Un pare-feu SMS de couche application placé devant votre SMSC qui inspecte chaque message entrant en temps réel : filtrage du contenu, authentification de l’expéditeur, limitation du débit, routage intelligent et protection antifraude basée sur l’apprentissage automatique. Bloquez le spam, le phishing et le trafic non autorisé avant qu’ils n’atteignent votre système principal, avec une garantie de revenus intégrée.
Nous envoyons également du trafic A2P. Il traverse votre pare-feu selon les mêmes règles que tout autre expéditeur, et votre équipe est responsable des décisions. Comment le pare-feu traite notre trafic
BroadNet vend de la messagerie d'entreprise et les pare-feu qui la filtrent ; la première question d'un opérateur est donc légitime : que fait le pare-feu du trafic de BroadNet lui-même ? La réponse est inscrite dans le fonctionnement de chaque déploiement.
« Le fait que le même fournisseur vende leur CPaaS à nos clients entreprises explique pourquoi les chiffres correspondent réellement aux rapports. »
Le trafic entreprise de BroadNet atteint vos abonnés par le même pare-feu et selon les mêmes règles que celui de tout autre agrégateur ou expéditeur. Aucune exemption pour le fournisseur.
Vos équipes fraude et assurance revenus sont propriétaires des règles. Chaque modification est versionnée et exige un second approbateur (principe des quatre yeux), et les listes blanches de faux positifs sont contrôlées par l'opérateur. Chaque verdict est une décision de votre réseau, et les données restent les vôtres.
Chaque décision est journalisée avec la règle déclenchée et s'exporte en CSV, JSON ou PDF pour les litiges entre partenaires et les demandes du régulateur. Un litige portant sur le trafic de BroadNet se règle sur les mêmes journaux que tout autre.
Les catégories de règles suivent les référentiels GSMA FS.11 et FS.19 : votre équipe et votre régulateur évaluent le pare-feu selon un cadre sectoriel publié, et non selon la taxonomie privée d'un fournisseur.
Le pare-feu fonctionne de manière transparente entre vos partenaires d'interconnexion et votre SMSC. Chaque message A2P et P2P entrant est inspecté, évalué et traité avant d'atteindre le cœur du réseau, à la vitesse de signalisation et en préservant l'ordre des messages.
Le trafic MO et A2P entre dans le SMSC et le STP via des liaisons SMPP et des liens SS7 provenant de partenaires d'interconnexion.
Inspection en temps réel du TPDU, de l'identifiant de l'expéditeur, du contenu, de l'UDH et de l'origine de la signalisation. Score de risque par message : 0 à 1,0 en moins d'une milliseconde.
Règles : score, route, partenaire, marque. Verdict : autorisé · quarantaine · blocage · journalisation.
Le trafic propre est acheminé vers le SMSC existant de l'opérateur. Aucun réordonnancement, aucune duplication.
L'abonné ne reçoit que les messages légitimes et facturés. Le trafic mis en quarantaine est restitué au tarif international A2P.
Le trafic MO et A2P entre dans le SMSC et le STP via des liaisons SMPP et des liens SS7 provenant de partenaires d'interconnexion.
Inspection en temps réel du TPDU, de l'identifiant de l'expéditeur, du contenu, de l'UDH et de l'origine de la signalisation. Score de risque par message : 0 à 1,0 en moins d'une milliseconde.
Règles : score, route, partenaire, marque. Verdict : autorisé · quarantaine · blocage · journalisation.
Le trafic propre est acheminé vers le SMSC existant de l'opérateur. Aucun réordonnancement, aucune duplication.
L'abonné ne reçoit que les messages légitimes et facturés. Le trafic mis en quarantaine est restitué au tarif international A2P.
Capacités
Filtrage de contenu par IA, authentification de l'expéditeur, limitation du débit, routage intelligent et lutte contre la fraude par apprentissage automatique : tous les contrôles dont un opérateur a besoin, exécutés en ligne au niveau du SMSC en temps réel.
