API de prévention de la fraude

Un numéro vérifié établit un fait étroit : à un instant donné, la personne qui utilisait votre produit contrôlait ce numéro. Il ne dit rien de son nom, de son âge, de ses intentions ou de son historique. Les systèmes antifraude qui l'oublient finissent par surcharger de confiance un signal qui n'a jamais été conçu pour en porter autant.

Ce qui rend ce fait étroit précieux, c'est son prix. Les adresses e-mail sont gratuites et infinies. Les numéros ne le sont pas : chacun coûte une SIM ou un compte de messagerie, et un compte WhatsApp est lui-même le produit d'une vérification. La vérification ne rend pas l'abus impossible ; elle lui donne un coût par tentative, ce qui suffit généralement à changer qui s'y essaie.

L'inscription scriptée est le cas le plus net. Une ferme de bots qui crée des comptes sur un formulaire à simple e-mail passe à l'échelle à coût marginal quasi nul. Mettez un numéro vérifié sur le chemin et chaque compte exige un numéro distinct et fonctionnel — l'attaque existe toujours, mais son économie s'effondre.

La même logique vaut pour tout ce qui se mesure par compte : abus d'essais gratuits, contournement des limites de débit par réinscription, et comptes de scraping créés plus vite qu'on ne les bannit.

Parrainages, crédits de bienvenue et remises sur première commande reposent tous sur la capacité à distinguer une personne de cinquante. Sans identifiant rare, il n'existe pas de nouvel utilisateur, seulement une nouvelle adresse e-mail.

Rattacher les offres à des numéros vérifiés plutôt qu'à des comptes referme la boucle. Cela vous donne aussi une règle nette à appliquer, ce qui compte autant que le contrôle : une politique disant qu'un numéro n'ouvre droit qu'à un bonus est auditable, une politique sur « la même personne » ne l'est pas.

Il faut dire honnêtement que la défense habituelle a son propre problème de fraude. Les codes SMS sont facturés au message, ce qui en fait une source de revenus pour le trafic artificiellement gonflé : un attaquant déclenche des volumes énormes d'envois vers des routes dont il tire profit, et vous payez tout. Les comptes ne sont jamais créés ; la facture est l'attaque.

Un flux Reverse OTP y est structurellement immunisé, car rien n'est envoyé. C'est l'utilisateur qui envoie le message. Il n'y a pas de coût de livraison par tentative à gonfler, et un bot qui martèle votre endpoint start-verification génère des sessions que personne ne termine plutôt qu'une facture.

Les codes SMS sont aussi un point faible à l'autre bout. Dans un SIM swap, un attaquant persuade un opérateur de basculer le numéro de la victime sur une SIM qu'il contrôle, et chaque code envoyé atterrit entre de mauvaises mains. L'utilisateur ne fait rien de mal et ne s'aperçoit de rien jusqu'à la perte du compte.

Le Reverse OTP n'envoie pas de code : il n'y a rien à rediriger ; la preuve vient d'un compte WhatsApp lié à l'appareil et protégé séparément. L'exposition est nettement différente, sans être une réponse totale — superposez-y vos propres signaux dès que les enjeux sont élevés.

Utilisez la vérification comme un verrou sur les actions qui vous coûtent quelque chose — réclamer un bonus, retirer, contacter d'autres utilisateurs, publier — plutôt que comme un mur à l'entrée. Conservez les limitations de débit : la vérification tarifie l'abus, elle ne le bride pas.

Et gardez la preuve une fois obtenue. Un numéro vérifié à l'inscription peut soutenir des contrôles renforcés et la récupération de compte sans second enrôlement, chaque usage supplémentaire du signal ne coûtant alors plus rien.