Normes de sécurité SMS OTP 2026 : ce que NIST, PSD2, PCI DSS et les banques centrales exigent réellement

Les mots de passe à usage unique SMS sont restreints, mais non interdits, dans les principales normes en 2026. NIST SP 800-63B-4 (juillet 2025) classe les SMS et les codes vocaux comme un authentificateur « restreint » qui reste autorisé auprès de AAL2 si le fournisseur propose une alternative et explique le risque, mais pas auprès de AAL3. Selon PSD2, l'Autorité bancaire européenne accepte un SMS OTP comme élément de possession. PCI DSS 4.0.1 exige une MFA résistante au rejeu et impossible à contourner sans nommer SMS. La RBI de l'Inde a explicitement maintenu SMS OTP à partir du 1er avril 2026. Les restrictions réelles sont plus ciblées : les banques à Singapour, Hong Kong, Malaisie, aux Émirats arabes unis et aux Philippines ont déplacé les connexions ou les transactions à haut risque vers une authentification liée à une application ou à un appareil. Chaque exigence ci-dessous renvoie à sa source.

Les règles en un coup d'œil

NIST SP 800-63B-4 : restreint, non interdit

NIST a publié la version finale du SP 800-63B-4 en juillet 2025, remplaçant la norme 800-63-3. Elle considère les codes à usage unique envoyés via le réseau téléphonique public (SMS ou voix) comme un **authentificateur restreint** (section 3.2.9). Un fournisseur utilisant ce type de code doit proposer au moins une alternative non restreinte, informer clairement les utilisateurs des risques, les intégrer dans son évaluation des risques et maintenir un plan de migration ; si la partie prenante juge le risque inacceptable, ce code ne doit pas être utilisé.

• **Niveaux d'assurance :** les codes hors bande sont autorisés au niveau AAL2, combinés à un mot de passe ou une biométrie, mais pas au niveau AAL3, qui exige des authentificateurs cryptographiques résistants au phishing. Les vérificateurs AAL2 doivent proposer au moins une option résistante au phishing.
• **Règles du code :** au moins 6 chiffres issus d'un générateur aléatoire approuvé, accepté une seule fois et valide pour un maximum de 10 minutes ; verrouillage après un maximum de 100 tentatives infructueuses consécutives.
• **Signaux de risque :** avant l'envoi d'un code, les vérificateurs devraient contrôler le changement de terminal, le changement de SIM et la portabilité du numéro (il s'agit d'une recommandation et non d'une obligation).
• L'**e-mail** ne doit pas être utilisé comme authentificateur hors bande.

Pour les contrôles de changement de SIM et de portabilité, consultez Number Verify and SIM Swap APIs et la défense contre la fraude au swap SIM.

CISA : ciblant des personnes hautement visées

Le Mobile Communications Best Practice Guidance de CISA du 18 décembre 2024 stipule : « N'utilisez pas SMS comme second facteur d'authentification », car SMS n'est pas crypté et « n'est pas résistant au phishing, et n'est donc pas une méthode d'authentification forte pour les comptes de personnes hautement visées ». Son public cible est composé de hauts responsables gouvernementaux et politiques, et il recommande FIDO comme seule méthode résistante au phishing. Il s'agit d'une recommandation et non d'une règle pour les services grand public.

UE : PSD2 accepte SMS OTP ; PSD3 n'est pas encore une loi

Les normes techniques de réglementation sur l'authentification forte du client (Règlement délégué (UE) 2018/389), applicables depuis le 14 septembre 2019, fixent le niveau d'exigence pour tout mot de passe à usage unique utilisé lors de paiements :

• **Article 4 :** le code d'authentification n'est accepté qu'une seule fois et ne peut être falsifié ; au maximum 5 tentatives infructueuses consécutives avant un blocage ; au maximum 5 minutes d'inactivité après la connexion.
• **Article 5 (liaison dynamique) :** le payeur voit s'afficher le montant et le bénéficiaire, et le code lui est spécifiquement dédié ; tout changement l'invalide.
• **Article 7 :** les éléments de possession doivent faire l'objet de mesures contre l'utilisation et la réplication non autorisées.
• **Article 9 :** les éléments doivent être indépendants ; sur un appareil polyvalent tel qu'un téléphone, une exécution sécurisée séparée et une détection d'effraction sont requises.

La EBA a confirmé dans Q&A 2018_4039 qu'un SMS OTP peut constituer un élément de possession s'il est protégé contre la réplication, et son avis de juin 2019 liste les OTP via SMS comme élément de possession valide. PSD3 et le Règlement sur les services de paiement sont parvenus à un accord politique en novembre 2025, mais au 22 octobre 2026, ils sont toujours en attente d'adoption finale et de publication ; nous n'avons trouvé aucune disposition ciblant SMS OTP dans le texte convenu.

