e 23 août 2026, la Banque Centrale d'Égypte (CBE) a publié ses règlements régissant les services de la plateforme d'Identité Financière Numérique, le référentiel pour l'ouverture de comptes bancaires et la vérification à distance des clients (eKYC). Pour la vérification SMS, la règle est simple : une banque vérifiant ses clients via sa propre application doit confirmer que le numéro de mobile appartient au client et qu'il en a la possession, en envoyant un SMS contenant un mot de passe à usage unique (OTP). Les anciennes règles relatives au portefeuille CBE, toujours en vigueur, stipulent que SMS ne doit pas fournir le second facteur pour les opérations à haut risque. Ce guide détaille le contenu de chaque règle et la manière dont BroadNet suggère aux banques, portefeuilles électroniques et fintechs égyptiens de concevoir OTP en conséquence.
Ce guide résume les textes réglementaires publics à la date du 10 octobre 2026. Il s'agit d'informations générales et non de conseils juridiques — confirmez vos obligations auprès de la Banque Centrale d'Égypte, de NTRA, de PDPC ou de votre conseiller juridique avant de vous y fier.
Points clés
- Le conseil de CBE a approuvé les règlements de l'Identité Financière Numérique (DFI) le 17 juin 2026 ; une circulaire datée du 23 août 2026 les a transmis aux banques. Ils s'appliquent à toutes les banques en Égypte, aux entités sous licence susceptibles de rejoindre la plateforme et aux agents bancaires autorisés CBE.
- Une banque vérifiant ses clients via sa propre application doit vérifier la possession du numéro de mobile « en envoyant un SMS contenant un mot de passe à usage unique (OTP) », puis lier un certificat DFI à l'appareil.
- La plateforme s'authentifie via quatre mécanismes : le certificat DFI lié à l'appareil, OTP, un code PIN mondial à six chiffres et la biométrie.
- Elle peut remplacer une signature manuscrite pour les transactions non financières ; l'authentification des transactions financières nécessite une approbation CBE distincte.
- Les règles de paiement mobile de CBE (avril 2021) exigent deux facteurs pour les opérations de portefeuille à haut risque et stipulent que les OTP ne doivent pas être envoyés automatiquement et directement par SMS ou par e-mail pour ces opérations. SMS reste le canal désigné pour les alertes.
- Conformément au PDPC, les données détenues par le CBE et les entités qu'il supervise sont hors du champ d'application de la loi sur la protection des données, à l'exception des sociétés de transfert de fonds et des bureaux de change.
Qu'a publié la Banque centrale d'Égypte en août 2026 ?
Le communiqué du CBE du 23 août 2026 indique que son Conseil a approuvé « les réglementations régissant les services de la plateforme d'identité financière numérique (DFI) pour l'identification des clients bancaires et la vérification électronique de leur identité (eKYC) » ; la circulaire correspondante consigne l'approbation du Conseil le 17 juin 2026. Le gouverneur Hassan Abdalla a déclaré que la plateforme permet aux citoyens d'ouvrir des comptes et d'obtenir des produits bancaires via des canaux numériques sans se rendre en agence, grâce à l'acceptation électronique des conditions et à l'authentification électronique « en alternative aux signatures manuscrites ».
Les règles couvrent l'eKYC (identification, vérification et mise à jour de l'identité), l'authentification électronique des transactions, les ordres de paiement et de transfert ainsi que l'acceptation des conditions, et le partage de l'DFI d'un client entre les participants. La plateforme est exploitée en Égypte par la Digital Financial Identity Company, « Haweya », qui lit les données de la carte d'identité nationale via des sources de confiance telles que l'Organisation de l'état civil, ainsi que par la lecture de la puce NFC et la détection de présence (liveness detection). La circulaire d'août précise que l'unité de lutte contre le blanchiment d'argent (EMLCU) émettra les procédures d'identification électronique ; une circulaire CBE du 28 septembre 2026 indique que la EMLCU a approuvé leur première édition ce mois-là. Aucun de ces textes ne fixe de délai de mise en conformité distinct.