Inspectez chaque requête MAP, SMPP et HTTP au niveau du SMSC et du réseau de signalisation. Décodez les TPDU, l'identifiant de l'expéditeur, le contenu, l'encodage et les en-têtes UDH, sans altérer l'ordre des messages.
Évaluation des risques par message, basée sur un trafic étiqueté provenant d'opérateurs de premier plan. Détecte les nouvelles signatures de spam, les kits de phishing et les techniques de contournement plusieurs heures après leur apparition.
Identification comportementale basée sur la vitesse, le renouvellement IMSI, la diversité des destinataires, l'origine de la signalisation et l'homogénéité du contenu. Détectez les fermes de cartes SIM avant qu'elles n'épuisent vos ressources de terminaison.
Validation cryptographique et par registre de chaque expéditeur alphanumérique. Détectez l'usurpation d'identité de banques, d'administrations et d'opérateurs de télécommunications avant que le SMS n'atteigne le destinataire.
Validation des routes par rapport aux accords commerciaux. Les origines SS7, les comptes SMPP et les adresses IP sources sont vérifiés par rapport à la liste des partenaires monétisés de l'opérateur. Le trafic de contournement est bloqué ou mis en quarantaine en vue de sa monétisation.
Intégration native aux registres nationaux et privés d'identifiants d'expéditeurs. Obligation d'enregistrer les expéditeurs par juridiction, automatisation de l'intégration des marques et génération de journaux d'audit conformes aux exigences réglementaires.
Couverture des menaces
| vecteur d'attaque | Contrôle du pare-feu | Résultat |
|---|---|---|
| Contournement de la route grise et des fermes de cartes SIM A2P | Validation des routes par rapport aux accords commerciaux, ainsi qu'une empreinte digitale du boîtier SIM sur la vitesse, le changement d'IMSI et l'homogénéité du contenu. | Le trafic de contournement est interrompu ou mis en quarantaine pour monétisation — au tarif de la ligne. |
| Sender-ID et usurpation de marque | Validation, par registre, de chaque expéditeur alphanumérique par rapport à l'opérateur et au registre national sender-ID. | L'usurpation d'identité de banques, de gouvernements et d'opérateurs de télécommunications est bloquée avant d'atteindre l'abonné. |
| Contenu de smishing et d'hameçonnage | Inspection approfondie des paquets (TPDU, contenu, encodage et URL), évaluée par le moteur de détection de fraude ML à auto-apprentissage. | Les contenus et liens malveillants sont mis en quarantaine conformément à la politique en vigueur, tandis que les flux A2P sains restent intacts. |
| Expéditeurs non enregistrés / hors juridiction | Application des registres nationaux et privés des opérateurs sender-ID selon la juridiction. | Seuls les émetteurs enregistrés sont admis ; les autres sont retenus en attendant leur intégration avec un registre conforme aux exigences réglementaires. |
| SS7 - Soumissions injectées et hors réseau | La liste blanche d'origine SS7 MAP a été vérifiée par rapport à la liste des partenaires monétisés. | Les origines SS7 non conformes à l'accord ont été signalées et abandonnées avant même d'atteindre le noyau. |
| Inondations de spam et pics de débit | Tranches de vitesse par route et notation des risques par message. | Les inondations ont été rapidement maîtrisées ; le trafic légitime et l'ordre des messages ont été préservés. |
moteur de règles à 3 piliers
La couche application nécessite l'application des protocoles, la gestion des politiques commerciales et l'adaptation comportementale au sein d'un même moteur. Ces trois piliers fonctionnent comme un seul et même chemin de décision, avec une latence ajoutée inférieure à 10 ms par message.
Application des règles au niveau du protocole. Autorisation/refus des opérations MAP (contrôle précis MAP_MT_FORWARD_SM vs MAP_SEND_ROUTING_INFO), filtrage des codes de point OPC/DPC, contrôles du titre global, conditions MCC/MNC par partenaire. Toute unité de signalisation malformée est rejetée lors du décodage.
