our envoyer des SMS OTP de manière fiable en Indonésie, vous avez besoin d'un nom d'expéditeur alphanumérique enregistré — connu localement sous le nom de masquage SMS — sur la route de chaque opérateur mobile, de modèles fonctionnant en Bahasa Indonesia, et d'un flux de vérification adapté à un marché où le régulateur lutte activement contre la fraude aux numéros. Depuis janvier 2026, la réglementation n° 7 de 2026 du ministère des Communications et des Affaires numériques (Komdigi) impose des contrôles par reconnaissance faciale basés sur les données de la population pour les nouveaux enregistrements SIM et limite les numéros prépayés à trois par identité et par opérateur.
Ce guide couvre l'enregistrement de l'identifiant d'expéditeur, l'impact des nouvelles règles SIM sur le risque OTP, la loi sur la protection des données qui régit les données de vos abonnés, et la manière de maîtriser le coût par utilisateur vérifié. Dernière révision : 26 septembre 2026.
Points clés
- Les noms d'expéditeur (masquage SMS) pour le trafic A2P sont enregistrés via les routes des opérateurs ; prévoyez cinq à dix jours ouvrés.
- La réglementation Komdigi n° 7 de 2026, signée le 19 janvier 2026, exige une validation NIK couplée à une reconnaissance faciale pour l'enregistrement des abonnés mobiles.
- Les opérateurs ne peuvent pas enregistrer plus de trois numéros prépayés par identité et par opérateur, avec de rares exceptions pour IoT, les tests et certaines organisations.
- Les abonnés peuvent signaler les numéros utilisés à des fins criminelles via le portail de plainte du ministère ; les opérateurs doivent révoquer les numéros dont l'usage abusif est prouvé.
- Les données personnelles de votre infrastructure de messagerie sont régies par la loi n° 27 de 2022 (UU PDP), dont la période d'ajustement de deux ans s'est achevée en octobre 2024.
- L'OTP le moins cher est celui qui arrive dès la première tentative : des noms d'expéditeur enregistrés, des modèles courts et un canal de secours réduisent les nouvelles tentatives.
Comment enregistrer un identifiant d'expéditeur SMS (masking) en Indonésie ?
En Indonésie, un expéditeur alphanumérique de marque est généralement appelé expéditeur « masking », par opposition à un numéro long numérique. Pour le trafic A2P, le nom de l'expéditeur est enregistré via les routes des opérateurs — Telkomsel, Indosat Ooredoo Hutchison, XL Axiata et Smartfren (fusionnés sous le nom XLSMART en avril 2025) sur le réseau de BroadNet — plutôt que d'être choisi librement pour chaque message. Voici les étapes pratiques :
- Choisissez un nom d'expéditeur qui identifie clairement votre marque et vérifiez-le dans notre validateur d'identifiant d'expéditeur.
- Décrivez le cas d'usage — OTP, notifications transactionnelles ou promotions — car les opérateurs examinent l'usage qui sera fait du nom.
- Fournissez les documents de l'entreprise prouvant le lien entre la marque et votre organisation ; la liste exacte varie selon l'opérateur, veuillez donc la confirmer lors de l'onboarding.
- Soumettez le même nom auprès de chaque opérateur que vous souhaitez atteindre ; un nom approuvé sur un réseau ne s'applique pas automatiquement à un autre.
- Prévoyez de cinq à dix jours ouvrés, comme indiqué sur la page de couverture de l'Indonésie, et testez sur chaque opérateur avant le lancement.
Nous déconseillons les noms génériques tels que INFO, OTP ou VERIFY. Ils ne peuvent pas être associés à une marque, ils sont précisément ce que les fraudeurs imitent, et ils font que le client a plus de mal à faire confiance au code. Pour une vue d'ensemble des types d'expéditeurs, consultez qu'est-ce qu'un identifiant d'expéditeur et l'usurpation d'identifiant d'expéditeur.
Quels sont les changements apportés par la réglementation Komdigi n° 7 de 2026 ?
