WhatsApp pour les plateformes de chatbot IA : gérer l'authentification OTP via l'API

Un OTP WhatsApp est un code à usage unique envoyé via l'API WhatsApp Business dans un template de catégorie "authentication". Pour les plateformes de chatbot IA qui gèrent des parcours clients incluant une vérification d'identité — connexion, confirmation de compte, validation de transaction — WhatsApp offre un canal d'authentification plus fiable que le SMS classique, avec un meilleur taux de livraison et un coût compétitif.

Pourquoi utiliser WhatsApp plutôt que le SMS pour les OTP

Le SMS reste le standard historique pour les OTP, mais il présente des limites structurelles que WhatsApp résout en partie :

Critère	SMS OTP	WhatsApp OTP
Taux de livraison	~85-95 % selon l'opérateur	~98 % sur numéros actifs WhatsApp
Chiffrement	Non (SS7 vulnérable)	De bout en bout
Accusé de lecture	Non	Oui (double coche bleue)
SIM swapping	Vulnérable	Moins exposé (compte lié à l'appareil)
Coût (FR)	~0,06-0,10 €/SMS	~0,0336 €/conv. (BSP + Meta)
Pré-requis	Numéro mobile	Compte WhatsApp actif

La limite principale de WhatsApp pour les OTP : l'utilisateur doit avoir WhatsApp installé. Pour les populations jeunes et urbaines en France, la couverture est supérieure à 90 %. Pour des audiences plus larges ou internationales, un fallback SMS reste conseillé.

Template d'authentification WhatsApp : ce que Meta impose

Meta dispose d'une catégorie de template dédiée aux OTP : Authentication. Ce template a une structure fixe imposée par Meta — vous ne pouvez pas en modifier librement le corps. La variable {{1}} est le code OTP lui-même.

Caractéristiques du template authentication :

• Corps fixe : "Votre code de vérification est {{1}}. Ne le partagez pas."
• Durée d'expiration configurable (optionnelle, affichée dans le message)
• Bouton "Copier le code" natif disponible sur les clients mobiles récents
• Pas de header image ni de footer libre
• Approbation quasi-instantanée (minutes)

Le template authentication est la catégorie la moins chère côté frais Meta : environ 0,0248 €/conversation pour un numéro français, auxquels s'ajoutent les frais BSP (0,0088 €/message chez Whakup). Un OTP revient donc à environ 0,0336 € tout compris pour un destinataire FR.

Pour comprendre l'ensemble de la grille tarifaire par catégorie et pays, consultez notre article sur les prix de l'API WhatsApp Business en 2026.

Implémentation technique dans une plateforme chatbot IA

Pour intégrer l'envoi d'OTP WhatsApp dans une plateforme, voici les briques techniques nécessaires :

1. Génération et stockage du code Le code OTP est généré côté serveur (6 chiffres numériques recommandés), stocké en base avec un TTL court (5 à 10 minutes), et associé à l'identifiant de session ou au numéro de téléphone.

2. Appel API WhatsApp

POST /v1/messages
{
  "to": "+33XXXXXXXXX",
  "type": "template",
  "template": {
    "name": "otp_auth",
    "language": { "code": "fr" },
    "components": [{
      "type": "body",
      "parameters": [{ "type": "text", "text": "847291" }]
    },
    {
      "type": "button",
      "sub_type": "url",
      "index": "0",
      "parameters": [{ "type": "text", "text": "847291" }]
    }]
  }
}

3. Vérification L'utilisateur saisit le code dans l'interface ou le chatbot le capture directement si l'interaction se déroule dans la conversation WhatsApp. La vérification compare le code soumis au code stocké, en tenant compte de l'expiration.

4. Webhooks de statut L'API retourne les événements sent, delivered, read en temps réel. Si failed, déclencher le fallback SMS.

Sécurité et conformité pour les OTP WhatsApp

Quelques impératifs non-négociables pour une implémentation production :

• HTTPS obligatoire pour tous les appels API et pour l'endpoint webhook qui reçoit les statuts.
• Rate limiting : limiter les demandes d'OTP par numéro (ex. 5 tentatives / heure) pour éviter les abus.
• TTL court : 5 minutes est la durée recommandée. Au-delà, invalider le code et obliger un nouvel envoi.
• Pas de log du code en clair : masquer les codes dans les logs applicatifs.
• Stockage chiffré en base de données.
• Conformité RGPD : le numéro de téléphone est une donnée personnelle. S'assurer que le traitement est couvert par une base légale (contrat ou consentement) et que les données sont hébergées en EU.

Whakup héberge son infrastructure en Europe, ce qui simplifie la conformité RGPD pour les éditeurs de plateformes soumis à la réglementation européenne. Pour les éditeurs qui souhaitent éviter la certification Meta directe, passer par un Meta Tech Provider certifié est la voie recommandée.

FAQ

WhatsApp est-il conforme à eIDAS ou aux exigences d'authentification forte (SCA) ?

WhatsApp seul ne constitue pas un facteur d'authentification forte au sens de la DSP2 ou d'eIDAS. Il peut être utilisé comme second facteur (possession du téléphone + numéro WhatsApp), mais la conformité SCA pour les paiements requiert une solution certifiée. Consultez votre équipe juridique pour les cas d'usage financiers.

Peut-on envoyer l'OTP dans une conversation WhatsApp existante plutôt que via template ?

Oui, si l'utilisateur a initié une conversation dans les 24h précédentes (fenêtre de service active). Dans ce cas, vous pouvez envoyer un message libre avec le code. En dehors de cette fenêtre, seul un template authentication est possible.

Quel est le délai de livraison moyen d'un OTP WhatsApp ?

La livraison est quasi-instantanée sur un appareil connecté (moins de 5 secondes dans la majorité des cas). Si l'appareil est hors connexion, le message est mis en attente par WhatsApp jusqu'à 30 jours. Pour les OTP, un TTL de 5 à 10 minutes côté applicatif suffit à couvrir les cas normaux.

Faut-il un opt-in préalable pour envoyer un OTP WhatsApp ?

Oui, Meta exige un consentement explicite pour tout message initié par une entreprise, y compris les OTP. En pratique, cet opt-in est souvent collecté lors de l'inscription au service, avec mention explicite de WhatsApp comme canal d'authentification.

---

Les plateformes qui intègrent l'OTP WhatsApp offrent à leurs clients une expérience d'authentification plus fluide et plus sécurisée que le SMS. Whakup met à disposition une API WhatsApp Business prête pour les cas d'usage d'authentification : templates pré-approuvés, webhooks de statut temps réel, infrastructure EU/RGPD. Prenez contact pour démarrer l'intégration.