Politique commerciale formalisée sous forme de données. Sélection des routes selon les accords partenaires, règles par catégorie de produit (OTP, transactionnel, promotionnel), monétisation du trafic de contournement vers les canaux A2P convenus. Le pare-feu garantit le respect du contrat, et non la simple application des spécifications.
Application dynamique des règles comportementales. Seuil de TPS, détection des pics de trafic, plages horaires, vitesse par compte GT ou SMPP d'origine. Cette couche dynamique détecte ce que les règles statiques ne peuvent pas : campagnes émergentes, nouveaux parcs de box SIM, anomalies d'itinérance soudaines.
Génération anti-trafic · ATG
La couche anti-génération de trafic est une couche d'apprentissage continu qui permet au pare-feu de garder une longueur d'avance sur les opérateurs de routes grises. Les modèles sont réentraînés sur les données de référence propres à l'opérateur, combinées à des signaux anonymisés provenant du réseau d'inspection BroadNet. Les heuristiques sont lisibles par l'humain afin que l'équipe antifraude puisse auditer, épingler ou bloquer toute signature.
Vitesse soutenue inférieure à la seconde à partir d'un petit pool MSISDN, caractéristique des schémas de rotation des banques de cartes SIM. Forme du seuil et de la rafale apprise pour chaque route.
Entropie de Shannon élevée au niveau des MSISDN de destination associée à une faible entropie au niveau du contenu — l'empreinte canonique du boîtier SIM.
Contenu répétitif avec des expéditeurs changeants, expéditeurs alphanumériques jamais enregistrés, formats d'expéditeur incohérents avec la géographie apparente.
Incohérence entre l'origine déclarée GT, MCC/MNC et le chemin SCCP réellement emprunté par le message sur le réseau.
Contrôles de contenu et d'identité
Trois contrôles qui, ensemble, comblent l'écart entre « le message est techniquement valide » et « le message devrait être autorisé à atteindre un abonné ».
Les entreprises enregistrées soumettent des identifiants d'expéditeur et des modèles de messages approuvés. Le trafic entrant est comparé à la liste blanche : les expéditeurs et modèles approuvés sont traités sans difficulté ; les expéditeurs inconnus sont soumis à un contrôle plus strict. Le système prend en charge les langues et l'Unicode, y compris les scripts complexes.
Chaque URL est extraite, normalisée et comparée à une base de données de réputation en temps réel recensant les kits de phishing connus, les distributeurs de logiciels malveillants et les domaines similaires récemment enregistrés. Les liens suspects bloquent l'intégralité du message avant même que l'abonné ne le voie.
L'authentification par compte, les limites de débit, les classes de contenu autorisées, les préfixes d'identifiant d'expéditeur autorisés et les plages de destinations autorisées sont appliqués lors de la liaison et réappliqués à chaque envoi. Les comptes SMPP sont des objets de stratégie à part entière, et non de simples identifiants.
Échelle de production
L'enveloppe de capacité à laquelle la plateforme fonctionne réellement aujourd'hui — à travers les opérateurs qui acheminent leurs SMS A2P, P2P et d'itinérance via le plan d'inspection de BroadNet.
Capacité d'inspection par groupe, pour SMPP et SS7.
Réseaux d’opérateurs équipés du pare-feu BroadNet en MENA, en Afrique et en Asie.
Portée des opérateurs alimentant la base de données mondiale sur les menaces.
Tableau de bord des revenus recouvrés
Chaque message bloqué, mis en quarantaine ou refacturé est associé à une route, un partenaire, un expéditeur ou une signature. La vue des revenus récupérés est affichée à côté de la vue de protection ; ainsi, les équipes finance, RA et sécurité consultent la même source d’information, ventilée par route et par type de signature.
Pourquoi une plateforme unique
Séparer la protection contre la fraude et la monétisation A2P sur deux plateformes distinctes entraîne une double perte de revenus : une première fois à cause des pratiques douteuses, et une seconde fois à cause des frais d’intégration. BroadNet, quant à lui, centralise la détection, l’application des politiques et le recouvrement des revenus sur une seule et même plateforme, avec un historique d’audit unique et un tableau de bord opérateur partagé.