La réglementation n° 7 de 2026 du Ministre de la Communication et du Numérique relative à l'enregistrement des clients de services de télécommunications via les réseaux mobiles cellulaires remplace les articles d'enregistrement de la réglementation des télécommunications de 2021. Elle a été signée à Jakarta le 19 janvier 2026 et entre en vigueur dès sa promulgation. Ses objectifs déclarés sont de disposer de données de population valides pour l'enregistrement SIM et d'appliquer le principe de connaissance du client (KYC) pour les abonnés mobiles.
| Règle | Champ d'application | Date d'effet | Source |
|---|---|---|---|
| Enregistrement validé avec NIK et les données biométriques de la population (reconnaissance faciale) | Opérateurs mobiles et nouveaux abonnés | À la promulgation, janvier 2026 | Permen Komdigi 7/2026 |
| L'auto-enregistrement via l'application ou le site web de l'opérateur doit valider le numéro à l'aide d'un code d'autorisation, qui peut être un OTP, envoyé par SMS, e-mail ou USSD | Auto-enregistrement prépayé | À la promulgation | Art. 7 |
| Pas plus de 3 numéros prépayés par identité et par opérateur (exceptions : M2M/IoT, tests, certaines organisations — via les points de vente des opérateurs) | Opérateurs mobiles | À la promulgation | Art. 14 |
| Les numéros utilisés à des fins criminelles peuvent être signalés via le portail du Ministère ; les opérateurs doivent révoquer les numéros dont l'usage abusif est prouvé | Abonnés et opérateurs | À la promulgation | Art. 17 |
| Les opérateurs doivent détenir au moins la certification ISO 27001 pour les données des abonnés | Opérateurs mobiles | Dès la promulgation | Art. 13(5) |
| Les opérateurs adaptent l'auto-enregistrement sous 6 mois ; les numéros enregistrés antérieurement restent valides | Opérateurs mobiles et abonnés existants | Transition jusqu'à la mi-2026 | Art. 32 |
| Les données personnelles sont traitées légalement, le consentement étant la base principale ; les responsables de traitement disposaient de 2 ans pour se mettre en conformité | Toute entreprise détenant des données d'abonnés indonésiens | Entrée en vigueur le 17 oct. 2022 | UU No. 27 de 2022 (PDP), Art. 74 |
Que signifie l'enregistrement biométrique SIM pour OTP ?
Le SMS OTP prouve qu'une personne contrôle un numéro de téléphone. Son point faible a toujours été la facilité avec laquelle ce numéro pouvait être obtenu ou détourné : une SIM enregistrée sous l'identité d'un tiers, ou une nouvelle SIM achetée en masse pour une campagne de fraude. La validation par reconnaissance faciale, une limite de trois numéros par identité et par opérateur, ainsi qu'une procédure formelle de révocation des numéros détournés rendent ces pratiques plus difficiles.
Cela ne rend pas les SMS OTP sans risque. Le SIM swap et l'ingénierie sociale ciblent la personne, et non l'enregistrement. Gardez les messages OTP courts et explicites ("Ne partagez pas ce code"), liez les codes à une session, limitez les tentatives de renvoi et associez les actions à haute valeur à un signal qui ne dépend pas uniquement du SMS. Nos bonnes pratiques OTP et l'article sur la défense contre le SIM-swap approfondissent le sujet.
Que fait Komdigi contre les escroqueries SMS ?
L'instrument le plus clair du régulateur à ce jour est la Réglementation No. 7 de 2026 elle-même : un enregistrement avec vérification d'identité, moins de numéros jetables, et l'obligation pour les opérateurs de révoquer les numéros dont l'utilisation criminelle est prouvée une fois signalés via le portail de plainte du Ministère. Pour les expéditeurs, la conséquence est concrète : les opérateurs ont toutes les raisons de scruter les identifiants d'expéditeur non enregistrés, génériques ou usurpés ; ainsi, un nom de marque propre et enregistré fait partie intégrante de la délivrabilité, et pas seulement de la conformité.
Pourquoi les OTP vers l'Indonésie sont-ils coûteux, et comment réduire les frais ?
