WhatsApp pour les plateformes SMS : gérer l'authentification OTP via l'API

Un OTP WhatsApp fonctionne comme un SMS OTP : un code à usage unique est envoyé sur le numéro du destinataire, l'utilisateur le saisit pour valider son identité. La différence tient au canal de délivrance — WhatsApp propose des templates Authentication dédiés avec expiration automatique et bouton "Copier le code", conçus spécifiquement pour ce cas d'usage.

OTP par WhatsApp : avantages et limites par rapport au SMS

Les plateformes SMS envoient des millions d'OTP par jour. WhatsApp ne remplace pas le SMS OTP dans tous les contextes, mais il ouvre des cas d'usage intéressants pour les éditeurs.

Critère	SMS OTP	WhatsApp OTP
Taux de livraison	Très élevé (réseau téléphonique)	Élevé (requiert app WhatsApp installée)
Latence	<15 secondes en général	<10 secondes via API Cloud
Format	Texte brut	Template structuré + bouton "Copier"
Sécurité SIM swap	Vulnérable	Mieux protégé (compte Meta lié)
Coût (FR, Whakup)	~0,06-0,08 €/SMS	0,0088 € + 0,0248 € = ~0,0336 €/msg
Disponibilité	Universel	Requiert WhatsApp (>2,5 Md d'utilisateurs)

Le coût d'un OTP WhatsApp Authentication en France est nettement inférieur au SMS OTP premium (~0,0336 € vs ~0,06-0,08 €). Pour les plateformes qui envoient des volumes importants d'OTP, le gain économique est direct.

Templates Authentication : spécificités WhatsApp

Meta propose une catégorie de template dédiée à l'authentification. Ces templates ont des règles propres :

• Format fixe : le texte ne peut pas être modifié librement. Meta impose une structure : code + durée d'expiration.
• Bouton natif : option "Copier le code" intégrée au template, qui copie automatiquement le code dans le presse-papier.
• Expiration configurable : le template peut indiquer une durée de validité (ex. : "Ce code expire dans 10 minutes").
• Pas de personnalisation marketing : les templates Authentication ne peuvent pas contenir de contenu promotionnel. Meta les rejette si le corps du message sort du strict cadre de l'authentification.

Un template Authentication type ressemble à :

Body : "{{1}} est votre code de vérification {{2}}. 
        Ne le partagez avec personne."
Footer : "Ce code expire dans 10 minutes."
Button : "Copier le code"  [copy_code action]

Où {{1}} est le code OTP et {{2}} est le nom de l'application.

Intégration dans une plateforme SMS : le modèle multi-canal

Pour les plateformes SMS, l'OTP WhatsApp s'intègre soit en remplacement partiel du SMS, soit en escalation.

Modèle 1 : WhatsApp en priorité, SMS en fallback

• L'appel API tente l'envoi WhatsApp.
• Si le statut retourne "failed" (numéro sans WhatsApp, problème de livraison) sous 30 secondes, la plateforme déclenche automatiquement l'envoi SMS.
• Ce modèle réduit les coûts sur les segments optin tout en garantissant la délivrabilité universelle.

Modèle 2 : choix du canal selon le profil utilisateur

• La plateforme maintient un flag "whatsapp_available" par numéro (alimenté par l'historique de livraison).
• Les numéros connus comme actifs sur WhatsApp reçoivent l'OTP via ce canal.
• Les autres passent en SMS.

Modèle 3 : WhatsApp uniquement pour les marchés couverts Sur des marchés où WhatsApp est très dominant (Brésil, Inde, MENA, Afrique francophone), certaines plateformes basculent entièrement sur WhatsApp pour réduire les coûts opérateurs.

L'API WhatsApp Whakup expose les mêmes endpoints pour les trois modèles. L'implémentation côté plateforme reste identique — seule la logique de routage change.

Sécurité et conformité pour les OTP WhatsApp

Résistance au SIM swap Le SMS OTP est vulnérable au SIM swap : un attaquant qui prend le contrôle d'un numéro reçoit les SMS. WhatsApp est lié à un compte Meta avec authentification propre — prendre le contrôle du numéro téléphonique ne suffit pas à accéder au compte WhatsApp.

Pas de persistence dans les logs opérateur Un SMS OTP transite par les infrastructures des opérateurs téléphoniques et peut potentiellement être logué. Un message WhatsApp transite par l'infrastructure Meta avec chiffrement de bout en bout entre l'utilisateur et Meta (mode E2E activé).

RGPD et hébergement des données Whakup héberge ses données en Europe. Les logs de messages et statuts de livraison restent dans l'UE. Pour les plateformes soumises au RGPD, ce point est structurant dans le choix du fournisseur API.

Pour les détails sur la vérification du compte Meta Business nécessaire avant d'envoyer des OTP à fort volume, le guide vérification compte Meta Business détaille les étapes.

FAQ

Un numéro de téléphone sans WhatsApp installé peut-il recevoir un OTP WhatsApp ?

Non. WhatsApp requiert que l'application soit installée et le numéro activé. C'est pourquoi le modèle WhatsApp + SMS fallback est recommandé pour les plateformes qui doivent garantir un taux de livraison de 100 %.

Peut-on utiliser le même numéro WhatsApp Business pour les OTP et les campagnes marketing ?

Techniquement oui, le même numéro peut envoyer des templates de toutes catégories. Stratégiquement, certaines plateformes préfèrent séparer les numéros (un dédié Authentication/Utility, un dédié Marketing) pour protéger le score qualité du numéro transactionnel des risques de blocage liés aux messages Marketing.

Quel est le délai entre l'appel API et la réception du code OTP sur WhatsApp ?

Via l'API Cloud Meta (utilisée par Whakup), la latence est généralement inférieure à 5 secondes pour la livraison. Le webhook de statut "delivered" est reçu quelques secondes après l'envoi. Ce délai est comparable au SMS et acceptable pour les flux d'authentification.

L'OTP WhatsApp est-il compatible avec l'authentification à deux facteurs (2FA) des applications SaaS ?

Oui. Le code OTP envoyé via WhatsApp fonctionne de la même manière qu'un SMS OTP dans un flux 2FA. L'utilisateur saisit le code dans l'interface de l'application. La seule différence est le canal de délivrance. Les plateformes SMS qui proposent un SDK d'OTP peuvent ajouter WhatsApp comme canal supplémentaire sans modifier l'API exposée aux clients finaux.

---

L'OTP WhatsApp représente une opportunité de réduction de coûts directe pour les plateformes SMS à fort volume d'authentification. Moins cher que le SMS premium en France, mieux sécurisé contre le SIM swap, avec un format utilisateur amélioré — c'est un ajout naturel au portfolio d'une plateforme SMS. Testez l'API Whakup pour intégrer l'OTP WhatsApp dans votre infrastructure.