WhatsApp pour les logiciels RH : gérer l'authentification OTP via l'API

L'authentification OTP (One-Time Password) est un pilier de la sécurité dans les logiciels RH. Elle protège l'accès aux données salariales, aux bulletins de paie, aux contrats et aux informations personnelles des employés. Traditionnellement délivrée par SMS, l'OTP trouve dans WhatsApp un canal plus fiable, plus sécurisé et souvent moins coûteux pour les envois internationaux. Pour un éditeur de logiciel RH, intégrer l'OTP WhatsApp est une décision technique simple avec un impact de sécurité immédiat.

Pourquoi l'OTP WhatsApp est plus fiable que l'OTP SMS

Le SMS a dominé l'OTP pendant vingt ans. Mais ses limites sont connues :

• Taux d'échec variable : les opérateurs mobiles filtrent ou retardent certains SMS, notamment dans les environnements professionnels avec des filtres anti-spam actifs.
• SIM swapping : l'OTP SMS est vulnérable aux attaques de substitution de SIM.
• Coût international élevé : envoyer un SMS OTP en dehors de France peut coûter plusieurs fois plus cher qu'un message WhatsApp.
• Pas de confirmation de lecture : vous ne savez pas si le SMS a été reçu.

WhatsApp résout une partie de ces problèmes :

Critère	OTP SMS	OTP WhatsApp
Délivrabilité (FR)	95-98 %	99 %+
Confirmation de livraison	Partielle	Temps réel
Vulnérabilité SIM swap	Oui	Moindre (compte lié à l'appareil)
Coût international	Élevé	Uniforme
Délai de réception	5-30 s (variable)	< 5 s
Application dédiée	Non	Oui (WhatsApp)

Pour un logiciel RH utilisé par des équipes internationales ou des employés en mobilité, WhatsApp offre une délivrabilité plus prévisible et un coût total d'envoi souvent inférieur.

La catégorie d'authentification Meta : ce qu'il faut savoir

Meta distingue trois catégories de templates WhatsApp : marketing, utility et authentication. Les OTP entrent dans la catégorie authentication, qui bénéficie de règles spécifiques :

• Template pré-approuvé par Meta : Meta propose un template OTP standardisé qui n'a pas besoin de passer par le processus d'approbation classique. Vous utilisez directement ce format.
• Délai d'expiration configurable : le code OTP peut être assorti d'un délai d'expiration affiché dans le message (ex. : "Ce code expire dans 10 minutes").
• Bouton "Copier le code" : l'interface WhatsApp propose nativement un bouton pour copier le code en un clic, ce qui réduit les erreurs de saisie.
• Coût spécifique : les messages d'authentification ont leur propre grille tarifaire Meta, généralement alignée sur la catégorie utility.

Pour les numéros français, le coût d'un message d'authentification via Whakup est environ 0,0336 € (0,0088 € Whakup + frais Meta authentication). C'est comparable au SMS OTP, avec une délivrabilité supérieure.

Intégrer l'OTP WhatsApp dans un logiciel RH : le flux technique

L'intégration d'un OTP WhatsApp dans un logiciel RH suit un schéma simple :

1. Déclenchement

L'utilisateur saisit son numéro de téléphone (ou utilise celui enregistré dans son profil) et clique sur "Recevoir un code".

2. Génération du code

Votre backend génère un code OTP temporaire (6 chiffres, durée de vie 10 minutes) et l'enregistre en base de données.

3. Envoi via l'API WhatsApp

Un appel POST vers l'API WhatsApp Business de Whakup déclenche l'envoi du message authentication au numéro de l'utilisateur.

4. Affichage dans WhatsApp

L'utilisateur reçoit sur son téléphone un message WhatsApp avec le code et le bouton "Copier le code".

5. Vérification

L'utilisateur saisit le code dans l'interface du logiciel RH. Votre backend vérifie la correspondance et l'expiration, puis autorise l'accès.

6. Confirmation de statut

Le webhook Whakup confirme en temps réel que le message a été délivré. Si le message n'est pas délivré dans les 30 secondes (numéro WhatsApp inactif), votre backend peut basculer automatiquement sur un envoi SMS.

Cette bascule automatique SMS/WhatsApp est une bonne pratique pour les logiciels RH avec des utilisateurs non-WhatsApp (rare, mais possible pour certains profils seniors).

Considérations de conformité pour les données RH

Les logiciels RH traitent des données personnelles sensibles. L'OTP WhatsApp doit s'inscrire dans votre politique de sécurité et votre documentation RGPD.

Points clés :

• Le numéro WhatsApp doit être renseigné et vérifié par l'employé lui-même lors de l'onboarding dans le logiciel.
• Le code OTP ne contient aucune donnée personnelle — seulement un code temporaire.
• Les messages OTP ne transitent pas dans les logs WhatsApp côté Whakup au-delà de leur livraison.
• Whakup héberge son infrastructure en Europe, ce qui simplifie la conformité RGPD pour les éditeurs RH soumis à des obligations strictes.

Pour comprendre comment Whakup se positionne en tant que Meta Tech Provider certifié et ce que cela implique pour votre conformité, consultez notre article sur le rôle de Meta Tech Provider WhatsApp.

Opt-in pour l'OTP

Contrairement aux messages marketing, les messages d'authentification ne nécessitent pas d'opt-in marketing préalable. Le consentement est implicite dans le fait que l'utilisateur a renseigné son numéro WhatsApp dans son profil et initié la demande d'OTP lui-même.

FAQ

Un logiciel RH peut-il combiner OTP WhatsApp et OTP SMS ?

Oui, et c'est recommandé. Vous pouvez implémenter une logique de fallback : tentative d'envoi WhatsApp d'abord (vérification que le numéro est actif sur WhatsApp), et bascule automatique sur SMS si le message n'est pas délivré dans un délai défini. Cela maximise la délivrabilité sans sacrifier l'expérience utilisateur.

Faut-il soumettre un template pour l'OTP WhatsApp ?

Meta propose un template d'authentification standardisé pré-approuvé. Vous n'avez pas à rédiger et soumettre un nouveau template : vous configurez les paramètres (durée d'expiration, contenu du code) et utilisez le format prédéfini. C'est l'un des cas d'usage les plus simples à mettre en place sur l'API.

L'OTP WhatsApp fonctionne-t-il sur des comptes WhatsApp Business ?

L'OTP est envoyé au numéro WhatsApp de l'employé — qu'il s'agisse d'un compte personnel ou Business. Du côté de l'envoi, c'est votre numéro WhatsApp Business (géré via Whakup) qui envoie le message. Cela fonctionne vers n'importe quel compte WhatsApp destinataire.

Quel délai d'expiration recommander pour un OTP RH ?

10 minutes est le standard. Pour les accès à des données très sensibles (bulletins de paie, contrats), vous pouvez réduire à 5 minutes. Au-delà de 15 minutes, le code perd son caractère "one-time" en pratique. Affichez toujours le délai restant dans l'interface de votre logiciel.

---

L'authentification OTP par WhatsApp est l'une des intégrations les plus simples et les plus impactantes pour un éditeur de logiciel RH : délivrabilité améliorée, expérience utilisateur plus fluide, coût comparable ou inférieur au SMS. Whakup, en tant que Meta Tech Provider certifié, vous fournit l'accès API avec hébergement EU et support technique dédié. Explorez nos options d'intégration sur notre page API WhatsApp Business.