Où apparaît l'SMS OTP dans les réglementations de la DFI ?
| Clause (réglementations DFI) | Ce qu'elle stipule | Ce que cela signifie pour OTP |
|---|---|---|
| 4, Second, 2.1 | Une banque utilisant ses propres applications doit vérifier que le numéro de mobile appartient au client et qu'il est en sa possession via un SMS contenant un OTP | Le contrôle de possession lors de l'onboarding de SMS OTP — il doit d'abord atteindre le numéro enregistré |
| 4, Deuxième, 2.2 | Ensuite, émettre le certificat DFI et l'associer à l'appareil et aux applications du client | Les connexions habituelles reposent sur l'appareil associé ; SMS devient le canal de récupération et de réassociation |
| 5, article 7.2 | Haweya propose quatre mécanismes : le certificat DFI sur la même application et le même appareil, OTP, le code PIN global et la biométrie | OTP n'est qu'un facteur parmi quatre, et non le modèle complet |
| 4, Premier, 7 | Notifier le client que la création de DFI est terminée via plusieurs méthodes | Coupler une confirmation SMS avec une notification dans l'application ou par e-mail |
| 4, Fifth, 1 | Surveillez les échecs de connexion répétés et les tentatives d'authentification incorrectes sur une courte période ; contactez immédiatement le client | Journalisez chaque tentative de OTP et alertez en cas de pics d'échecs |
Les contrôles périphériques sont également stricts : détection du root et du jailbreak et certificate pinning dans l'application, notification d'incident à la CBE sous six heures, préavis de 48 heures pour les interruptions planifiées et — avant le lancement — tests d'intrusion, un rapport SOC 2 de Type 1 (Type 2 dans les six mois) et une analyse d'impact relative à la protection des données.
L'OTP par SMS est-il suffisant pour les paiements en Égypte ?
Pas pour toutes les actions. Les Mobile Payment Services Regulations de la CBE (troisième édition, avril 2021) définissent les activités à haut risque, incluant les ordres de paiement vers plusieurs bénéficiaires simultanément, les ordres exemptés du plafond de transfert et les modifications de coordonnées. Pour ces cas, les banques doivent utiliser deux moyens combinés et ne doivent pas accorder de mots de passe à usage unique « automatiquement et directement » par SMS ou par e-mail ; les OTP provenant de jetons (tokens) ou d'applications doivent comporter au moins six caractères et être valides pendant 90 secondes maximum. Les autres transactions sont réauthentifiées avec un code PIN d'au moins six chiffres, avec un maximum de cinq tentatives infructueuses avant suspension. Le SMS a toujours un rôle défini : les banques doivent alerter les utilisateurs de portefeuilles électroniques pour les transactions et les activités à haut risque par SMS ou par e-mail, sauf en cas de désinscription, et un ordre de paiement ne peut être créé par SMS, bien que le SMS puisse en confirmer un.
Les règles de l'Instant Payment Network (IPN) d'octobre 2021 exigent deux facteurs pour chaque paiement IPN : un couplage strict du téléphone (empreinte de l'appareil plus numéro) et un code PIN IPN à six chiffres, les OTP étant gérés uniquement à l'intérieur de la bibliothèque sécurisée du réseau. Les banques doivent informer les clients des transactions « par SMS ou par tout autre moyen approuvé ». Les règles de tokenisation de carte de la CBE de mars 2023 permettent d'attribuer un OTP SMS au téléphone enregistré auprès de la banque comme moyen de vérifier le titulaire de la carte.
| Étape du parcours | Rôle du SMS dans les textes de la CBE | Source |
|---|---|---|
| Onboarding eKYC dans l'application propre de la banque | Requis : SMS OTP prouve la possession du numéro | Réglementations DFI 2026, 4-Second-2.1 |
| Ouverture d'un portefeuille pour un client existant | La banque doit confirmer la propriété ou la possession du numéro | Règles de paiement mobile 2021, 3-3-20 |
| Ajout d'une carte au portefeuille numérique d'un appareil | L'envoi de SMS OTP au téléphone enregistré est une méthode d'exemple | Règles de tokenisation 2023, 3-2-5 |
| Action de portefeuille à haut risque | Deux facteurs ; OTP non envoyés automatiquement et directement par SMS ou par e-mail | Règles de paiement mobile 2021, 3-4-5-1 |
| Paiement IPN | Liaison de l'appareil + code PIN IPN | Règles IPN 2021, 4-7 à 4-9 |
| Alertes de transaction | SMS désigné comme le canal | Règles de paiement mobile 3-6-8 ; règles IPN 3-1-9 |
SMS prouve le numéro, lie l'appareil et tient le client informé ; les mesures les plus robustes reposent sur l'appareil combiné à un code PIN ou à la biométrie. Nous comparons les Émirats arabes unis, l'Inde et les Philippines dans L'SMS OTP est-il interdit ?.
Que signifient les règles NTRA pour les messages OTP vers l'Égypte ?