PCI DSS 4.0.1 : SMS n'est pas nommé

PCI DSS 4.0.1 exige une authentification multifacteur pour tout accès à l'environnement des données du titulaire de la carte (exigence 8.4.2) et définit le fonctionnement de la MFA (8.5.1) : résistance au rejeu, impossibilité de contournement sans exception documentée et limitée dans le temps, utilisation d'au moins deux types de facteurs différents, chaque facteur devant impérativement réussir. Les deux sont devenus obligatoires le 31 mars 2025. La norme n'interdit pas SMS (formulation rapportée ; la norme elle-même est soumise à licence) ; le supplément d'information MFA de la PCI SSC note seulement la mise en garde antérieure de NIST concernant SMS.

Régulateurs de la zone Asie-Pacifique

• **Singapour :** la MAS et l'Association des banques de Singapour ont annoncé le 9 juillet 2024 que les principales banques de détail supprimeraient progressivement les OTP pour la connexion dans un délai de trois mois pour les clients disposant d'un jeton numérique (publication MAS). Les clients possédant des jetons physiques n'étaient pas concernés.
• **Hong Kong (banques) :** la circulaire de la HKMA du 14 avril 2025 fait de l'appareil lié le mode par défaut, au lieu du SMS OTP, pour la connexion et les transactions à haut risque, avec des objectifs fixés aux T3 et T4 2025. Le SMS OTP reste possible pour les clients n'ayant pas l'application ou qui choisissent de l'utiliser (circulaire HKMA).
• **Hong Kong (courtiers et plateformes d'actifs virtuels) :** la circulaire SFC 26EC35 du 9 juillet 2026 interdit les OTP pour la connexion des clients et l'appairage de l'appareil, au profit des passkeys ou des appareils liés, d'ici le 8 juillet 2027.
• **Malaisie :** la Bank Negara Malaysia a exigé que les institutions financières migrent des SMS OTP vers une authentification plus sécurisée, comme annoncé le 26 septembre 2022 (BNM).
• **Inde :** les directives RBI sur les mécanismes d'authentification pour les transactions de paiement numérique de 2025 exigent une authentification à deux facteurs avec un lien dynamique à partir du 1er avril 2026 ; la RBI a précisé que le cadre « ne prévoit pas l'abandon des OTP basés sur SMS » (RBI).
• **Philippines :** la circulaire BSP 1213, signée en mai 2025, limite l'authentification interceptable telle que le SMS OTP pour les grandes institutions, exige des méthodes biométriques, comportementales ou sans mot de passe pour les transactions à haut risque et interdit les liens et les codes QR dans SMS, avec une mise en conformité prévue pour juin 2026 (BSP).

Le Golfe

Aux Émirats arabes unis, les banques ont fait passer leurs clients de l'authentification par SMS et par e-mail OTP à l'authentification intégrée (in-app) entre le 25 juillet 2025 et le 31 mars 2026, selon les rapports de l'avis de la Banque centrale ; aucun texte CBUAE public n'était disponible. Les expéditeurs non bancaires aux Émirats arabes unis utilisent encore largement les SMS OTP. Consultez SMS OTP après l'interdiction bancaire et le calendrier de la réglementation de la messagerie A2P.

Idées reçues courantes

• **« NIST a interdit SMS. »** Non. Le SMS est un authentificateur restreint, autorisé à AAL2 sous certaines conditions et exclu uniquement à AAL3.
• **« PSD2 interdit SMS OTP. »** Non. La EBA l'accepte comme élément de possession ; les exigences strictes sont le lien dynamique et la protection contre la réplication.
• **« PCI DSS 4.0 interdit l'authentification multifacteur (MFA) SMS. »** Non. Elle exige une MFA résistante au rejeu et impossible à contourner, et ne mentionne pas le SMS.
• **« CISA a dit à tout le monde d'arrêter d'utiliser SMS. »** Exagéré. Les directives ciblent les individus hautement visés par le gouvernement et la politique.
• **« PSD3 est déjà une loi. »** Pas en date du 22 octobre 2026.
• **"L'Inde supprime progressivement SMS OTP."** Non. Le RBI n'a explicitement pas exigé son arrêt.
• **"Singapour a interdit SMS OTP."** Plus précisément : la connexion bancaire pour les clients disposant d'un jeton numérique.