Le prix d'un seul SMS n'est qu'une partie du coût. Ce que vous payez réellement, c'est le coût par utilisateur vérifié : le prix de chaque message multiplié par le nombre de messages nécessaires pour obtenir une connexion réussie. Chaque code non délivré, chaque renvoi et chaque utilisateur qui abandonne augmente ce coût. C'est pourquoi les économies les plus importantes proviennent généralement de la délivrabilité et du design, et non de la réduction du tarif par message.
| Levier | Pourquoi c'est important | Que faire |
|---|---|---|
| Nom d'expéditeur enregistré | Les expéditeurs non enregistrés ou génériques sont plus susceptibles d'être filtrés ou rejetés | Enregistrez un nom de marque par cas d'usage auprès de chaque opérateur |
| Longueur et encodage des modèles | Les caractères non-GSM imposent UCS-2 et peuvent doubler le nombre de segments | Gardez les OTP courts ; vérifiez-les dans le vérificateur GSM-7 / Unicode |
| Politique de renvoi | Les renvois agressifs multiplient les coûts et l'exposition à la fraude | Attendez avant le premier renvoi ; limitez le nombre de tentatives par session |
| Mix de canaux | Les utilisateurs disposant de WhatsApp peuvent s'authentifier via ce canal ; l'OTP vocal aide lorsque le SMS échoue | Une route par utilisateur avec basculement automatique vers SMS |
| Mesure | Ce que vous payez est le coût par utilisateur vérifié, et non par message | Modélisez cela dans l'estimateur de coûts OTP |
Les tarifs actuels par message sont disponibles sur la page de tarification SMS de l'Indonésie et sur la page de tarification WhatsApp. MyOTP gère l'acheminement, le repli et les contrôles de fraude au sein d'une seule API, de sorte que le transfert d'une partie de votre volume vers un autre canal ne nécessite pas de reconstruire votre flux de connexion.
L'authentification WhatsApp est-elle moins chère que le SMS OTP en Indonésie ?
Parfois, et uniquement pour les utilisateurs disposant de WhatsApp. Les tarifs des modèles d'authentification sont fixés par Meta par marché et évoluent avec le temps ; comparez donc les grilles tarifaires actuelles plutôt qu'un chiffre de l'année dernière. Le gain principal réside généralement dans la conversion : un code qui arrive dans une application déjà ouverte par l'utilisateur a tendance à être saisi plus rapidement. Conservez SMS comme solution de secours universelle, car tous les utilisateurs n'auront pas WhatsApp installé sur le téléphone qu'ils sont en train de vérifier.
Quelles sont les exigences de UU PDP pour les données de SMS ?
La loi n° 27 de 2022 sur la protection des données personnelles (UU PDP) a été promulguée le 17 octobre 2022 et a accordé deux ans aux responsables de traitement pour s'y conformer. Elle régit la manière dont vous collectez et traitez les numéros de téléphone, les noms et les journaux de messages dans votre infrastructure de messagerie. Le consentement est l'une des principales bases légales, les personnes concernées disposent de droits sur leurs données, et des règles existent concernant les transferts et la gestion des violations. Ne conservez que les données nécessaires à la vérification, définissez des durées de conservation pour les journaux de messages et assurez-vous que vos contrats de sous-traitance couvrent le traitement effectué pour votre compte.
Check-list de conformité pour OTP et SMS en Indonésie
- Enregistrez un identifiant d'expéditeur spécifique à votre marque auprès de chaque opérateur nécessaire, séparément pour OTP et pour un usage promotionnel.
- Rédigez les modèles OTP en bahasa indonésien et en anglais, de manière assez concise pour tenir en un seul segment.
- N'ajoutez jamais de contenu promotionnel à un message OTP ou transactionnel.
- Définissez une politique de renvoi avec un délai avant la première tentative et un plafond par session.
- Ajoutez un canal de secours (authentification WhatsApp ou OTP vocale) et mesurez le coût par utilisateur vérifié.
- Analysez votre traitement de données personnelles au regard de UU PDP : base légale, conservation, contrats de sous-traitance.
- Examinez les flux à haut risque pour l'exposition au SIM-swap ; ne vous appuyez pas uniquement sur SMS pour la récupération de compte ou les transferts importants.
