on — SMS OTP n'est pas interdit aux Émirats arabes unis, en Inde ou aux Philippines. Les banques des Émirats arabes unis ont reçu pour instruction de la part de la Banque centrale de supprimer progressivement les SMS et les mots de passe à usage unique par e-mail de l'authentification des clients (la phase de suppression a débuté le 25 juillet 2025), l'RBI de l'Inde a maintenu SMS OTP comme facteur autorisé selon les règles de l'authentification à deux facteurs technologiquement neutres en vigueur depuis le 1er avril 2026, et la BSP des Philippines impose aux grandes banques de limiter les OTPs interceptables à partir du 25 juin 2026 environ.
Ce guide résume les textes réglementaires publics et les rapports de presse en date du 26 septembre 2026. Il s'agit d'informations générales et non de conseils juridiques — veuillez confirmer vos obligations auprès de votre régulateur ou de votre conseiller juridique.
Points clés à retenir
- Émirats arabes unis : la suppression progressive s'applique aux banques qui authentifient leurs propres clients et déplace l'approbation vers l'application mobile de la banque. L'avis de la Banque centrale lui-même n'est pas publié ; les dates proviennent de rapports de presse (Gulf News, Khaleej Times, 24 juillet 2025).
- Inde : les RBI Authentication Mechanisms Directions, 2025 exigent deux facteurs distincts pour les paiements numériques à partir du 1er avril 2026, avec au moins un facteur dynamique pour tout ce qui n'est pas un paiement avec carte présentée. SMS OTP reste autorisé.
- Philippines : la BSP Circular No. 1213 (signée le 30 mai 2025) demande aux institutions supervisées par BSP de limiter les OTPs envoyés par SMS et par e-mail, et exige que les institutions à haut volume adoptent la biométrie, l'authentification sans mot de passe ou l'authentification adaptative dans l'année suivant la date d'entrée en vigueur de la circulaire.
- Les non-banques — e-commerce, livraison, voyage, SaaS, portails de type gouvernemental — ne sont visées par aucun des trois instruments. SMS OTP reste un moyen normal de vérifier un numéro de téléphone ou de se connecter.
- SMS conserve un rôle réglementé dans le secteur bancaire : la circulaire BSP répertorie SMS comme un canal pour les notifications de transaction en temps réel, et le manuel de règles SAMA de l'Arabie saoudite exige des notifications SMS instantanées pour les transactions de compte.
Le SMS OTP est-il interdit aux Émirats arabes unis ?
Non. Ce qui s'est passé aux Émirats arabes unis est un changement dans le secteur bancaire, et non une interdiction nationale. Le 24 juillet 2025, le Gulf News a rapporté que « les banques des Émirats arabes unis commenceront à supprimer progressivement les mots de passe à usage unique (OTPs) envoyés via SMS et par e-mail, à partir du vendredi 25 juillet », les clients passant à une fonctionnalité d'« Authentification via l'application » dans l'application intelligente de leur banque. Le Khaleej Times a rapporté le même jour que cette mesure « fait suite aux directives de la Banque centrale des Émirats arabes unis et sera mise en œuvre par étapes ». Le Gulf News a décrit l'arrêt complet des SMS et des OTPs par e-mail comme étant obligatoire d'ici mars 2026.
Deux mises en garde s'imposent à quiconque rédige une politique à partir de ces informations. Premièrement, la Banque centrale des Émirats arabes unis (CBUAE) n'a pas publié la notification elle-même ; le numéro et la formulation exacte circulant en ligne proviennent de blogs de fournisseurs, il convient donc de les considérer comme non confirmés. Deuxièmement, tous les rapports publics concernent l'authentification par les banques de leurs propres clients lors de transactions et de connexions. Aucun d'entre eux n'étend ce changement aux autres entreprises qui utilisent des codes SMS pour vérifier un numéro de téléphone, confirmer une livraison ou authentifier un utilisateur.
