Qu'est-ce que WhatsApp OTP ? Envoyer des codes de vérification par WhatsApp au lieu du SMS

Pensez au code à six chiffres qui s'affiche sur votre téléphone lorsque vous vous inscrivez sur un site. C'est un OTP, un mot de passe à usage unique, que l'on appelle généralement simplement code de vérification. Pendant des années, ces codes ont voyagé par SMS. Pourtant, la plupart de vos clients consultent WhatsApp bien plus souvent que leurs SMS. Cet article explique ce qu'est un OTP WhatsApp, son fonctionnement, les cas où il dépasse le SMS et ses limites. Nous serons directs : ce n'est pas la bonne réponse pour toutes les entreprises ni pour toutes les situations.

Qu'est-ce qu'un OTP ?

OTP signifie one-time password, mot de passe à usage unique. Le système génère un court code aléatoire, l'envoie au numéro de téléphone de l'utilisateur, celui-ci le saisit dans un formulaire, et le système vérifie que le code est correct, encore valide et utilisé pour la première fois. Le fait de le recevoir prouve que la personne a un accès réel à ce numéro de téléphone.

Les usages courants comprennent :

• La vérification d'un numéro de téléphone sur un formulaire d'inscription
• La connexion sans mot de passe (numéro de téléphone plus code)
• La réinitialisation du mot de passe
• La confirmation que le numéro de téléphone d'une commande e-commerce est authentique, notamment pour le paiement à la livraison
• L'ajout d'une seconde étape à une action sensible, comme un changement d'adresse ou la validation d'un paiement

Comment fonctionne un OTP WhatsApp ?

La logique est la même ; seul le canal qui transporte le code change. Le code est livré sous forme de message WhatsApp au lieu d'un SMS. WapFlow OTP propose cette fonction sous forme d'API REST, et le parcours se présente ainsi :

1. Dans le panneau WapFlow, vous associez votre propre numéro WhatsApp avec un QR code ou un code d'appairage.
2. Vous créez dans le panneau une clé API de production et une clé de test.
3. Votre site recueille le numéro de téléphone de l'utilisateur et appelle /send depuis votre serveur. Le code parvient à l'utilisateur sous forme de message WhatsApp, depuis le numéro que vous avez associé.
4. L'utilisateur saisit le code, et votre site le vérifie par un appel à /verify.

Les codes sont générés avec un aléa cryptographique et ne sont pas stockés en clair. La longueur peut être réglée de 4 à 8 chiffres et la durée de validité de 60 à 900 secondes ; par défaut, un code comporte six chiffres et reste valide cinq minutes. Chaque code autorise au maximum cinq mauvaises tentatives, et un code vérifié ne peut plus être réutilisé. Les détails techniques figurent dans la documentation de l'API, et notre guide PHP, Node.js et Python contient des exemples de code.

Avantages par rapport au SMS

Une application que votre client a déjà ouverte

Vos clients n'ont pas besoin de passer à une autre application pour lire le code ; beaucoup de personnes gardent WhatsApp ouvert toute la journée. Cela peut réduire le temps nécessaire à la saisie du code.

Un expéditeur familier

Le code provient de votre propre numéro WhatsApp. Au lieu d'un numéro court anonyme, le client voit une conversation qui porte l'identité de votre entreprise. Dans le modèle de message, vous pouvez utiliser les variables {app}, {code} et {minutes} pour afficher le nom de votre application et la durée de validité.

Un coût mensuel fixe

WapFlow OTP n'a pas de frais par message. Vous envoyez autant de codes que le quota mensuel de votre forfait le permet. Les forfaits sont mensuels : 249,99 TRY pour 1 compte et 5 000 codes, 449,99 TRY pour 2 comptes et 15 000 codes, 649,99 TRY pour 3 comptes et 30 000 codes, et 999,99 TRY pour 5 comptes et 60 000 codes. Consultez la page tarifs pour les prix actuels. Si vous utilisez déjà un forfait cloud WapFlow, une remise s'applique au forfait OTP ; le tarif est affiché lors du paiement.

Aucune validation Meta ni demande de modèle

L'API officielle WhatsApp Business implique une vérification de l'entreprise et une validation des modèles de messages. WapFlow OTP n'a besoin de rien de tout cela, car il fonctionne différemment : il utilise votre propre numéro comme appareil associé. Nous expliquons plus bas ce que cela implique.

