La double authentification
par SMS

Est-elle obligatoire ? Pas pour toutes les entreprises : au 22 octobre 2026, aucune loi ne l'impose de façon générale. Voici où elle est déjà attendue, ce que vaut la double authentification par SMS et comment l'ajouter à vos connexions.

Mis à jour le 22 octobre 2026.

La double authentification est déjà exigée pour les paiements en ligne (DSP2) et dans le secteur financier (DORA), et la CNIL l'attend dans certains cas. Pour les organisations visées par la directive NIS 2, la question se posera une fois sa loi de transposition adoptée.

Pour le détail de ce projet de loi, lisez NIS 2 et double authentification : ce qui change pour votre site, sur le site de 3 Bees Online.

Double authentification obligatoire : ce qu'il faut retenir

• Pas de double authentification obligatoire pour toutes les entreprises : la CNIL rappelle que l'authentification multifacteur ne doit pas être considérée comme une mesure de sécurité générale et systématique (recommandation du 20 mars 2025)
• Paiements en ligne : la directive DSP2 exige une authentification forte du client quand il accède à son compte de paiement en ligne ou initie un paiement électronique
• Secteur financier : pour les entités financières, le règlement délégué (UE) 2024/1774, pris pour l'application de DORA, demande une authentification forte pour l'accès à distance au réseau et les accès privilégiés
• Données personnelles : la CNIL recommande l'authentification multifacteur pour l'administration des systèmes, les accès depuis l'extérieur, la messagerie professionnelle et les données sensibles. Elle l'attend pour les bases de plusieurs millions de personnes
• NIS 2 : la directive cite l'authentification à plusieurs facteurs ou continue « selon les besoins ». Le projet de loi qui la transpose n'en parle pas : il renvoie à un décret et à un référentiel d'exigences, dont l'ANSSI a diffusé une version de travail, le ReCyF
• Un texte en attente : ce projet de loi n'est pas encore définitivement adopté. Voté par le Sénat le 12 mars 2025, il attend son examen en séance à l'Assemblée nationale

Ces repères résument des textes publics et ne constituent pas un conseil juridique.

Double authentification, 2FA, MFA : les différences

La double authentification, ou authentification à deux facteurs (2FA), combine deux preuves de nature différente. L'authentification multifacteur (MFA) en demande au moins deux, prises dans au moins deux de ces trois familles :

• Connaissance : ce que seul l'utilisateur connaît, comme un mot de passe ou un code PIN
• Possession : ce que seul l'utilisateur possède, comme un téléphone, une carte à puce ou une clé de sécurité
• Inhérence : ce que l'utilisateur est, comme une empreinte digitale

Le code reçu par SMS est un facteur de possession : il prouve l'accès au téléphone lié au numéro. C'est le schéma habituel de l'authentification par SMS : un mot de passe, puis un code envoyé sur le mobile. Deux mots de passe, en revanche, ne font pas une double authentification.

Multifacteur ne veut pas dire « forte ». Pour l'ANSSI, une authentification forte repose sur un mécanisme cryptographique dont les paramètres et la sécurité sont jugés robustes. Un mot de passe et un code SMS forment une authentification multifacteur, mais pas une authentification forte au sens de l'ANSSI. La CNIL précise de même que cette combinaison n'est pas une authentification « cryptographiquement robuste ».

La directive DSP2 emploie « authentification forte » dans un autre sens : deux éléments indépendants ou plus, parmi la connaissance, la possession et l'inhérence. Dans ce cadre, l'Autorité bancaire européenne admet qu'un code envoyé par SMS fournisse l'élément de possession, qui est alors la carte SIM, sous conditions et toujours avec un second élément d'une autre catégorie.

La double authentification par SMS : atouts et limites

Ses atouts

• Rien à installer : l'utilisateur reçoit le code sur son téléphone, sans application ni matériel à distribuer
• Chacun a un téléphone : le SMS arrive aussi sur un mobile qui n'est pas un smartphone, et sans connexion Internet
• Une parade au vol de mot de passe : un mot de passe dérobé ne suffit plus pour entrer
• Rapide à intégrer : deux requêtes à notre API, l'une pour envoyer le code, l'autre pour le vérifier

Le vol de mot de passe est un risque bien réel : selon la CNIL, près de 80 % des violations de grande ampleur constatées en 2024 ont été permises par l'usurpation du compte d'un employé ou d'un sous-traitant protégé uniquement par un mot de passe.

« Malgré ces limites, l'authentification multifacteur mobilisant l'OTP par SMS et un autre facteur (d'une catégorie distincte) permet d'assurer un niveau de sécurité supérieur à l'authentification simple. » CNIL, recommandation relative à l'authentification multifacteur, 20 mars 2025

Ses limites

Les limites de l'authentification par SMS sont connues. L'ANSSI recommande de ne pas utiliser le SMS comme moyen de réception d'un facteur d'authentification (recommandation R8 de son guide sur l'authentification multifacteur et les mots de passe, qui n'a pas de caractère normatif). Elle cite trois faiblesses :

• L'interception du message par le protocole de signalisation des réseaux mobiles, appelé SS7
• L'échange de carte SIM (SIM swapping) : une attaque d'ingénierie sociale qui permet à un fraudeur de récupérer le contrôle du numéro de sa victime
• La réutilisation des numéros : un numéro abandonné peut être attribué à une autre personne

Comme tout code à usage unique, le code SMS peut aussi être demandé à l'utilisateur par un faux site, qui s'en sert aussitôt. Et il faut recueillir et tenir à jour le numéro de chaque utilisateur.

