L’ANSSI ne « bannit » pas le code à usage unique reçu par SMS, mais elle le classe parmi les facteurs les moins robustes et déconseille de fonder sur lui la protection d’un accès sensible. Sa doctrine, exposée dans ses recommandations relatives à l’authentification multifacteur et aux mots de passe, tient en une phrase : un facteur transitant par le réseau téléphonique n’offre aucune garantie sur l’identité du destinataire réel du message. Pour un éditeur de plateforme, la question n’est donc pas « le SMS est-il interdit ? » mais « combien de temps puis-je encore l’utiliser comme facteur principal, et par quoi je le remplace ? ».
L’Agence nationale de la sécurité des systèmes d’information (51 boulevard de La Tour-Maubourg, 75007 Paris, cyber.gouv.fr) raisonne par niveaux de robustesse, pas par interdictions binaires. Le code envoyé par SMS appartient à la catégorie des facteurs « de possession » faibles : il est meilleur qu’un simple mot de passe, mais il repose sur une chaîne, opérateur, réseau de signalisation, terminal, notifications d’écran verrouillé, dont l’éditeur du service ne maîtrise aucun maillon.
La conséquence opérationnelle est claire. Pour un accès à privilèges, une console d’administration, un back-office contenant des données sensibles, le SMS ne constitue pas un second facteur acceptable. Pour un compte utilisateur grand public, il vaut mieux que rien, à condition d’être traité comme une étape de transition et non comme une cible d’architecture.
Le même raisonnement se retrouve outre-Atlantique : le NIST a placé l’envoi de secret hors bande via le réseau téléphonique dans une catégorie « restreinte », c’est-à-dire utilisable sous réserve d’évaluer le risque et d’annoncer une trajectoire de sortie.
Un attaquant convainc un opérateur ou une boutique de transférer un numéro vers une carte SIM qu’il contrôle. À partir de cet instant, il reçoit tous les codes. L’attaque ne suppose aucune compétence technique avancée : elle relève de l’ingénierie sociale et cible les collaborateurs des opérateurs, pas vos serveurs.
Les protocoles historiques d’interconnexion entre opérateurs n’ont pas été conçus pour un monde hostile. L’interception ou le détournement de messages reste possible pour des acteurs disposant d’un accès opérateur, y compris à distance et à l’échelle internationale.
C’est aujourd’hui la faille la plus banale. Un faux site relaie en direct les identifiants vers le service légitime, affiche le champ « entrez le code reçu », puis rejoue le code dans la seconde. Le SMS ne protège de rien face à un proxy inverse : il n’est lié ni au domaine, ni à la session, ni au navigateur.
Un code affiché sur un écran verrouillé se lit par-dessus l’épaule. Une application malveillante dotée de la permission de lecture des messages l’exfiltre sans un clic de l’utilisateur.
Le débat technique masque un problème de conformité que beaucoup de DSI découvrent trop tard. Un numéro de téléphone est une donnée à caractère personnel directement identifiante et rarement changée. L’imposer comme second facteur revient à constituer une base de numéros associés à un usage, et l’usage, sur certaines plateformes, est en lui-même une donnée sensible.
Pour un éditeur de contenus pour adultes soumis aux obligations de vérification d’âge issues de la loi SREN, ou pour un opérateur d’événements gérant des flux de participants, la question n’est plus théorique : le principe de minimisation du RGPD s’accommode mal d’un annuaire qui relie un numéro personnel à une consommation intime. Une fuite de cette base ne serait pas un incident de sécurité, ce serait un incident de réputation irréversible pour vos utilisateurs.
Autrement dit, le SMS cumule deux défauts : il protège mal, et il oblige à collecter davantage. C’est exactement le compromis que nous refusons chez IDxLAB.
C’est la seule famille de solutions qui neutralise le phishing par construction : la clé cryptographique est liée au domaine d’origine, elle ne peut pas être rejouée ailleurs. L’utilisateur déverrouille avec la biométrie de son appareil, aucune donnée biométrique ne quitte le terminal, aucun secret partagé ne transite. Pour les comptes d’administration, la clé matérielle (format USB ou NFC) reste la référence.
Bon rapport effort/bénéfice pour une migration rapide : plus de dépendance à l’opérateur, plus de SIM swapping. Le TOTP reste toutefois hameçonnable en temps réel. Il constitue une étape intermédiaire crédible, pas une destination.
À condition d’imposer la correspondance de chiffres à l’écran et d’afficher le contexte (adresse IP, localisation approximative, appareil), pour éviter la fatigue de validation qui a coûté cher à plusieurs grands comptes.
Pour les parcours à enjeu réglementaire, l’authentification ne se contente plus de prouver que « c’est bien le même compte » : elle doit prouver une qualité (majorité, habilitation, statut) sans révéler l’identité civile. C’est le terrain de GreenBadg.
La plupart des dispositifs de vérification créent une liaison durable entre une identité civile et un usage. GreenBadg a été conçu pour rendre cette liaison impossible : le vérificateur d’identité ne sait pas pour quel service il travaille, et le service ne reçoit jamais l’identité de la personne, seulement l’attribut dont il a besoin, majorité atteinte, droit d’accès, appartenance à un groupe.
Appliqué à l’authentification, ce principe change la nature du risque. Un attaquant qui compromet la base d’un service n’y trouve ni numéros de téléphone, ni pièces d’identité, ni historique nominatif : il n’y a rien à revendre. C’est cette architecture que nous déployons avec des acteurs exigeants du contenu adulte, comme le groupe Dorcel, et que nous portons dans l’écosystème French Tech Aix-Marseille, où la question de la protection des mineurs et celle de la vie privée sont traitées ensemble, jamais l’une contre l’autre.
Sortir du SMS n’est donc pas un chantier purement technique. C’est l’occasion de réduire simultanément votre surface d’attaque et votre surface de conformité.
Non. L’ANSSI ne publie pas d’interdiction, elle hiérarchise des niveaux de robustesse. Le code par SMS est considéré comme un facteur de possession faible, à éviter pour les accès sensibles et les comptes à privilèges, et à remplacer dès que possible sur les comptes utilisateurs.
Elle élimine les attaques liées à l’opérateur (SIM swapping, interception réseau), ce qui constitue un progrès net. En revanche, un code TOTP reste rejouable par un site de phishing qui le relaie en temps réel. Pour les accès critiques, seule l’authentification liée au domaine, de type FIDO2 ou passkey, apporte une protection structurelle.
C’est l’erreur la plus fréquente. Un attaquant attaque toujours le maillon le plus faible du parcours, et la récupération de compte en fait partie. Mieux vaut prévoir des codes de secours à usage unique remis hors ligne ou un second appareil enrôlé.
Les deux sujets convergent. La loi SREN impose de vérifier un attribut (la majorité) sans transformer cette vérification en fichier de consommation. Une architecture en double anonymat permet de prouver l’attribut au service sans lui transmettre l’identité, et sans que le vérificateur sache quel service est concerné.
Cela dépend du périmètre, mais la séquence utile est toujours la même : commencer par les comptes à privilèges, qui représentent peu d’utilisateurs et l’essentiel du risque, puis ouvrir les passkeys en option côté grand public avant de rendre le facteur fort obligatoire. Le point de bascule n’est pas technique, il est organisationnel : c’est la décision de retirer le SMS des parcours de récupération.