Limites à connaître

Présenter une méthode sans ses inconvénients serait injuste envers vous, lecteur. Gardez ces points à l'esprit :

• Ce n'est pas l'API officielle WhatsApp Business. WapFlow OTP fonctionne par un appareil associé (QR code) et n'est pas affilié à WhatsApp ni à Meta. Nous expliquons la différence dans API WhatsApp Business ou automatisation web ?.
• Il n'existe aucune garantie de livraison. Un message peut ne pas arriver à cause de WhatsApp, du numéro ou du réseau. L'utilisateur peut tout simplement ne pas avoir WhatsApp.
• Le risque de blocage n'est jamais nul. Si WhatsApp restreint le numéro, les codes s'arrêtent aussi. Les limites quotidiennes et la mise en chauffe des comptes aident à réduire ce risque ; consultez notre article sur la réduction du risque de blocage.
• Les actions critiques nécessitent un canal de secours. Pour la validation d'un paiement ou la récupération d'un compte, gardez une seconde voie, comme le SMS ou l'e-mail.

À qui s'adresse-t-il ?

Il a du sens pour les entreprises qui échangent déjà avec leurs clients sur WhatsApp et disposent d'un parcours de commande ou de rendez-vous : petites et moyennes boutiques en ligne, entreprises de services, plateformes locales. Si vous utilisez WordPress ou WooCommerce, vous pouvez le mettre en place sans écrire de code grâce au plugin. Si vous exploitez un service très réglementé, comme la banque, vous devez évaluer séparément les canaux officiels et les obligations légales.

Conseils pour un bon parcours OTP

• Vérifiez le code sur votre serveur. Ne laissez jamais la décision au navigateur ; appelez toujours /verify depuis votre propre serveur.
• Gardez la clé API secrète. Ne l'utilisez ni dans un navigateur, ni dans une application mobile, ni dans un code public.
• Ajoutez un délai sur le bouton de renvoi. Si les utilisateurs cliquent sans cesse sur « le code n'est pas arrivé », votre quota s'épuise pour rien ; désactiver le bouton pendant 60 secondes protège à la fois votre quota et votre numéro.
• Rédigez des messages d'erreur aimables. Une ligne claire du type « Code invalide, il vous reste 3 essais » guide l'utilisateur pour réessayer.
• Ajoutez une protection contre les robots. Sur les formulaires d'inscription publics, un CAPTCHA ou une mesure similaire rend plus difficile la consommation de votre quota par des utilisateurs malveillants.

Une brève note sur la vie privée et le consentement

Un code de vérification est informatif et correspond à une action que l'utilisateur a lui-même lancée ; ce n'est pas un message marketing. Il est donc généralement traité comme un message transactionnel qui n'exige pas de consentement pour les messages commerciaux. Deux règles restent néanmoins importantes : ne jamais mettre de publicité ni de campagne dans le message de code, et indiquer dans votre politique de confidentialité que vous n'utilisez le numéro de téléphone que pour la vérification. Cette section ne constitue pas un conseil juridique ; interrogez votre conseiller pour votre situation précise.

Avant de l'essayer

Dans WapFlow OTP, une clé de test (commençant par wfo_test_) n'envoie aucun message et ne consomme aucun quota ; elle renvoie le code dans un champ test_code. Essayez d'abord votre intégration avec elle, et ne changez de clé qu'au moment de passer en production. Lorsque vous êtes prêt, consultez les forfaits sur la page WapFlow OTP.

Questions fréquentes

WhatsApp OTP remplace-t-il entièrement le SMS OTP ?

Pas dans tous les cas. Si l'utilisateur n'a pas WhatsApp ou si le message n'arrive pas, vous avez besoin d'une solution de secours comme le SMS ou l'e-mail. Envisager les deux ensemble est l'approche la plus saine.

De quel numéro les codes sont-ils envoyés ?

De votre propre numéro WhatsApp, que vous avez associé dans le panneau. Si vous associez plusieurs numéros, les envois sont répartis à tour de rôle, et si l'un ne peut pas envoyer, le suivant est essayé.

Comment écrire le numéro de téléphone ?

Avec l'indicatif pays et uniquement des chiffres, par exemple 905321234567. Les numéros à onze chiffres commençant par 0 sont considérés comme turcs et reçoivent 90 devant. L'API renvoie une erreur pour un numéro invalide.

Combien de codes puis-je envoyer à un même numéro ?

Pour éviter les abus, un même numéro peut recevoir 1 code par 60 secondes, 5 par heure et 10 par jour.

Est-il utilisé avec l'application Windows ?

Non. WapFlow OTP est un service d'API cloud vendu séparément. Il est indépendant de l'application Windows, et vous pouvez utiliser l'un ou l'autre seul.