umber Verification et SIM Swap sont des API de réseau, standardisés par le projet CAMARA dans le cadre de l'initiative GSMA Open Gateway, qui permettent à une banque ou une application de demander deux choses à l'opérateur mobile : ce numéro de téléphone est-il réellement celui de l'appareil de l'utilisateur, et son SIM a-t-il changé récemment ? À la date du 26 septembre 2026, le seul lancement au Moyen-Orient que nous avons pu confirmer via une source officielle est le Qatar, où Ooredoo Qatar et Vodafone Qatar ont lancé les deux API le 26 novembre 2025. BroadNet, qui assure le trafic OTP et protège les réseaux des opérateurs dans toute la région, explique le fonctionnement des API et comment les coupler avec des SMS OTP.
Points clés
- Number Verification confirme, sans code SMS, que le numéro saisi par un utilisateur correspond au numéro de l'appareil qu'il utilise. Il renvoie vrai ou faux.
- SIM Swap vous indique si le SIM associé à un numéro a changé au cours d'une période de votre choix (de 1 à 2 400 heures, par défaut 240) ou renvoie la date du dernier changement.
- Le Qatar est le lancement confirmé au Moyen-Orient : Ooredoo Qatar et Vodafone Qatar, tous deux des API, ont été annoncés le 26 novembre 2025 à MWC Doha.
- Nous n'avons pas pu confirmer de lancements commerciaux aux Émirats arabes unis, en Arabie saoudite, au Koweït, à Bahreïn, à Oman, en Jordanie ou en Égypte via une source officielle. Vérifiez auprès de l'opérateur avant de concevoir une solution basée sur eux.
- Number Verification ne remplace pas les SMS OTP partout : il nécessite le support de l'opérateur et, dans son flux standard, une connexion de données mobiles. Utilisez-le d'abord là où il fonctionne et passez en repli sur OTP.
- Le modèle le plus robuste pour les actions à haut risque consiste à appeler SIM Swap avant l'envoi d'un OTP, et à refuser le OTP si le SIM a changé récemment.
Que sont GSMA Open Gateway et CAMARA ?
Le GSMA décrit Open Gateway comme "un cadre mondial de API de réseau communs qui simplifie l'accès aux réseaux des opérateurs mobiles" (GSMA Open Gateway). Les définitions de API elles-mêmes proviennent de CAMARA, que l'annonce de Ooredoo Qatar décrit comme "un projet open-source de la Linux Foundation et une partie fondamentale de l'initiative GSMA Open Gateway". Comme chaque opérateur participant implémente la même définition, un développeur peut écrire une seule intégration et la réutiliser sur les réseaux qui la supportent.
Selon la même annonce (novembre 2025), l'initiative couvre plus de 80 groupes d'opérateurs mobiles, 292 réseaux et plus de 80 % des connexions mobiles dans le monde. L'adhésion n'est pas la même que la présence d'un API actif dans un pays donné, c'est pourquoi le tableau de disponibilité ci-dessous ne liste que les lancements confirmés. Pour plus d'informations, consultez notre réponse sur GSMA Open Gateway.
Que fait le Number Verification API ?
Dans la définition CAMARA (version 2.1.0, version r3.2), Number Verification vérifie ou récupère « le numéro de téléphone mobile qui est actuellement alloué par l'opérateur de réseau au SIM dans l'appareil de l'utilisateur final ». Elle possède deux points de terminaison :
- /verify compare le numéro de téléphone que l'utilisateur vous a donné, en clair ou haché, avec le numéro associé à l'appareil, et répond vrai ou faux.
- /device-phone-number renvoie le numéro de téléphone que l'opérateur associe au SIM dans l'appareil.