Du lancement initial à la mise en œuvre en production, incluant la configuration de base en miroir passif, l'optimisation des règles en fonction du trafic de l'opérateur et le processus de validation qui favorise l'intégration de la première règle. Le même chemin emprunté par tous les déploiements de niveau 1.
Comment les opérateurs déploient
Pas de transition brutale. Chaque phase est conditionnée par l'approbation de l'opérateur et des preuves mesurables — à l'image de l'adoption réelle de nouveaux équipements par les réseaux de télécommunications.
Déploiement en mode miroir passif au niveau du SMSC et du SS7. Inspection de 100 % du trafic entrant A2P et P2P sans risque pour la livraison. Première base de référence anti-fraude disponible en 7 jours.
Le système de notation par apprentissage automatique (ML) par message est désormais opérationnel. L'identifiant de l'expéditeur, la route, le contenu, le comportement et la réputation historique sont regroupés en un seul indicateur de risque. Les opérateurs ajustent les seuils pour chaque route.
Activez la mise en application des restrictions par route, par partenaire et par identifiant d'expéditeur. Les routes grises, les boîtiers SIM et les marques usurpées sont éliminés. L'expérience de l'abonné s'améliore immédiatement.
Le trafic de contournement mis en quarantaine est proposé aux émetteurs au tarif A2P commercial. Les revenus A2P internationaux, auparavant perdus au profit des routes non sécurisées, réintègrent le compte de résultat de l'opérateur.
Politique et intégration
Des ensembles de règles YAML déclaratifs, une API de notation par message et une liste blanche SS7 MAP que vos ingénieurs STP reconnaîtront — version contrôlée, mise en avant par les fabricants et les vérificateurs, auditée par défaut.
# /etc/broadnet/firewall/rules.d/grey-route.yaml# Drop SMPP traffic from non-commercial partnersrule: block_unauthorized_smpp match: bind_system_id: !in [partners.commercial.list] source_ip: !in [partners.allowlist.cidrs] action: quarantine bill_at: a2p_international_rate rule: smpp_simbox_velocity match: msisdn_velocity: "> 12/min" recipient_unique: "> 80% in 5m" content_homology: "> 0.92" action: block notify: fraud-ops@operator.tld rule: spoofed_bank_senders match: sender_id: !registered_in [tdra.sender_registry] content: matches /OTP|verification|password/i action: drop audit: regulator_report.csvConformité et certification
Membre associé de la GSMA. Les contrôles du pare-feu sont alignés sur les directives de sécurité de GSMA en matière de messagerie et de signalisation ( FS-series ).
Conformément au code de conduite du MEF relatif à l'identification de l'expéditeur des SMS et aux directives de confiance dans les communications d'entreprise.
Exploité sur une infrastructure certifiée ISO 27001 avec des contrôles SOC 2 Type II, une résidence des données conforme au RGPD et une piste d'audit complète.
Oui. Notre moteur de verdict distingue les communications P2P des communications A2P en combinant la liaison source, l'origine du signal, le format de l'identifiant de l'expéditeur et l'empreinte comportementale. Le taux de faux positifs P2P de nos déploiements de niveau 1 est inférieur à 0,002 % des opérations de messagerie inspectées, ce qui est largement inférieur aux seuils de tolérance des autorités de réglementation dans les juridictions TDRA, CRA et NTRA. Nous affichons le taux de faux positifs par catégorie sur le tableau de bord de l'opérateur afin que les équipes d'évaluation des risques puissent l'auditer chaque semaine.
Les trois. Nous commençons presque toujours en mode miroir sur un point de prélèvement passif au niveau du SMSC et du SS7 pendant 7 à 21 jours, ce qui permet aux équipes de lutte contre la fraude et d'autorisation de disposer d'une base de référence fiable sans risque pour la distribution. Une fois les seuils d'application des règles définis, ces mêmes nœuds passent en mode intégré avec une disponibilité de niveau opérateur. L'architecture hybride est courante pour les infrastructures SMSC multi-fournisseurs : en mode intégré sur les serveurs frontaux de niveau 1 modernes, en mode miroir derrière les anciens équipements SMSC.
