WhatsApp pour les CRM : gérer l'authentification OTP via l'API

L'OTP WhatsApp CRM désigne l'envoi d'un code à usage unique (One-Time Password) via l'API WhatsApp Business pour authentifier un utilisateur lors d'une connexion, d'une validation de transaction ou d'une réinitialisation de mot de passe, déclenché depuis les flux d'authentification de votre CRM. Par rapport au SMS OTP, WhatsApp offre un coût inférieur pour les numéros hors zone SMS chère, une meilleure résistance au SIM swapping sur certains profils d'usage, et un affichage plus clair dans une interface connue de l'utilisateur.

OTP WhatsApp vs SMS OTP : le comparatif pour les éditeurs CRM

Pour un éditeur de CRM qui propose déjà le SMS OTP, la question est simple : quand WhatsApp est-il une alternative pertinente ?

Critère	SMS OTP	WhatsApp OTP
Coût unitaire FR	0,06-0,09 €	~0,0336 € (catégorie auth)
Disponibilité hors France	Variable selon opérateur	WhatsApp disponible dans 180+ pays
Résistance SIM swapping	Faible	Supérieure (compte lié à l'appareil)
Délai de délivrance	1-5 secondes	1-3 secondes
Requiert WhatsApp installé	Non	Oui
Template obligatoire	Non	Oui (catégorie "Authentication")

Le coût est le premier argument : un OTP WhatsApp en catégorie authentication revient à environ 0,0336 € tout compris pour un numéro FR (0,0088 € Whakup + 0,0248 € frais Meta). C'est deux à trois fois moins cher qu'un SMS premium.

La limite principale : le destinataire doit avoir WhatsApp installé et actif sur son numéro. Pour une base CRM internationale avec une forte pénétration WhatsApp (MENA, Amérique latine, Inde, Europe occidentale), l'adoption est suffisante pour justifier le canal.

La catégorie "Authentication" dans les templates WhatsApp

Meta a créé une catégorie de template dédiée à l'authentification, distincte des messages marketing et utility. Cela a deux implications pratiques :

Template standardisé. Meta impose un format précis pour les templates d'authentification : le message doit contenir le code OTP, le nom de l'application et une mention de la durée de validité. Vous ne pouvez pas y ajouter du contenu promotionnel.

Tarif réduit. La catégorie authentication bénéficie du tarif le plus bas dans la grille Meta — environ 0,0248 €/msg côté Meta pour les numéros FR, versus 0,0712 € pour le marketing.

Exemple de template authentication standard :

Votre code de vérification [NomApp] est : {{1}}. 
Ce code expire dans {{2}} minutes. 
Ne le partagez pas.

Les variables {{1}} (le code) et {{2}} (la durée) sont injectées dynamiquement par votre CRM à chaque appel API.

Pour comprendre comment les catégories de templates impactent les coûts et les règles d'approbation, l'article sur les catégories de templates WhatsApp est indispensable.

Intégration technique dans le flux d'authentification CRM

Le flux d'authentification OTP via WhatsApp s'intègre au niveau du serveur d'authentification de votre CRM. Voici la séquence :

1. Génération du code OTP côté CRM Votre serveur génère un code à 6 chiffres avec une durée de validité (généralement 5 à 10 minutes). Ce code est stocké en base avec un timestamp d'expiration.

2. Appel API Whakup Votre serveur appelle l'endpoint /messages de l'API Whakup avec le numéro du destinataire, le nom du template authentication, et les variables (code + durée). Whakup transmet la demande à Meta et retourne un message_id.

3. Vérification côté utilisateur L'utilisateur reçoit le message WhatsApp, saisit le code dans l'interface de votre CRM. Votre serveur valide le code et son expiration, puis autorise l'accès.

4. Gestion des échecs Si le message n'est pas délivré dans un délai défini (webhook failed ou absence de statut delivered), votre CRM peut proposer un fallback SMS ou email. Whakup envoie les événements de statut en temps réel via webhooks.