L'ANSSI admet toutefois le SMS quand il n'existe pas d'autre solution :

« En l'absence d'alternative, la réception d'un code temporaire par SMS, au même titre que d'autres mécanismes comme les alertes de connexion à partir d'une nouvelle adresse IP, sont autant d'outils qui permettent de limiter ou détecter des tentatives d'authentification frauduleuses. » ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, version 2.0

Quand le SMS est adapté, quand choisir un autre facteur

C'est à vous de trancher : la CNIL rappelle qu'en cas de recours à une authentification multifacteur par SMS, le responsable de traitement « doit s'assurer qu'elle est adaptée aux risques encourus ».

Mettre en place la double authentification par SMS

Notre code de vérification par SMS s'intègre à votre application en deux requêtes : l'une génère et envoie le code, l'autre vérifie celui que l'utilisateur a saisi. Vous n'avez ni code à tirer ni base de codes à tenir.

Envoi du code :

curl -X POST https://www.smsvertpro.com/api/v2/generate_otp \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer VOTRE_TOKEN_API" \
  -d '{"gsm": "33612345678", "sender": "MonApp"}'

{
  "status": "OK",
  "result": "OTP_SENT",
  "expires": "2026-04-02 15:05:00",
  "credits": 1250
}

Vérification du code saisi :

curl -X POST https://www.smsvertpro.com/api/v2/verify_otp \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer VOTRE_TOKEN_API" \
  -d '{"gsm": "33612345678", "code": "847392"}'

{
  "status": "OK",
  "result": "OTP_TRUE"
}

Un code faux ou expiré renvoie le statut OTP_FALSE (HTTP 401), avec le nombre d'essais restants (remaining_attempts) tant que le code est en cours. Tous les paramètres et codes de retour sont détaillés dans notre documentation : générer un code et vérifier un code.

Ce que fait l'API

• Code de 6 chiffres tiré au hasard, valable 5 minutes et utilisable une seule fois
• Code jamais renvoyé dans la réponse de l'API : votre application n'a ni à le tirer ni à le garder
• 5 essais par code : au 5e code faux, le code est annulé et un nouveau peut être demandé
• Un seul code en cours par numéro : une nouvelle demande est refusée (OTP_ALREADY_EXIST) tant que le précédent n'a pas servi ou expiré
• Code propre à votre compte : seul le compte qui l'a envoyé peut le valider
• Expéditeur au choix : le paramètre sender remplace l'expéditeur par défaut, le 36173

Le texte du SMS est fixe : il donne le code et son heure d'expiration. Si l'envoi échoue, par exemple faute de crédits, le code est supprimé et la réponse en donne la raison.

Deux précautions côté code. Validez la connexion sur le résultat OTP_TRUE et pas seulement sur le statut OK, qu'un code déjà utilisé renvoie aussi (avec le résultat OTP_VERIFIED). Et passez le numéro sous la même forme dans les deux appels.

Ce qui reste à votre charge

• Limiter les essais par utilisateur : l'API annule un code au 5e essai faux, mais un fraudeur peut en redemander un ; comptez les échecs par utilisateur et bloquez au-delà d'un seuil, comme le recommande aussi l'ANSSI
• Garder une trace des connexions réussies et des échecs, pour repérer une tentative d'intrusion
• Prévoir un secours en cas de perte ou de changement de téléphone : autre facteur, codes de secours, contact avec votre support
• Protéger le changement de numéro : sans contrôle, un fraudeur qui accède au compte y mettrait son propre numéro
• Prévenir l'utilisateur d'une connexion inhabituelle par une alerte de connexion par SMS

Sans développeur : le modèle n8n

Notre modèle vérification de numéro par code SMS est publié dans la galerie officielle de n8n. Il envoie un code puis le vérifie par deux webhooks, filtre les pays autorisés, renvoie des messages d'erreur distincts et note les numéros vérifiés dans Google Sheets.

Pour relier l'envoi de SMS à vos autres outils, consultez notre page envoyer des SMS avec n8n.

Questions fréquentes

Les textes cités

• CNIL : recommandation relative à l'authentification multifacteur
• CNIL : consignes pour renforcer la sécurité des grandes bases de données
• ANSSI : recommandations relatives à l'authentification multifacteur et aux mots de passe
• ANSSI : présentation du Référentiel Cyber France (ReCyF), document de travail
• Directive (UE) 2022/2555, dite NIS 2
• Assemblée nationale : dossier législatif du projet de loi de transposition
• Assemblée nationale : texte adopté par la commission spéciale (n° 1779-A0)
• Directive (UE) 2015/2366, dite DSP2
• Règlement délégué (UE) 2024/1774 (DORA)
• Autorité bancaire européenne : question-réponse 2018_4039

À découvrir également