WhatsApp pour les plateformes SMS : gérer les alertes de sécurité via l'API

Une alerte de sécurité doit arriver en quelques secondes et être lue immédiatement. Le SMS reste le standard sur ce cas d'usage. WhatsApp ne le remplace pas — il le complète et, dans certains scénarios, le renforce : chiffrement de bout en bout, taux de lecture plus élevé, possibilité d'une réponse interactive de l'utilisateur pour confirmer ou bloquer une action. Pour une plateforme SMS, c'est une extension naturelle de son catalogue de cas d'usage.

Les alertes de sécurité concernées par WhatsApp API

Toutes les alertes de sécurité ne se valent pas. Certaines exigent une délivrabilité maximale indépendamment du canal (OTP critique, blocage de compte), d'autres bénéficient des capacités enrichies de WhatsApp.

Cas d'usage adaptés à WhatsApp :

• Connexion depuis un nouvel appareil ou une nouvelle localisation : l'alerte peut inclure des détails (appareil, ville, heure) et proposer deux boutons "C'était moi" / "Bloquer la connexion".
• Transaction inhabituellement élevée : notification avec montant, marchand, et boutons de confirmation ou de signalement de fraude.
• Changement de mot de passe ou d'email : message de confirmation avec bouton "Annuler ce changement si ce n'est pas vous".
• Tentative de connexion échouée répétée : alerte proactive avec instructions de sécurisation.
• OTP / codes d'authentification : cas d'usage standard, catégorie AUTHENTICATION chez Meta.

Cas d'usage à garder en SMS :

• OTP ultra-critiques où la délivrabilité en <5 secondes est non-négociable et où le fallback SMS est obligatoire.
• Alertes vers des populations dont le taux d'équipement WhatsApp est incertain.

Architecture technique : envoyer une alerte de sécurité via l'API WhatsApp

Catégorie template : AUTHENTICATION

Meta a créé une catégorie spécifique pour les OTP et codes de vérification : AUTHENTICATION. Cette catégorie bénéficie d'un format préconçu par Meta (body avec code, bouton "Copier le code") et d'un tarif identique à UTILITY.

Tarif indicatif pour un numéro français :

• Frais Meta (AUTHENTICATION) : identiques à UTILITY (~0,0248 €)
• Frais Whakup : 0,0088 €
• Total : ~0,0336 €/message

Template d'alerte connexion suspecte (catégorie UTILITY)

Composant	Contenu
Header	"Alerte de sécurité"
Body	"Bonjour {{1}}, une connexion a été détectée depuis {{2}} le {{3}} à {{4}}. Était-ce vous ?"
Bouton 1	"Oui, c'était moi"
Bouton 2	"Non, bloquer"

La réponse au bouton "Non, bloquer" déclenche un webhook entrant que la plateforme traite pour bloquer le compte et notifier l'équipe sécurité.

Template OTP (catégorie AUTHENTICATION)

Meta fournit un format standardisé pour les OTP. La plateforme soumet le template avec le nom de l'application et Meta génère le message automatiquement :

"{{1}} est votre code de vérification pour {{2}}. Pour des raisons de sécurité, ne le partagez avec personne."

Avec un bouton "Copier le code" qui copie la valeur dans le presse-papier du téléphone.

Pour comprendre les différences de catégorisation en détail, voir le guide sur les catégories de templates WhatsApp.

Stratégie de canal : WhatsApp, SMS, ou les deux ?

La question pour une plateforme SMS n'est pas "WhatsApp ou SMS ?" mais "comment orchestrer les deux pour maximiser la fiabilité ?".

Scénario recommandé : WhatsApp en premier, SMS en fallback

1. La plateforme tente l'envoi WhatsApp si le numéro est actif sur le réseau.
2. Si l'envoi échoue (numéro non enregistré, timeout) → fallback SMS automatique dans les 10-15 secondes.
3. Si WhatsApp est livré mais pas lu dans les X minutes → SMS de rappel optionnel pour les alertes critiques.

Pourquoi cette logique améliore la sécurité globale :

• WhatsApp offre le chiffrement de bout en bout (E2E) : le code OTP ou l'alerte n'est pas lisible en transit, contrairement au SMS qui passe par le réseau téléphonique.
• Le taux de lecture WhatsApp étant plus élevé, moins d'alertes passent inaperçues.
• Le SMS reste le filet de sécurité pour les utilisateurs sans WhatsApp.