En pratique, les clients bancaires des Émirats arabes unis approuvent désormais les paiements par carte et les actions sensibles directement dans l'application de la banque, généralement via la biométrie du téléphone ou un code PIN d'application. Pour le contexte réglementaire plus large — enregistrement de l'identifiant d'expéditeur, fenêtres promotionnelles et consentement — consultez notre page sur les réglementations SMS des Émirats arabes unis.
Est-ce que RBI interdit les SMS OTP à partir d'avril 2026 ?
Non. Les Reserve Bank of India (Authentication Mechanisms for Digital Payment Transactions) Directions, 2025 ont été émises le 25 septembre 2025 et s'appliquent à « tous les fournisseurs de systèmes de paiement et les participants aux systèmes de paiement, y compris les banques et les entités non bancaires », qui devaient se conformer d'ici le 1er avril 2026. La règle fondamentale : « Toutes les transactions de paiement numérique doivent être authentifiées par au moins deux facteurs d'authentification distincts », et pour tout ce qui ne concerne pas les transactions avec présence de la carte, « au moins l'un des facteurs d'authentification est créé ou prouvé de manière dynamique ».
Les directives définissent des principes plutôt que de nommer une technologie. La RBI note que bien qu'aucun facteur spécifique n'ait été imposé, l'écosystème « a principalement adopté le mot de passe à usage unique (OTP) basé sur SMS comme facteur supplémentaire » — et rien dans le texte ne l'interdit. Ce qui change, c'est la responsabilité : « Si une perte survient suite à des transactions effectuées sans respecter ces directives, l'émetteur doit indemniser intégralement le client pour la perte. » Les émetteurs peuvent également ajouter des contrôles basés sur le risque concernant la localisation, le comportement ou les attributs de l'appareil en complément des deux facteurs.
Une autre échéance est désormais effective : les émetteurs de cartes doivent, d'ici le 1er octobre 2026, mettre en place un mécanisme pour valider les transactions transfrontalières non récurrentes sans présence de la carte, initiées par un marchand ou un acquéreur étranger. Pour les règles de messagerie en Inde — enregistrement DLT, en-têtes et modèles — consultez les réglementations SMS de l'Inde.
Que requiert la circulaire n° 1213 de BSP aux Philippines ?
La BSP Circular No. 1213, Series of 2025 a été approuvée par le Monetary Board le 22 mai 2025, signée le 30 mai 2025 et publiée le 10 juin 2025. Elle entre en vigueur 15 jours calendaires après sa publication, et les institutions financières supervisées par BSP (BSFIs) doivent s'y conformer « dans un délai d'un (1) an à compter de sa date d'entrée en vigueur », ce qui nous amène aux alentours du 25 juin 2026. La circulaire ne mentionne pas de date calendaire précise en elle-même ; certains rapports de presse mentionnent le 30 juin, mais la règle de l'année complète pointe vers le 25 juin.
La ligne clé est une limitation et non une interdiction : les BSFIs « devraient limiter l'utilisation de mécanismes d'authentification qui peuvent être partagés avec, ou interceptés par, des tiers sans lien avec la transaction », la OTPs via SMS et l'e-mail étant cités en exemple. Les institutions « engagées dans des produits et services électroniques complexes et traitant des valeurs agrégées élevées de transactions en ligne » — une valeur de transaction mensuelle moyenne d'au moins PHP 75 000 000 au cours des six derniers mois — doivent adopter une authentification forte : biométrie (empreinte digitale, visage ou voix), biométrie comportementale, authentification sans mot de passe telle que les clés FIDO ou les jetons matériels (hardware tokens), ou l'authentification adaptative, complétée par un fingerprinting d'appareil robuste.
La circulaire maintient également SMS dans le dispositif. Les messages OTP qui sont toujours envoyés « devraient être personnalisés avec suffisamment de détails sur la transaction », les notifications en temps réel peuvent passer « par des canaux sécurisés tels que les applications mobiles, les applications de messagerie, l'e-mail ou SMS », et les BSFIs ne doivent pas envoyer de liens cliquables ou de codes QR par e-mail, par applications de messagerie ou par SMS, à moins que le client ne les ait sollicités, que le lien ne soit purement informatif ou qu'il ne mène pas à une page demandant des identifiants. Contexte pays : réglementations SMS des Philippines.
