un terme expliqué ici n’est pas un service que nous vendons.
Un mot de passe à usage unique (OTP) est un code qui ne fonctionne qu’une fois et expire en quelques minutes. Il prouve la maîtrise du numéro à cet instant, pas l’identité : la sécurité repose donc sur les limites qui l’entourent.
L’expiration, le nombre de tentatives, la politique de renvoi et la validation du numéro comptent davantage que le code lui-même.
Remise et défaillances
L’application génère un code aléatoire, en calcule le hachage avec une expiration et envoie le code en clair par SMS A2P via un centre de messagerie ou un agrégateur. La sécurité vient de la logique applicative, pas du transport SMS. Un code peut arriver en retard, atteindre un mauvais numéro ou aboutir chez un tiers à la suite d’un SIM swap ; la page sur la remise des OTP par SMS décrit ce parcours.
Le trajet du code
- Application
- Passerelle SMPP
- SMSC
- HLR / HSS
- MSC / MME
- Téléphone
- Accusé de remise
Description textuelle
L’application soumet le message à une passerelle SMPP, qui le transmet au SMSC. Le trajet passe ensuite par le HLR/HSS et le MSC/MME jusqu’au téléphone, et l’accusé de remise en est le nœud final.
Ce qu’il faut vérifier
Limitez le débit par numéro, par IP et par appareil, plafonnez les tentatives et fixez une expiration courte. Choisissez le repli avant le lancement : un appel vocal, une application d’authentification ou un contrôle manuel.