Cela fonctionne via une authentification silencieuse, basée sur le réseau ou basée sur SIM, « sans nécessiter d'interaction de l'utilisateur » : aucun code à recevoir, lire ou saisir. Les deux points de terminaison nécessitent un jeton d'accès à trois jambes obtenu pour cet utilisateur. Dans le flux standard (code d'autorisation OpenID Connect avec prompt=none), l'appareil doit être connecté au réseau mobile. Si votre application possède un TS.43 jeton temporaire GSMA de l'appareil, la définition indique que la API fonctionne sur n'importe quelle connexion, y compris le Wi-Fi. Pour une explication plus approfondie, lisez notre réponse sur l'authentification réseau silencieuse.
Comment fonctionne l'API SIM Swap ?
La définition SIM Swap CAMARA (version 2.1.0, version r3.3) vous donne deux opérations principales :
| Opération | Vous envoyez | Vous recevez en retour | Utilisez-le quand |
|---|---|---|---|
| POST /check | Numéro de téléphone et maxAge en heures (1 à 2 400 ; par défaut 240) | swapped : vrai ou faux pour cette période | Vous avez besoin d'une décision yes/no avant une action risquée |
| POST /retrieve-date | Numéro de téléphone | latestSimChange : horodatage du dernier échange SIM, ou la date d'activation s'il n'y en a pas eu | Le score de risque dépend de la récence du changement |
Deux détails sont importants en production. Si la réglementation locale ou la politique de l'opérateur empêche de stocker l'historique SIM suffisamment longtemps, l'opérateur peut renvoyer null pour la date, éventuellement accompagné d'un monitoredPeriod indiquant le nombre de jours couverts ; traitez cela comme "aucun échange au cours de la période surveillée", et non comme "jamais échangé". Et si vous demandez un maxAge au-delà de ce que la politique de l'opérateur autorise, attendez-vous à une erreur 400 OUT_OF_RANGE. L'échange SIM est une voie courante pour la prise de contrôle de compte : le fraudeur transfère le numéro de la victime vers un nouveau SIM et reçoit ses codes. Notre réponse sur la fraude à l'échange SIM explique l'attaque.
Où se trouvent Number Verification et SIM Swap au Moyen-Orient ?
Ce tableau répertorie uniquement les lancements que nous avons pu confirmer auprès d'un opérateur ou d'une source GSMA, au 26 septembre 2026.
| Pays | Opérateurs | API | Annoncé | Source |
|---|---|---|---|---|
| Qatar | Ooredoo Qatar, Vodafone Qatar | SIM Swap, Number Verification (CAMARA) | 26 novembre 2025, MWC Doha | communiqué de presse Ooredoo Qatar |
Les opérateurs qataris ont déclaré qu'ils prévoient d'ajouter d'autres API d'identité et de prévention de la fraude en 2026. Pour les Émirats arabes unis, l'Arabie saoudite, le Koweït, Bahreïn, Oman, la Jordanie et l'Égypte, nous n'avons trouvé aucun lancement commercial de ces deux API sur une page officielle d'opérateur ou de GSMA que nous avons pu ouvrir. Certains opérateurs de la région ont rejoint Open Gateway, mais rejoindre n'est pas la même chose que proposer un API commercialement. Interrogez l'opérateur, ou votre fournisseur de messagerie, sur le statut actuel avant de vous appuyer dessus. Pour les règles de messagerie du Qatar, consultez notre page des réglementations du Qatar et notre page de couverture du Qatar.
Est-ce que Number Verify peut remplacer SMS OTP ?
Pas de manière autonome, et pas encore dans la majeure partie de la région. Chaque méthode prouve quelque chose de différent et échoue de manière différente.
