API d'authentification à deux facteurs

La double authentification demande une seconde preuve indépendante à côté du mot de passe : quelque chose que l'on sait plus quelque chose que l'on possède. L'indépendance est tout l'intérêt. Une base de mots de passe fuitée vaut beaucoup moins quand elle n'ouvre à elle seule aucun compte.

Le second facteur n'aide que dans la mesure où il est réellement distinct. Un code envoyé à une adresse protégée par le même mot de passe n'est pas un second facteur ; une preuve liée à un appareil physique en est un.

Le SMS est le second facteur le plus déployé et le plus faible encore couramment utilisé. Les codes peuvent être redirigés par un SIM swap, hameçonnés par une page convaincante qui demande simplement de les lire à voix haute, et retardés ou perdus par le routage opérateur. Chaque envoi coûte aussi de l'argent, ce qui fait du parcours de connexion un endroit où des attaquants peuvent dépenser votre budget.

Rien de tout cela ne rend la 2FA par SMS inutile — elle vaut énormément mieux que pas de second facteur. Cela signifie simplement que si vous choisissez aujourd'hui, il y a peu de raisons d'en faire le choix par défaut.

Envoyer le défi par WhatsApp retire l'opérateur du chemin : la livraison passe par internet, le message est chiffré de bout en bout, et il n'y a pas de coût par SMS. Le message arrive en outre dans une application que l'utilisateur a déjà ouverte sur la plupart des marchés.

En soi, cela corrige toutefois la livraison et le coût, pas la faiblesse de fond. Un code reste un code, et un utilisateur capable d'en lire un peut être convaincu de le répéter à un attaquant.

Le Reverse OTP change la nature du second facteur. Plutôt que d'envoyer un secret à l'appareil et de demander à l'utilisateur de le relayer, il demande à l'appareil d'envoyer un message. L'utilisateur appuie sur un lien et envoie ; le serveur rattache le message entrant à la session de connexion en attente.

Cela supprime entièrement l'objet hameçonnable. Aucun code à l'écran à lire à voix haute, rien en transit à intercepter, et rien qu'un SIM swap puisse rediriger — la preuve vient d'un compte WhatsApp lié au téléphone, pas d'un numéro qu'un opérateur peut réattribuer.

Les appels sont les deux mêmes qu'à l'inscription. Quand une connexion réclame un second facteur, ouvrez une session avec POST /start-verification en utilisant un identifiant lié à cette tentative de connexion, et présentez le lien profond renvoyé. Gardez la session ouverte côté serveur et n'achevez la connexion que lorsque GET /check-verification-status renvoie verified.

Deux règles gardent l'ensemble sain. Liez la session de vérification à la tentative de connexion, pas à l'utilisateur, pour qu'une session aboutie ne puisse jamais en autoriser une autre. Et comparez le numéro renvoyé par l'API à celui enregistré sur le compte — un numéro vérifié qui n'est pas celui de cet utilisateur est un second facteur échoué, pas réussi.

Proposez le SMS en repli là où WhatsApp n'est pas disponible, sur la même session, pour qu'un utilisateur d'un marché à faible adoption ne se retrouve pas bloqué. Au-delà, prévoyez le cas où le téléphone lui-même a disparu : un second facteur sans chemin de récupération est une panne en préparation, et les utilisateurs qui perdent l'accès perdent souvent le compte avec.

Des codes de récupération émis à l'enrôlement sont la réponse habituelle. Quel que soit votre choix, arrêtez-le avant le lancement — une récupération conçue pendant un incident est toujours pire.

Pour les produits grand public, les seconds facteurs par téléphone ont un avantage décisif : les utilisateurs possèdent déjà l'appareil et n'ont rien à enrôler. C'est pourquoi leur adoption dépasse de loin celle des applications d'authentification ou des clés matérielles.

Pour les comptes qui protègent une valeur sérieuse — accès d'administration, contrôle financier, infrastructure — une clé de sécurité matérielle reste le choix le plus fort, et les deux se combinent bien. Utilisez la vérification par téléphone là où la couverture compte et les clés là où la profondeur compte.