Les trois règles côte à côte
| Marché | Régulateur et instrument | Date clé | Champ d'application | Le SMS OTP est-il toujours autorisé ? |
|---|---|---|---|---|
| Émirats arabes unis | Directive de la Banque centrale des Émirats arabes unis aux banques (avis non publié ; rapporté le 24 juil. 2025) | Retrait progressif à partir du 25 juil. 2025 ; achèvement d'ici mars 2026 (rapports de presse) | Banques authentifiant leurs propres clients | Remplacé par l'authentification intégrée (in-app) pour les clients bancaires ; non applicable aux non-bancaires |
| Inde | RBI Authentication Mechanisms for Digital Payment Transactions Directions, 2025 (25 septembre 2025) | Mise en conformité d'ici le 1 avril 2026 ; CNP transfrontalier d'ici le 1 octobre 2026 | Tous les prestataires et participants aux systèmes de paiement, banques et non-bancaires | Oui — deux facteurs distincts, dont un dynamique ; le SMS OTP est un facteur autorisé |
| Philippines | BSP Circular No. 1213, Series of 2025 (signée le 30 mai 2025) | Un an à compter de la date d'entrée en vigueur — vers le 25 juin 2026 | Institutions financières supervisées par BSP ; obligation d'authentification forte pour les institutions à haut volume | Limité, pas interdit ; SMS reste un canal de notification |
| Arabie saoudite | Aucun mandat officiel de SAMA visant à supprimer SMS OTP n'a été trouvé (vérifié le 26 sep. 2026) | — | — | Oui ; le règlement de SAMA exige des notifications SMS instantanées pour les transactions de compte |
Qui est concerné — et qui ne l'est pas ?
L'erreur la plus courante consiste à supposer qu'une règle d'authentification bancaire s'applique à toute entreprise envoyant un code. Ce n'est pas le cas. Le périmètre est défini par les entités supervisées par le régulateur.
- Concernés aux Émirats arabes unis : les banques agréées authentifiant les connexions et les transactions des clients (selon les rapports de presse).
- Concernés en Inde : tous les prestataires et participants aux systèmes de paiement — banques, émetteurs de cartes, portefeuilles électroniques et autres entités de paiement non bancaires — pour les transactions de paiement numérique.
- Champ d'application aux Philippines : les institutions financières supervisées par BSP ; la liste d'authentification forte s'applique à celles dépassant le seuil mensuel de PHP 75 millions.
- Exclus de ces trois catégories : les connexions e-commerce et la récupération de comptes, les confirmations de VTC et de livraison, les réservations de voyage, les inscriptions SaaS, les places de marché et le gaming — à moins que l'entreprise ne soit elle-même une entité de paiement réglementée.
- Hors champ d'application : la vérification du numéro de téléphone lors de l'inscription, lorsque l'objectif est de prouver la possession d'un numéro plutôt que d'autoriser un paiement.
Par quoi remplacer SMS OTP pour les clients bancaires ?
Les alternatives partagent un concept : lier l'approbation à l'appareil ou à la biométrie du client, et non à un code qui pourrait être dicté à un fraudeur ou intercepté après un échange de SIM.
- Approbation in-app : une notification push sur l'application propre de la banque, confirmée par biométrie ou par un code PIN de l'application — la voie choisie par les banques des Émirats arabes unis.
- Biométrie et biométrie comportementale : explicitement mentionnées dans la circulaire BSP 1213.
- Authentification sans mot de passe et passkeys : des clés basées sur FIDO stockées sur l'appareil ; consultez notre guide des SMS OTP aux passkeys.
- Contrôles basés sur le réseau : l'authentification silencieuse au niveau du réseau et les signaux de changement de SIM permettent de vérifier le numéro via l'opérateur ; consultez l'authentification silencieuse au niveau du réseau vs SMS OTP.