L'Autorité nationale de régulation des télécommunications (NTRA) délivre des licences pour l'envoi de SMS en masse dans le cadre de son régime relatif aux services à valeur ajoutée mobiles, qui définit le « SMS en masse (un vers un) » — la catégorie dans laquelle s'inscrivent les OTP. Les titulaires de licence doivent faire apparaître le nom de l'entité émettrice dans chaque message, précédé d'un code défini par NTRA ; notifier le NTRA du nom de chaque client et de son identifiant d'expéditeur avant toute contractualisation ; s'assurer que l'expéditeur est situé en Égypte ; et ne pas acheminer de messages internationaux vers l'Égypte sans l'approbation écrite préalable du NTRA. Ainsi, le OTP d'une banque nécessite un identifiant d'expéditeur enregistré au nom de la banque, envoyé via un canal local sous licence.
La page couverture de l'Égypte de BroadNet répertorie la terminaison sous licence avec des liaisons directes vers Vodafone Egypt, Orange Egypt, e& Egypt et WE, ainsi que l'enregistrement de l'identifiant d'expéditeur sous 7 à 14 jours ouvrés ; les formalités administratives se trouvent dans notre guide A2P SMS pour l'Égypte et sur l'enregistrement de l'identifiant d'expéditeur en Égypte. Du côté de l'opérateur, e& Egypt exploite le pare-feu A2P de BroadNet contre les routes grises. Les règles du portefeuille du NTRA précisent que chaque numéro ne peut ouvrir qu'un seul portefeuille et qu'aucune transaction ne peut être finalisée sans le code PIN du client, le numéro de téléphone faisant office d'identité du portefeuille — vérifiez les échanges de SIM et les numéros recyclés (API Number Verify et SIM Swap).
Comment la loi égyptienne sur la protection des données traite-t-elle le trafic OTP ?
La loi n° 151 de 2020 dispose désormais de règlements d'exécution, que le Centre de protection des données personnelles (PDPC) cite comme étant le règlement d'exécution n° 816 de 2025. La PDPC énumère parmi les exemptions les « données personnelles détenues par la Banque centrale d'Égypte et les entités sous sa supervision et son contrôle, à l'exception des sociétés de transfert d'argent et des bureaux de change » ; les banques suivent donc les règles de données de la CBE, telles que les contrôles de la DFI ; la question de savoir si une fintech est incluse dans cette exception relève de l'avis d'un conseiller juridique. Lorsque la loi s'applique, la nécessité contractuelle constitue une base légale — ce qui correspond à un code demandé par l'utilisateur — tandis que le marketing nécessite un consentement explicite, une désinscription libre et éventuellement une licence d'e-marketing. Les violations doivent être signalées au PDPC sous 72 heures, et les transferts à l'étranger nécessitent une licence ou un permis du PDPC, il convient donc de demander aux fournisseurs où sont stockés les journaux de messages (résidence des données).
Comment les banques et les portefeuilles égyptiens devraient-ils concevoir OTP ?
Recommandations de BroadNet pour respecter ces règles :
- Utilisez SMS OTP pour la vérification de la possession lors de l'enrôlement, puis liez l'appareil ; conservez SMS pour la récupération et le nouveau couplage.
- Pour les actions de portefeuille à haut risque, utilisez un code intégré à l'application ou un jeton (token) plus un second facteur, puis envoyez une alerte SMS.
- Enregistrez un identifiant d'expéditeur OTP dédié au nom de votre marque, distinct du marketing, sur des routes locales sous licence.
- Placez le code en premier. L'arabe utilise UCS-2, donc un SMS contient 70 caractères et non 160 (guide d'encodage) ; ajoutez la ligne de remplissage automatique.
- Utilisez une expiration courte, un nombre limité de tentatives et des journaux complets des envois, des accusés de réception et des vérifications — les règles DFI imposent la surveillance des échecs d'authentification.
- Si aucun accusé de réception n'arrive dans votre délai, tentez une nouvelle tentative sur une autre route, puis proposez l'appel OTP ; ne renvoyez jamais de messages indéfiniment.
- Vérifiez l'existence de swaps SIM avant d'envoyer un message à un numéro récemment modifié (fraude au swap SIM).
- Intégrez les métriques OTP dans vos processus de lutte contre la fraude et de gestion des incidents (guide de surveillance OTP bancaire).
L'API OTP de BroadNet couvre ce schéma : SMS avec repli automatique vers la voix en l'absence d'accusé de réception, gestion de l'identifiant d'expéditeur par destination et accusés de réception pour chaque tentative. Les tarifs en Égypte débutent à 0,028 $ par SMS sur e& Egypt (Etisalat Misr), 0,030 $ sur Vodafone Egypt, 0,032 $ sur Orange Egypt et 0,035 $ sur WE (tarification SMS en Égypte) ; pour toute question relative aux fournisseurs, consultez le meilleur fournisseur de SMS en Égypte.