Nous nous positionnons de manière transparente en amont du SMSC via SMPP 3.4/5.0 et en aval du STP pour SS7. Notre solution est intégrée à tous les principaux fournisseurs de SMSC de niveau 1 ainsi qu'à plusieurs solutions internes. Aucune modification de la configuration du SMSC n'est requise : le pare-feu se présente comme un partenaire SMPP en amont et préserve l'ordre des messages, le transfert des DLR et la sémantique des CDR.
Le modèle anti-fraude est réentraîné chaque nuit sur le trafic étiqueté issu des données de référence de l'opérateur (litiges RA, files d'attente de réclamations, avis des autorités de régulation), combiné aux signaux anonymisés du flux mondial de BroadNet. Les signatures critiques (un kit de phishing récemment observé, un nouveau schéma de vitesse d'envoi de carte SIM) sont intégrées en quelques minutes comme règles prioritaires par notre équipe anti-fraude à Dubaï. Les opérateurs peuvent valider ou désactiver n'importe quelle version du modèle depuis le tableau de bord.
Oui. En tant que membre associé de la GSMA, nous respectons les recommandations de sécurité GSMA. Le pare-feu est livré avec les packs de tests IR.71, IR.81 et IR.82 afin que votre équipe de sécurité puisse effectuer des tests de régression après chaque modification de règle. La catégorisation 2 1 3 appliquée à chaque lien et à chaque liaison, et le moteur de règles applique le traitement recommandé par la GSMA pour chaque catégorie, y compris la suppression silencieuse des paquets de catégorie 3 avec journal d'audit, exigée par plusieurs autorités de régulation de la région MENA.
Le coût est calculé par message inspecté, selon le volume mensuel, sans frais par liaison ni par lien. Des frais d'intégration uniques sont à prévoir, ainsi qu'une faible cotisation annuelle de maintenance couvrant les mises à jour des signatures, l'équipe de lutte contre la fraude et les audits d'architecture trimestriels. La plupart des déploiements de niveau 1 sont rentabilisés dès le premier trimestre grâce aux seuls revenus A2P récupérés.
Chaque décision est consignée dans un registre inviolable conservé pendant la période réglementaire de l'opérateur (généralement de 12 à 84 mois). Le module de reporting inclut des modèles pour TDRA (Émirats arabes unis), CST (Arabie saoudite), CRA (Qatar), TRA (Oman), TRA (Bahreïn), NTRA (Égypte), TRC (Jordanie), ARPT (Algérie), ANRT (Maroc) et INT-T (Tunisie). Les rapports trimestriels sont exportés aux formats CSV, XML ou PDF signé.
Oui. Les seuils sont hiérarchiques : opérateur par défaut → route → partenaire → marque → ID de l’expéditeur. Le tableau de bord affiche le seuil effectif pour chaque verdict et permet à votre équipe d’assurance qualité de tester un nouveau seuil (A/B testing) sur le trafic des 30 derniers jours avant sa mise en production. Les mises en production sont soumises à un processus de validation avec un historique complet.
Vous avez besoin d'un cahier des charges architectural ou d'une séance de travail avec nos ingénieurs opérateurs ? Réservez une évaluation du pare-feu SMS
Les pare-feu SMS et SS7 du réseau bloquent les routes grises et la fraude à débit maximal tandis que le trafic légitime reste intact.
Une séance de travail de 30 minutes avec les ingénieurs qui déploient ces équipements chez les opérateurs de premier plan. Apportez votre plan de réseau et votre compte de résultat A2P du trimestre précédent : nous vous indiquerons où se situe la fuite.
Observez le pare-feu décider du trafic d'échantillonnage.
Smishing, SMS pumping, usurpation d'identité de l'expéditeur et contournement par voie grise : verdict, raison, latence et action, du point de vue de l'opérateur et de l'entreprise.
Ressources
Fiche produit Pare-feu SMS
Approfondissez les concepts derrière ce produit.