Confirmation de paiement en ligne (3D Secure alternatif) en PHP (Laravel) (France) : Guide Technique

L'authentification par code à usage unique (OTP) est devenue le standard pour sécuriser les comptes utilisateurs au Maroc et en France.

Que vous développiez une plateforme SaaS de prise de rendez-vous, une boutique en ligne ou une application bancaire, valider le numéro de téléphone de l'utilisateur réduit nettement le risque de création de faux comptes et d'attaques par force brute.

Avec notre API, vous envoyez vos codes OTP sur des routes locales vers IAM, Orange et Inwi, avec bascule automatique entre routes. Pour les destinataires au Maroc, le tarif démarre à 0,48 MAD / SMS avec un Sender ID validé (0,792 MAD avec l'expéditeur partagé). Pour les numéros français (+33), le tarif est fixe à 0,07 € / SMS.

L'implémentation repose sur trois étapes clés :

1. Génération du code : Un code numérique aléatoire à 4 ou 6 chiffres généré côté serveur.
2. Stockage temporaire : Le code est enregistré dans votre base de données ou un cache (Redis) avec une durée de validité de 5 à 10 minutes.
3. Appel API EnvoiSMS : Une requête HTTP POST sécurisée envoie le code au destinataire au format international E.164.

Une entreprise type (comme un service SaaS de réservation ou un réseau de contrôle technique) traite généralement plusieurs milliers de vérifications par mois sans ralentissement.

Voici un exemple propre et directement exploitable dans votre projet PHP (Laravel) :

// Exemple d'envoi OTP via l'API REST EnvoiSMS
const fetch = require('node-fetch');

async function sendOtp(phoneNumber, code) {
  const response = await fetch('https://api.envoisms.ma/v1/messages', {
    method: 'POST',
    headers: {
      'Authorization': 'Bearer VOTRE_CLE_API',
      'Content-Type': 'application/json'
    },
    body: JSON.stringify({
      to: phoneNumber, // Format: +2126XXXXXXXX ou +336XXXXXXXX
      body: `Votre code de vérification est : ${code}. Valable 5 minutes.`,
      channel: 'sms'
    })
  });

  const data = await response.json();
  return data;
}

Ce script transmet votre code à l'API ; vous suivez ensuite son statut via les accusés de réception (DLR).

Pour éviter l'abus de votre service d'envoi de SMS :

• Limitation de débit (Rate Limiting) : N'autorisez pas plus de 3 demandes d'OTP par numéro et par heure.
• Durée de vie courte : Expirez les codes après 5 minutes maximum.
• Conformité CNDP / RGPD : Informez vos utilisateurs que leur numéro est utilisé uniquement pour la sécurité du compte.