BroadNet exploite une messagerie de classe opérateur depuis 2003, avec plus de 1 000 connexions directes avec les opérateurs, un SLA de 99,99 % et SOC 2 Type II. Demandez un accès de test et un ingénieur vous répondra sous un jour ouvré ; l'intégration prend généralement 2 à 5 jours ouvrés, parallèlement à la procédure d'approbation de l'identifiant d'expéditeur.
Foire aux questions
Qu'est-ce que la plateforme d'identité financière numérique CBE ?
La plateforme approuvée par CBE pour créer l'identité financière numérique d'un client et vérifier les clients par voie électronique (eKYC), opérée en Égypte par la Digital Financial Identity Company, Haweya. Ses règles ont été publiées dans une circulaire CBE datée du 23 août 2026.
Les règles eKYC de CBE imposent-elles SMS OTP ?
Oui, dans un cas précis : une banque vérifiant l'identité dans ses propres applications doit confirmer la possession du numéro de mobile via un SMS OTP avant de lier un certificat DFI à l'appareil. OTP est également l'un des quatre mécanismes d'authentification de la plateforme.
Qui doit se conformer aux réglementations de DFI ?
Toutes les banques opérant en Égypte, les entités sous licence éligibles à rejoindre la plateforme et les agents bancaires autorisés par CBE. Ces règles constituent un socle minimal s'ajoutant aux règles de la CBE en matière de banque électronique, de LBC/FT et de risque opérationnel.
La plateforme DFI peut-elle authentifier les paiements ?
Les banques peuvent l'utiliser pour des transactions non financières en remplacement d'une signature manuscrite. L'authentification des transactions financières nécessite une approbation CBE supplémentaire et le respect de ses contrôles d'authentification électronique.
Les portefeuilles mobiles en Égypte peuvent-ils utiliser le SMS OTP pour les transferts ?
Pas pour les actions à haut risque telles que le paiement de plusieurs bénéficiaires simultanément : les règles de 2021 sur le paiement mobile exigent une double authentification et interdisent l'envoi automatique et direct de ces OTP par SMS ou par e-mail. Les autres transactions utilisent un code PIN, et SMS assure la gestion des alertes.
La réglementation PDPL de l'Égypte s'applique-t-elle aux données OTP des banques ?
Selon PDPC, les données détenues par la CBE et les entités qu'elle supervise sont hors du champ de PDPL, à l'exception des sociétés de transfert de fonds et des bureaux de change. Ces deux types d'entités, ainsi que les entreprises hors de la supervision de CBE, sont couverts par la loi.
Les messages OTP vers l'Égypte nécessitent-ils un identifiant d'expéditeur enregistré ?
Oui. Le cadre NTRA exige le nom de l'expéditeur dans chaque message et l'identifiant d'expéditeur doit être notifié à la NTRA avant la contractualisation d'un client.
Les routes internationales peuvent-elles acheminer des OTP vers l'Égypte ?
Pas sans autorisation : les titulaires de licences NTRA ne peuvent pas acheminer de messages internationaux vers l'Égypte sans l'approbation écrite préalable de la NTRA. Utilisez un fournisseur qui assure la terminaison via des canaux locaux sous licence.
Nous avons lu chaque texte ci-dessous le 10 octobre 2026 sur le site officiel du régulateur ; les textes uniquement en arabe ont été lus en arabe. Consultez nos normes éditoriales et la réglementation SMS de l'Égypte.
Sources
- CBE — Communiqué de presse sur la réglementation eKYC, 23 août 2026 : cbe.org.eg.
- CBE — Page sur l'identité financière numérique, mise à jour le 23 août 2026 : cbe.org.eg.
- CBE — Réglementation DFI, texte en anglais : cbe.org.eg.
- CBE — Circulaire du 23 août 2026 sur les règles DFI (arabe) : cbe.org.eg.
- CBE — Circulaire du 28 septembre 2026 sur le KYC des clients des banques (arabe), liste des circulaires : cbe.org.eg.
- CBE — Règles relatives aux services de paiement mobile, 3e édition, avril 2021 (arabe) : cbe.org.eg.
- CBE — Règles du réseau de paiement instantané, octobre 2021 : cbe.org.eg.
- CBE — Circulaire sur la tokenisation des cartes, 8 mars 2023 (arabe) : cbe.org.eg.
- NTRA — Cadre relatif aux services mobiles à valeur ajoutée (tra.gov.eg, PDF) et règles réglementaires sur les portefeuilles mobiles (tra.gov.eg), consultés le 10 octobre 2026.
- PDPC — FAQ sur la loi n° 151 de 2020 et le règlement d'exécution n° 816 de 2025, consultés le 10 octobre 2026 : portal.pdpc.gov.eg.