- Authentification adaptative (basée sur le risque) : un niveau d'authentification renforcé uniquement lorsque l'appareil, la localisation ou le comportement semble inhabituel — autorisé en Inde et répertorié aux Philippines.
Pourquoi SMS reste indispensable en 2026
Retirer SMS de l'authentification bancaire ne signifie pas retirer SMS du secteur bancaire. Les régulateurs maintiennent ce canal pour les notifications, et hors paiements, il demeure le moyen le plus universel de joindre un numéro de téléphone n'ayant pas installé votre application.
- Alertes de transaction : la circulaire BSP liste SMS parmi les canaux de notification en temps réel, et SAMA exige des notifications SMS instantanées pour les transactions sur compte.
- Vérification du numéro de téléphone lors de l'inscription et du changement de numéro, idéalement couplée à une vérification de changement de SIM.
- Connexion et récupération pour les applications non bancaires, où SMS est souvent le seul facteur que chaque utilisateur puisse recevoir.
- Inde : SMS OTP comme l'un des deux facteurs, à condition que l'autre facteur soit distinct.
- Solution de repli : lorsqu'un canal push ou in-app échoue, un service de vérification multicanal peut basculer vers WhatsApp, la voix ou SMS lorsque la réglementation le permet.
Checklist pour les banques et les entreprises de paiement
- Cartographiez chaque flux envoyant un code aujourd'hui — connexion, ajout de bénéficiaire, paiement sans présence du porteur, modification de plafond, changement d'appareil — et identifiez la règle du régulateur qui le régit.
- Transférez les approbations à haut risque vers des méthodes liées à l'appareil (push in-app avec biométrie, passkeys) et documentez le second facteur pour l'Inde.
- Personnalisez n'importe quel OTP que vous envoyez avec les détails de la transaction (commerçant, montant), comme l'exige BSP, et n'incluez jamais de lien cliquable.
- Ajoutez des signaux de risque — SIM-swap, changement d'appareil, vélocité — avant de faire confiance à un facteur de possession.
- Utilisez SMS pour les alertes de transaction en temps réel et surveillez la distribution ; consultez notre guide de surveillance de la distribution OTP bancaire.
- Consignez votre décision par marché, avec la date de vérification, afin que les auditeurs puissent comprendre pourquoi chaque flux utilise la méthode choisie.
Liste de contrôle pour les applications non bancaires
- Confirmez que vous n'êtes pas une entité de paiement réglementée ; si tel est le cas, la liste de contrôle bancaire s'applique à vos flux de paiement.
- Utilisez SMS OTP pour l'inscription et la connexion, et ajoutez WhatsApp ou la voix comme canaux de secours pour optimiser la portée et les coûts.
- Vérifiez l'existence de récents SIM swaps avant tout changement sensible sur le compte.
- Proposez les passkeys comme option pour les utilisateurs récurrents, tout en conservant SMS pour la récupération.
- Estimez l'exposition à la fraude de chaque flux avec le calculateur de sécurité OTP.
BroadNet assure la livraison de OTPs dans plus de 200 pays (en direct avec l'opérateur dans 86 d'entre eux) avec un SLA plateforme de 99,99 %, incluant le SIM-swap, des contrôles d'intelligence de numéros et un basculement automatique (fallback) sur SMS, WhatsApp et la voix. Consultez notre OTP API, notre service de vérification multicanal MyOTP, ainsi que nos solutions pour le secteur bancaire et financier.
Foire aux questions
L'usage de SMS OTP est-il interdit aux Émirats arabes unis ?
Non. La Banque centrale des Émirats arabés unis a ordonné aux banques de supprimer progressivement SMS et les OTPs par e-mail de l'authentification client, en commençant le 25 juillet 2025 pour une finalisation prévue en mars 2026, au profit de l'authentification intégrée aux applications (in-app). Ce changement s'applique aux banques authentifiant leurs propres clients ; il ne s'agit pas d'une interdiction nationale des codes SMS pour les autres entreprises.
La règle CBUAE s'applique-t-elle au e-commerce, au BNPL ou aux applications de livraison ?