Whakup est Meta Tech Provider certifié — vos clients finaux n'ont pas à gérer de compte Meta Business pour envoyer des OTP. L'infrastructure est mutualisée et l'onboarding d'un nouveau client sur le canal OTP se fait via l'embedded signup Whakup.

Sécurité et bonnes pratiques pour les OTP WhatsApp

Un code OTP n'est pas un message transactionnel ordinaire — sa sécurité conditionne celle des comptes utilisateurs. Quelques règles techniques non négociables :

• Durée de validité courte : 5 minutes maximum. Indiquer cette durée dans le message comme Meta l'exige.
• Usage unique strict : invalider le code immédiatement après validation réussie, ne pas permettre plusieurs tentatives avec le même code.
• Limitation des tentatives : bloquer le compte ou ajouter un délai après 3 à 5 tentatives échouées pour éviter le brute force.
• Ne jamais logger le code en clair : les logs de votre CRM ne doivent pas contenir les codes OTP en texte clair, uniquement le hash ou l'identifiant de session.
• Numéro expéditeur dédié : séparer le numéro WhatsApp utilisé pour les OTP des numéros marketing ou support. Un quality rating dégradé sur le numéro OTP est critique.

L'architecture multi-numéros de Whakup facilite cette isolation — chaque tenant ou usage peut avoir son propre numéro WhatsApp Business géré depuis le même compte.

Pour les détails de tarification et la comparaison des coûts par catégorie, consultez l'article sur les prix de l'API WhatsApp Business 2026.

FAQ

Faut-il un opt-in pour envoyer un OTP WhatsApp ?

La position de Meta sur ce point est nuancée. Un OTP envoyé suite à une action explicite de l'utilisateur (clic sur "recevoir un code") est considéré comme un message d'authentification demandé, qui ne nécessite pas le même opt-in formel qu'un message marketing. Cependant, il est recommandé d'indiquer dans les CGU de votre application que WhatsApp peut être utilisé pour l'authentification, et de proposer une alternative (SMS, email) si l'utilisateur ne souhaite pas utiliser WhatsApp.

Que se passe-t-il si l'utilisateur n'a pas WhatsApp ?

Le message ne peut pas être délivré. L'API retourne une erreur de délivrance. Votre CRM doit prévoir un fallback : envoi automatique par SMS ou email après un délai de 30 à 60 secondes sans confirmation de délivrance WhatsApp. L'API Whakup fournit les codes d'erreur nécessaires pour déclencher ce fallback côté CRM.

Peut-on utiliser WhatsApp OTP pour une application mobile ?

Oui. L'API WhatsApp Business fonctionne indépendamment du canal qui déclenche l'authentification (web, mobile, app). La seule condition est que le numéro de téléphone associé au compte utilisateur soit actif sur WhatsApp. Sur mobile, l'expérience est particulièrement fluide : la notification WhatsApp apparaît et le code peut être copié en un tap.

WhatsApp supporte-t-il le copy-code automatique comme les SMS OTP ?

Sur Android, les SMS OTP bénéficient d'une détection automatique (SMS Retriever API). WhatsApp ne propose pas d'équivalent natif côté API Business. Sur iOS, WhatsApp peut apparaître dans les suggestions de clavier si le message contient un code à 6 chiffres, mais ce n'est pas garanti. L'expérience est légèrement moins fluide que le SMS pour le copier-coller automatique, mais reste acceptable pour la majorité des utilisateurs.

---

Intégrer l'OTP WhatsApp dans votre CRM est une décision technique rapide à mettre en oeuvre et rentable dès les premiers volumes. Whakup fournit l'API, les templates d'authentification préconfigurés et l'infrastructure certifiée Meta pour démarrer sans friction. Accédez à l'API WhatsApp de Whakup pour tester l'envoi d'OTP depuis votre environnement.