Une checklist pour SMS OTP respectant ces normes

1. 1Générez des codes d'au moins 6 chiffres à partir d'un générateur aléatoire cryptographiquement sécurisé ; n'acceptez chaque code qu'une seule fois ; faites-les expirer sous 10 minutes (5 minutes est la norme pour les paiements).
2. 2Limitation des tentatives : PSD2 bloque après 5 échecs consécutifs ; NIST autorise au maximum 100 tentatives avant le verrouillage.
3. 3Pour les paiements dans l'UE, affichez le montant et le bénéficiaire dans le message et liez le code à ceux-ci (liaison dynamique).
4. 4Vérifiez les signaux de changement de SIM et de portabilité du numéro avant d'envoyer un code lors d'une session à haut risque.
5. 5Proposez au moins une alternative plus robuste (notification push, passkey, FIDO) et conservez SMS comme canal de secours et de récupération.
6. 6Maintenez le trafic OTP de nature transactionnelle : aucun lien ni offre dans le message contenant le code, ce qui permet également de rester en dehors des plages de silence marketing et des blocages de liens.
7. 7Envoyez via des routes opérateur directes et surveillées, protégées par un pare-feu SMS, afin que les codes ne soient ni interceptés, ni retardés, ni détournés.

La OTP API de BroadNet délivre des codes via plus de 1 000 connexions directes avec les opérateurs et une bascule multicanal ; découvrez la vérification OTP multicanal, le passage de SMS OTP aux passkeys et, pour les opérateurs, le pare-feu SMS et la SS7 protection.

Foire aux questions

L'SMS OTP est-il encore autorisé en 2026 ?

Oui, dans la plupart des normes. NIST SP 800-63B-4 le classe comme restreint mais autorisé à AAL2, PSD2 l'accepte comme élément de possession, PCI DSS ne l'interdit pas et la RBI de l'Inde l'a maintenu. Certains régulateurs, notamment la MAS de Singapour, la HKMA de Hong Kong et la BSP des Philippines, ont déplacé les connexions bancaires ou les transactions à haut risque vers des méthodes plus robustes.

NIST a-t-il interdit l'authentification à deux facteurs SMS ?

Non. NIST SP 800-63B-4 (juillet 2025) qualifie les codes SMS et vocaux d'authentificateur restreint : les fournisseurs doivent proposer une alternative non restreinte, expliquer le risque et l'évaluer. L'SMS est autorisé pour AAL2 mais pas pour AAL3, qui exige des authentificateurs résistants au phishing.

L'SMS OTP PSD2 est-il conforme ?

Cela peut l'être. La Q&A 2018_4039 de EBA accepte un SMS OTP comme élément de possession s'il est protégé contre la réplication, et pour les paiements, le code doit être dynamiquement lié au montant et au bénéficiaire conformément à l'article 5 du RTS sur l'authentification forte du client.

L'PCI DSS 4.0 autorise-t-il l'SMS pour le MFA ?

L'PCI DSS 4.0.1 ne nomme ni n'interdit l'SMS. Les exigences 8.4.2 et 8.5.1, obligatoires depuis le 31 mars 2025, imposent un MFA pour tout accès à l'environnement des données du porteur de carte, lequel doit résister au rejeu, ne pas pouvoir être contourné et utiliser au moins deux types de facteurs différents.

Quelle doit être la durée de validité d'un SMS OTP ?

Pas plus de 10 minutes dans le cadre du NIST SP 800-63B-4, et chaque code ne peut être utilisé qu'une seule fois. De nombreux flux de paiement utilisent 5 minutes ou moins, conformément à la limite d'inactivité de PSD2.

Quels pays restreignent le SMS OTP pour le secteur bancaire ?

Singapour (connexion bancaire, pour les clients disposant d'un jeton numérique, dès 2024), Hong Kong (appareils liés par défaut pour la connexion bancaire et les transactions à haut risque en 2025 ; pour les courtiers d'ici juillet 2027), la Malaisie (migration requise depuis 2022), les Émirats arabes unis (le OTP bancaire passera en application d'ici mars 2026, selon les rapports) et les Philippines (transactions à haut risque dans les grandes institutions, d'ici juin 2026).

Le PSD3 est-il en vigueur ?

Pas encore au 22 octobre 2026. Le PSD3 et le Règlement sur les services de paiement ont fait l'objet d'un accord politique en novembre 2025 et attendent leur adoption finale et leur publication au Journal officiel.

Quel est le moyen le plus sûr d'envoyer un OTP par SMS ?

Utilisez des codes à usage unique d'au moins 6 chiffres aléatoires expirant en quelques minutes, limitez les tentatives, vérifiez les signaux de SIM-swap et de portabilité pour les sessions à risque, ne mettez aucun lien dans le message, et assurez une livraison via des routes directes d'opérateur protégées par un pare-feu SMS, tout en proposant une méthode plus robuste en complément.