Les rapports publics indiquent que la directive s'applique aux banques. Elle ne mentionne pas le e-commerce, la livraison ou d'autres applications non bancaires. Une entreprise agréée par la Banque centrale pour les paiements devrait vérifier ses propres obligations de licence auprès du régulateur, car le texte de l'avis n'a pas encore été publié.
Par quoi les SMS OTP ont-ils été remplacés pour les clients des banques des Émirats arabes unis ?
L'authentification in-app. Les clients approuvent les paiements et les actions sensibles directement dans l'application mobile de leur banque, généralement via la biométrie du téléphone ou un code PIN de l'application, au lieu de saisir un code reçu par SMS ou par e-mail.
RBI interdit-il les SMS OTP à partir d'avril 2026 ?
Non. Les directives de RBI entrant en vigueur le 1er avril 2026 exigent au moins deux facteurs d'authentification distincts pour les paiements numériques, dont au moins un facteur dynamique (sauf pour les transactions avec carte présentée). Elles n'imposent ni n'interdisent de technologie spécifique, et les SMS OTP restent un facteur autorisé. Les émetteurs doivent indemniser intégralement les clients pour les pertes résultant de transactions non conformes.
Qu'est-ce que la circulaire BSP n° 1213 ?
Il s'agit de la circulaire de la Bangko Sentral ng Pilipinas, signée le 30 mai 2025, qui actualise les normes d'authentification et de gestion de la fraude pour les institutions financières supervisées par BSP. Elle leur impose de limiter les méthodes d'authentification interceptables telles que les SMS et les OTPs par e-mail, et exige que les institutions à haut volume adoptent la biométrie, l'authentification sans mot de passe ou l'authentification adaptative dans l'année suivant sa date d'entrée en vigueur — aux alentours du 25 juin 2026.
Les OTP de SMS peuvent-ils encore être utilisés pour vérifier un numéro de téléphone ?
Oui. Aucune des trois règles n'interdit l'utilisation d'un code SMS pour prouver qu'un utilisateur contrôle un numéro de téléphone lors de l'inscription ou d'un changement de numéro. Coupler cette vérification avec une recherche de type « SIM-swap » rend l'usage abusif considérablement plus difficile.
L'SAMA d'Arabie saoudite interdit-il les SMS OTP ?
Nous n'avons trouvé aucun mandat officiel de l'SAMA visant à supprimer progressivement les SMS OTP à la date du 26 septembre 2026. Le règlement de SAMA exige toutefois que les banques envoient des notifications SMS instantanées pour les transactions sur compte. Les allégations concernant une échéance de SAMA circulant en ligne relèvent de la spéculation tant que SAMA n'en a pas publié une.
Que doit utiliser une banque lorsque l'application est indisponible ?
Cela dépend du régulateur : la circulaire philippine limite plutôt qu'elle n'interdit les SMS OTP, et l'Inde l'autorise comme l'un des deux facteurs distincts. Concevez une solution de secours documentée par marché — par exemple, une seconde méthode liée à l'appareil ou un canal assisté — et validez-la auprès de votre régulateur avant de vous appuyer sur SMS comme solution de secours.
Sources
- Reserve Bank of India — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 25 septembre 2025 : rbi.org.in (consulté le 26 septembre 2026).
- Bangko Sentral ng Pilipinas — Circulaire n° 1213, série 2025, signée le 30 mai 2025 : bsp.gov.ph (consulté le 26 septembre 2026).
- Gulf News — « Les banques des Émirats arabes unis cesseront l'envoi de OTPs par SMS et par e-mail à partir du 25 juillet », 24 juillet 2025 : gulfnews.com.
- Khaleej Times — Les banques des Émirats arabes unis vont progressivement supprimer les OTPs dès le 25 juillet, 24 juillet 2025 : khaleejtimes.com.
- Saudi Central Bank (SAMA) Rulebook — Service de notification SMS instantanée : rulebook.sama.gov.sa (consulté le 26 septembre 2026).