| SMS OTP | Number Verification | Vérification SIM Swap | |
|---|---|---|---|
| Ce que cela prouve | L'utilisateur peut recevoir un message sur ce numéro | L'appareil utilisé détient le SIM pour ce numéro | Si le SIM associé au numéro a changé récemment |
| Effort de l'utilisateur | Lire et saisir un code (ou remplissage automatique) | Aucun | Aucun |
| Nécessite la prise en charge de l'API de l'opérateur | Non ; fonctionne sur n'importe quel réseau | Oui | Oui |
| Connexion | Tout téléphone avec du signal | Données mobiles dans le flux standard ; toute connexion avec un jeton TS.43 | Aucun sur l'appareil ; il s'agit d'une vérification de serveur à serveur |
| Point faible | Les codes peuvent être interceptés après un échange SIM ou faire l'objet de phishing | Indisponible là où l'opérateur ne l'a pas lancé | N'authentifie pas l'utilisateur par lui-même |
| Meilleur rôle | Solution de secours universelle et second facteur | Premier choix lorsque disponible | Signal de risque avant tout OTP sur une action à haut risque |
La conception pratique est une cascade : essayez Number Verification là où l'opérateur de l'utilisateur le prend en charge, basculez vers SMS ou WhatsApp OTP partout ailleurs, et placez une vérification SIM Swap devant le OTP pour les actions à haut risque. Nos articles sur l'authentification réseau silencieuse et l'authentification réseau silencieuse vs SMS OTP approfondissent la première étape.
Quand devriez-vous appeler SIM Swap avant d'envoyer un OTP ?
Avant toute action où un numéro volé donnerait de l'argent ou du contrôle à un fraudeur. Un flux de décision simple :
- Classifiez l'action. Risque faible : connexion de routine sur un appareil connu. Risque élevé : réinitialisation de mot de passe, nouveau bénéficiaire, changement de numéro de téléphone ou d'e-mail, transfert important, première connexion sur un nouvel appareil.
- Pour les actions à haut risque où l'opérateur le prend en charge, appelez POST /check avec un maxAge court qui correspond à votre politique de risque (par exemple 24 ou 72 heures).
- Si swapped est vrai, n'envoyez pas le OTP à ce numéro. Renforcement : confirmation dans l'application sur l'appareil enregistré, un rappel, ou une vérification en agence ou par vidéo.
- Si swapped est faux, envoyez le OTP comme d'habitude via SMS ou WhatsApp, avec une bascule automatique entre les canaux.
- Si l'API n'est pas disponible sur ce marché, ou renvoie null, basculez vers vos règles existantes plus une intelligence de numéro telle qu'une recherche HLR ou un score de réputation téléphonique.
- Journalisez le résultat de la vérification avec la transaction, afin que les analystes de fraude puissent voir pourquoi un OTP a été ou n'a pas été envoyé.
Un OTP prouve que quelqu'un peut recevoir des messages sur un numéro. Une vérification SIM Swap vous indique si cette personne est probablement toujours le client. Pour les actions à haut risque, vous voulez les deux réponses.
Comment les banques combinent-elles SIM Swap avec OTP ?
| Événement | Vérification du réseau | Si la vérification lève un drapeau | Sinon |
|---|---|---|---|
| Réinitialisation du mot de passe | SIM Swap /check avant d'envoyer le OTP de réinitialisation | Bloquer le OTP ; exiger une confirmation via l'application ou en agence | Envoyer le OTP |
| Nouveau bénéficiaire ou transfert important | SIM Swap /check, maxAge court | Suspendre la transaction pour examen | Envoyer le OTP de la transaction |
| Intégration d'un nouveau client | Number Verification /verify | Revenir à SMS OTP | Ignorer l'étape OTP |
| Changement de numéro de téléphone enregistré | SIM Swap /retrieve-date sur l'ancien numéro | Examen manuel | Confirmer sur l'ancien et le nouveau numéro |
La plateforme BroadNet OTP livre les codes dans ce flux via SMS, WhatsApp et la voix avec un repli entre eux, et MyOTP le conditionne comme un produit de vérification prêt à l'emploi.
Quel est le coût ?
Les tarifs sont fixés par chaque opérateur ou ses partenaires de canal et sont convenus commercialement. Aucune des sources officielles que nous avons consultées ne publie de liste de prix pour le Moyen-Orient pour ces deux API, nous n'en citons donc aucune. Lorsque vous comparez les coûts, comptez ce que la vérification permet d'économiser ainsi que ce qu'elle coûte : une vérification SIM Swap avant une OTP de réinitialisation de mot de passe est un appel API supplémentaire, et la prévention d'une prise de contrôle de compte vaut bien plus.