Pour une comparaison technique détaillée des deux canaux, voir WhatsApp vs SMS : quel canal choisir pour votre plateforme ?.

Conformité et gestion du consentement pour les alertes de sécurité

Les alertes de sécurité sont des messages transactionnels attendus. Meta les classe en UTILITY ou AUTHENTICATION, ce qui simplifie les exigences de consentement par rapport aux messages MARKETING.

Points de conformité à couvrir :

• Opt-in WhatsApp : l'utilisateur doit avoir consenti à recevoir des messages WhatsApp de l'entreprise. Pour les alertes de sécurité, cet opt-in peut être collecté à l'inscription ou lors de l'activation de la 2FA.
• RGPD : les messages contiennent des données sensibles (IP, localisation, comportement de connexion). L'hébergement EU est obligatoire pour les clients européens.
• Durée de conservation : les logs d'envoi des alertes de sécurité doivent être conservés pour audit. Définir la politique de rétention dans la plateforme.

Whakup héberge l'infrastructure en EU et fournit une API RGPD-compliant. Voir les détails sur la page API WhatsApp Whakup.

Ce que Whakup apporte spécifiquement sur ce cas d'usage

Les plateformes SMS qui gèrent des OTP et des alertes de sécurité opèrent souvent pour des clients dans des secteurs régulés (banque, assurance, santé). Les exigences de fiabilité et de conformité sont plus strictes.

Whakup, Meta Tech Provider certifié :

• SLA de délivrabilité : infrastructure dédiée, pas de limitation de débit imprévisible.
• Multi-tenant isolé : les données de chaque client bancaire ou assurantiel restent dans son propre WABA.
• Hébergement EU : conforme aux exigences RGPD et aux recommandations des régulateurs financiers européens.
• API REST documentée : intégration rapide avec les systèmes d'authentification (IAM, 2FA) existants.

Pour comprendre le modèle BSP et pourquoi le statut Meta Tech Provider change la donne, lire Qu'est-ce qu'un Meta Tech Provider WhatsApp ?.

FAQ

WhatsApp est-il aussi fiable que le SMS pour les OTP en termes de délivrabilité ?

Pour les numéros actifs sur WhatsApp, la délivrabilité est comparable. La différence est que WhatsApp nécessite une connexion internet, contrairement au SMS qui passe par le réseau GSM. C'est pourquoi le fallback SMS reste recommandé pour les OTP critiques : si l'utilisateur est hors réseau data, le SMS arrive quand même.

La catégorie AUTHENTICATION de Meta est-elle obligatoire pour les OTP ?

Non, techniquement un OTP peut être envoyé via un template UTILITY. Mais Meta recommande fortement AUTHENTICATION pour les codes de vérification car ce format inclut le bouton "Copier le code" natif et est optimisé pour ce cas d'usage. L'approbation est aussi généralement plus rapide.

Peut-on bloquer un compte utilisateur directement depuis une réponse à un bouton WhatsApp ?

Non directement. WhatsApp renvoie la réponse au bouton via un webhook. C'est la plateforme qui décide quoi faire de cette information : appeler son API interne pour bloquer le compte, notifier le service sécurité, envoyer un message de confirmation à l'utilisateur. WhatsApp est le canal de communication, pas le système d'action.

Les alertes de sécurité WhatsApp sont-elles soumises aux limites de messagerie Meta ?

Oui, comme tous les messages WhatsApp Business. Un compte commence avec une limite de 1 000 conversations de business-initiated par jour. Pour les alertes de sécurité à volume élevé (grande plateforme bancaire), il faut demander l'augmentation de cette limite à Meta via le processus d'escalade de tier.

---

Les alertes de sécurité sur WhatsApp sont un cas d'usage à haute valeur pour les plateformes SMS : elles enrichissent l'offre de sécurité, améliorent l'expérience utilisateur et ouvrent des marchés dans des secteurs régulés. Intégrez ce canal via l'API WhatsApp Whakup et proposez à vos clients une couche de sécurité supplémentaire dès demain.