Verify API : Sécuriser les accès et optimiser le coût des OTP au Maroc

L'OTP (One-Time Password) est un code de sécurité temporaire à usage unique (généralement 6 chiffres) envoyé sur le téléphone portable d'un utilisateur. Il permet de confirmer qu'une personne est bien le titulaire légitime du numéro de téléphone lors d'une inscription, d'une connexion ou de la validation d'une commande e-commerce.

Traditionnellement, ces codes étaient envoyés uniquement par SMS standard. Avec l'essor des messageries instantanées, la Verify API d'EnvoiSMS permet d'envoyer ces codes via WhatsApp avec un repli par SMS lorsque WhatsApp refuse l'envoi.

Le fonctionnement est simple, transparent et pensé pour une expérience utilisateur fluide :

1. Envoi initial sur WhatsApp : Dès que l'utilisateur renseigne son numéro, le système lui envoie le code de sécurité directement sur WhatsApp depuis un compte WhatsApp Business officiel.
2. Minuteur de 60 secondes à l'écran : L'interface affiche un compte à rebours invitant l'utilisateur à saisir son code.
3. Option de renvoi par SMS (Bascule) : Si l'utilisateur n'a pas accès à WhatsApp ou si la connexion internet est coupée, le bouton « Renvoyer par SMS » se débloque après 60 secondes (valeur resend_after_seconds renvoyée par l'API pour WhatsApp). En un clic, le même code lui est envoyé par SMS traditionnel.
4. Validation instantanée : Quel que soit le canal lu par l'utilisateur (WhatsApp ou SMS), la saisie du code valide immédiatement la session.

Selon votre tarif SMS, un code WhatsApp peut coûter moins cher qu'un SMS (comparez les deux sur la page tarifs). Quand l'utilisateur valide le code reçu sur WhatsApp, aucun SMS n'est envoyé : le SMS n'est mobilisé qu'en repli, pour les utilisateurs sans WhatsApp ou injoignables sur ce canal.

La Verify API prend en charge toute la complexité technique en coulisses (génération aléatoire cryptographique, hachage sécurisé, gestion des expirations, limitation des tentatives et délivrance multi-canal). Trois points d'accès suffisent :

• POST /v1/verify/send : Déclenche l'envoi initial (SMS ou WhatsApp) et renvoie la temporisation exacte (resend_after_seconds: 60 pour WhatsApp, 30 pour SMS).
• POST /v1/verify/resend : Déclenche le renvoi du même code actif via WhatsApp ou repli par SMS une fois le délai écoulé.
• POST /v1/verify/check : Valide la saisie du code.

Pour garantir la délivrabilité des messages critiques sur le territoire marocain, EnvoiSMS s'appuie sur des routes directes vers Maroc Telecom (IAM), Orange et inwi, avec bascule automatique entre routes en cas d'indisponibilité ou d'encombrement.

Chaque requête envoyée à l'API https://api.envoisms.ma/v1/messages fait l'objet d'une validation E.164 déterministe (formatage automatique des préfixes 06, 07 et +212) et retourne un identifiant unique permettant de corréler les accusés de réception (DLR) reçus par webhook avec signature HMAC-SHA256.

Tout traitement de données personnelles et envoi de communications professionnelles au Maroc doit respecter la loi n° 09-08 régie par la CNDP. Les envois transactionnels s'inscrivent dans le cadre contractuel (art. 4-b), tandis que les campagnes promotionnelles intègrent obligatoirement la mention "STOP" pour l'exercice du droit d'opposition (art. 9).

Nos serveurs et bases de données appliquent un chiffrement strict en transit (TLS 1.3) et au repos (AES-256), assurant la conformité et la souveraineté totale de vos informations financières et privées.