Que signifient les API de réseau pour les opérateurs ?
Pour les opérateurs, Number Verification et SIM Swap transforment les données que le réseau détient déjà en un service payant, basé sur le consentement, pour les banques et les applications, et les mêmes équipes de lutte contre la fraude qui les achètent achètent également la messagerie A2P. BroadNet travaille avec les opérateurs depuis 2003, avec plus de 60 déploiements de pare-feu d'opérateur ; nos solutions opérateur et notre pare-feu SMS protègent les revenus de messagerie qui côtoient ces API.
Foire aux questions
Qu'est-ce que le CAMARA Number Verification API ?
Un API opérateur standard qui confirme si le numéro de téléphone fourni par un utilisateur correspond au numéro de l'appareil qu'il utilise, en renvoyant vrai ou faux, ou renvoie le numéro de l'appareil. Il utilise l'authentification par réseau silencieux ou basée sur SIM, il n'y a donc aucun code à taper.
Comment fonctionne le SIM Swap API ?
Vous envoyez un numéro de téléphone. L'opération /check répond vrai ou faux pour une période que vous définissez avec maxAge (de 1 à 2 400 heures, par défaut 240) ; /retrieve-date renvoie l'horodatage du dernier changement de SIM, ou la date d'activation s'il n'y en a pas eu.
Quels opérateurs du Moyen-Orient proposent ces API ?
Au 26 septembre 2026, le lancement que nous pouvons confirmer via une source officielle est le Qatar : Ooredoo Qatar et Vodafone Qatar ont lancé SIM Swap et Number Verification le 26 novembre 2025. Vérifiez auprès des opérateurs d'autres pays avant de vous y fier.
Le Number Verify peut-il remplacer le SMS OTP ?
Seulement là où l'opérateur de l'utilisateur le prend en charge et où la connexion le permet. Utilisez-le d'abord là où il est disponible et conservez le SMS ou le WhatsApp OTP comme solution de repli partout ailleurs.
Le Number Verification fonctionne-t-il sur le Wi-Fi ?
Dans le flux standard, l'appareil doit être connecté au réseau mobile. La définition de CAMARA indique qu'il fonctionne sur n'importe quelle connexion, y compris le Wi-Fi, lorsque l'application utilise un jeton temporaire GSMA TS.43 de l'appareil.
Dois-je vérifier SIM Swap avant chaque OTP ?
Non. Utilisez-le avant les actions à haut risque telles que les réinitialisations de mot de passe, les nouveaux bénéficiaires, les changements de numéro et les transferts importants. Pour les connexions de routine sur un appareil connu, la vérification supplémentaire modifie rarement la décision.
Que se passe-t-il si l'opérateur ne peut pas partager la date de swap SIM ?
Cela peut retourner null, optionnellement avec un monitoredPeriod en jours. Considérez cela comme l'absence de swap au cours de la période surveillée, et revenez à vos propres règles de risque.
Quel est le coût de l'API SIM Swap ?
Les prix sont fixés par chaque opérateur ou ses partenaires de canal. Les sources officielles que nous avons consultées ne publient pas les prix du Moyen-Orient pour l'un ou l'autre des API.
Sources
- Ooredoo Qatar, les opérateurs mobiles du Qatar lancent des API anti-fraude via l'initiative Open Gateway GSMA, 26 novembre 2025, consulté le 26 septembre 2026.
- CAMARA, définition API Number Verification, version r3.2, consulté le 26 septembre 2026.
- CAMARA, définition API SIM Swap, version r3.3, consulté le 26 septembre 2026.
- pages projet CAMARA, Number Verification et SIM Swap, consulté le 26 septembre 2026.
- GSMA, GSMA Open Gateway, consulté le 26 septembre 2026.