Comment BroadNet gère le trafic en Indonésie
BroadNet effectue la terminaison directement vers Telkomsel, Indosat Ooredoo Hutchison, XL Axiata et Smartfren (fusionnés sous le nom XLSMART en avril 2025) avec un enregistrement de l'identifiant d'expéditeur via les routes des opérateurs, et prend en charge le bahasa indonésien et l'anglais de manière équivalente. Le guide de la réglementation indonésienne couvre l'ensemble des règles.
Foire aux questions
Comment enregistrer un identifiant d'expéditeur SMS (masquage) en Indonésie ?
Via les routes des opérateurs mobiles. Vous choisissez un nom spécifique à votre marque, décrivez le cas d'usage, fournissez les documents de l'entreprise et soumettez ce même nom auprès de chaque opérateur que vous souhaitez atteindre. Prévoyez cinq à dix jours ouvrés et effectuez des tests sur chaque réseau avant le lancement.
Pourquoi les OTP vers l'Indonésie sont-ils coûteux ?
Parce que vous payez le coût par utilisateur vérifié, et non par message. Les codes non distribués, les renvois et les tentatives de connexion abandonnées multiplient le coût. L'utilisation de noms d'expéditeur enregistrés, de modèles courts en segment unique, d'une politique de renvoi cohérente et d'un canal de secours permet généralement de réaliser plus d'économies que la négociation du tarif par message.
L'authentification WhatsApp est-elle moins chère que SMS OTP en Indonésie ?
Cela peut l'être pour les utilisateurs disposant de WhatsApp, mais Meta fixe les prix de l'authentification par marché et les fait évoluer ; comparez donc les grilles tarifaires actuelles. Conservez le SMS comme solution de secours, car tous les utilisateurs n'auront pas WhatsApp sur le numéro qu'ils vérifient.
Les noms d'expéditeur génériques sont-ils autorisés en Indonésie ?
Les opérateurs vérifient les noms d'expéditeur par rapport à la marque et au cas d'usage, et nous déconseillons les noms génériques tels que INFO ou OTP. Ils ne peuvent pas être associés à une marque, ils sont souvent imités par les fraudeurs et ils réduisent la confiance des clients envers le code.
Chaque marque ou cas d'usage nécessite-t-il son propre enregistrement d'expéditeur ?
Enregistrez chaque nom de marque séparément et maintenez OTP et le trafic promotionnel sur des enregistrements distincts. Cette séparation protège votre trafic de vérification si une campagne marketing génère des plaintes, et elle correspond à la manière dont les opérateurs examinent les cas d'usage.
Qu'est-ce que la réglementation Komdigi n° 7 de 2026 ?
Il s'agit de la réglementation du ministère de la Communication et des Affaires numériques sur l'enregistrement des abonnés mobiles, signée le 19 janvier 2026. Elle impose NIK ainsi qu'une validation par reconnaissance faciale, limite les numéros prépayés à trois par identité et par opérateur, et oblige les opérateurs à révoquer les numéros dont l'utilisation criminelle est avérée.
Que signifie l'enregistrement biométrique SIM pour SMS OTP ?
Cela rend plus difficile l'obtention de numéros sous l'identité d'autrui ou en masse, ce qui renforce le lien entre un numéro et une personne réelle. Cela n'empêche pas le SIM swap ou l'ingénierie sociale ; il est donc nécessaire de maintenir des avertissements de non-partage, le couplage de session et des limites de renvoi.
Que requiert UU PDP pour les données SMS ?
La loi n° 27 de 2022 exige une base légale, généralement le consentement, pour le traitement des données personnelles telles que les numéros de téléphone, accorde aux individus des droits sur leurs données et définit des règles sur les transferts et les violations. La période d'ajustement de deux ans s'est terminée en octobre 2024, la loi s'applique donc pleinement.
Sources
- Peraturan Menteri Komunikasi dan Digital Nomor 7 Tahun 2026 — JDIH Kemkomdigi — consulté le 26 septembre 2026
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi — JDIH Kemkomdigi — consulté le 26 septembre 2026
- Kementerian Komunikasi dan Digital (Komdigi) — consulté le 26 septembre 2026