Flash Call vs SMS OTP : lequel utiliser ?
Chaque équipe qui construit une vérification téléphonique finit par se poser la même question : SMS OTP ou flash call ? Les deux confirment qu'un utilisateur contrôle un numéro de téléphone donné. Les deux s'intègrent dans le même flux d'inscription ou de connexion. Mais sous le capot, ils fonctionnent de manière presque opposée, et cette différence se répercute directement sur votre taux de conversion, votre facture et votre exposition à la fraude.
Voici comment les deux méthodes se comparent réellement, et comment décider laquelle — ou quel mélange des deux — convient à votre produit.
Comment fonctionne le SMS OTP
La vérification par mot de passe à usage unique (OTP) par SMS est la méthode que la plupart des gens imaginent en entendant « 2FA » : votre backend génère un code à 6 chiffres, l'envoie sous forme de SMS via une passerelle SMS, et l'utilisateur retape ce code dans votre app.
Faire livrer le message implique généralement de passer par un ou plusieurs agrégateurs SMS avant d'atteindre l'opérateur de destination — chaque saut ajoute de la latence, et chaque saut est un point où le message peut être retardé, perdu ou intercepté. La livraison prend généralement entre 5 et 30 secondes selon le corridor, et l'utilisateur doit encore remarquer le SMS, changer d'application et taper correctement les six chiffres avant l'expiration du code.
Comment fonctionne la vérification par flash call (Verify Call)
La vérification par flash call se passe entièrement du SMS. À la place, votre backend déclenche un véritable appel vocal via l'infrastructure opérateur vers le numéro de l'utilisateur. L'appel sonne une fois — souvent moins d'une seconde — puis raccroche automatiquement. Le code de vérification n'est jamais envoyé sous forme de donnée ; il est l'identifiant d'appelant lui-même.
Sur Android, celui-ci peut être lu directement depuis l'appareil et la vérification se termine avec zéro chiffre saisi. Sur iOS, où les apps ne peuvent pas lire l'identifiant d'appelant par programmation, l'utilisateur regarde les derniers chiffres du numéro de l'appel manqué et les saisit — toujours plus rapide et plus simple que de retranscrire un code SMS à 6 chiffres. Temps médian jusqu'à la vérification : 2–3 secondes.
Flash call vs SMS OTP, côte à côte
| Caractéristique | Flash Call | SMS OTP |
|---|---|---|
| Action de l'utilisateur | Aucune (Android) / Voir le numéro (iOS) | Saisir 6 chiffres |
| Vitesse | 2–3 secondes | 5–30 secondes |
| Sécurité | Rien à intercepter | Vulnérable au SIM swap |
| Coût | 40–60 % moins cher que le SMS | Référence |
| Couverture | plus de 190 pays | plus de 230 pays |
| Risque de fraude AIT | Aucun | Élevé (~1,6 Md$/an à l'échelle du secteur) |
Là où le SMS OTP l'emporte encore
Le SMS n'est pas obsolète — c'est toujours l'option la plus universelle. Il couvre une poignée de marchés et d'appareils anciens que le flash call ne couvre pas, fonctionne à l'identique sur tous les téléphones quel que soit l'OS, et ne dépend pas de la capacité de l'utilisateur à reconnaître un appel entrant comme une invite de vérification plutôt que comme du spam. Si votre base d'utilisateurs penche vers des appareils anciens ou des terminaux gérés par l'entreprise qui masquent l'identifiant d'appelant, le SMS reste le choix par défaut le plus sûr.
Là où le flash call l'emporte
Partout ailleurs, le flash call est plus rapide, moins cher, et nettement plus difficile à attaquer. Aucun code n'est transmis sous forme de donnée, donc il n'y a rien à intercepter pour les renifleurs SS7 ou les attaques de SIM swap — l'« OTP » n'existe que comme identifiant d'appelant à l'intérieur de l'infrastructure opérateur. Cela évite aussi un problème que la vérification par SMS ne peut pas éviter : la fraude par trafic artificiellement gonflé (AIT), où des acteurs malveillants déclenchent en masse de fausses demandes d'OTP vers des routes qu'ils contrôlent et empochent une part des frais de terminaison SMS. Les estimations du secteur situent les pertes liées à l'AIT à environ 1,6 milliard de dollars par an — un coût qui n'existe tout simplement pas pour le flash call, puisqu'il n'y a aucun concentrateur SMS dans le chemin à exploiter.
En élargissant la perspective, les chiffres deviennent encore plus importants : le marché mondial du 2FA devrait atteindre 3,16 Md$ d'ici 2035, tandis que le seul marché du SMS A2P vaut 18,6 Md$ d'ici 2026. Une part significative de ces dépenses est absorbée par la fraude et les frais d'agrégateurs intermédiaires plutôt que par la livraison réelle — c'est exactement l'écart que le routage direct avec les opérateurs est conçu pour combler. (Source : Future Market Insights · données SMS A2P via Juniper Research.)
Alors, lequel utiliser ?
En pratique, la réponse pour la plupart des produits n'est pas « en choisir un » — c'est de router intelligemment entre les deux. Utilisez le flash call par défaut partout où il est pris en charge (plus de 190 pays, et ça continue), car il est plus rapide, moins cher, et élimine toute une catégorie de fraude. Repliez-vous sur le SMS OTP — ou l'OTP WhatsApp ou Telegram — pour les corridors, appareils ou cas particuliers que le flash call ne couvre pas.
C'est le modèle sur lequel Novauth est construit : une seule API, un routage automatique entre Verify Call, SMS, WhatsApp et Telegram OTP, pour ne pas être coincé à intégrer et maintenir quatre fournisseurs distincts pour obtenir une couverture complète. Consultez les détails de la passerelle SMS, comparez les tarifs, ou passez directement au guide de démarrage rapide pour ajouter la vérification à votre app.