Transactionnel, OTP ou marketing : cadre opérationnel pour classer le trafic SMS A2P avant l’envoi

La classification doit précéder le routage

La classification du trafic SMS A2P n’est pas une étiquette commerciale ajoutée à la fin du processus. C’est une décision de gouvernance opérationnelle qui doit intervenir avant le choix d’une route, d’un émetteur, d’un modèle, d’une politique de fréquence ou d’un traitement des incidents.

Ce cadre OTP, transactionnel et marketing est un cadre opérationnel interne. Il ne constitue pas une classification juridique universelle ni une nomenclature applicable de manière identique chez tous les régulateurs, opérateurs, marchés ou routes. Les définitions, catégories et exigences de destination peuvent différer et doivent être examinées avant l’envoi.

Un même programme de messagerie peut comprendre différents cas d’usage. Par exemple, la connexion à un compte peut nécessiter un OTP, un achat peut générer une confirmation fonctionnelle et une campagne ultérieure peut promouvoir des produits ou des services. Regrouper ces trois cas sous une étiquette générique telle que « notifications » rend plus difficile l’application de contrôles cohérents et la démonstration du bien-fondé de chaque envoi.

La décision doit être liée au cas d’usage, et non uniquement au message individuel. Ainsi, les équipes opérations, produit, conformité et routage travaillent à partir d’une définition commune, révisable lorsque le modèle, le déclencheur, le pays de destination ou la base de contacts évoluent.

• Classez avant l’envoi, et non après avoir observé les résultats techniques.
• Appliquez la classification au cas d’usage et à ses règles de génération.
• Réexaminez la classification lorsque le contenu, la finalité, la destination ou le flux produit changent.
• N’utilisez pas une catégorie pour contourner les exigences applicables sur un marché ou une route.
• Vérifiez les catégories réglementaires, contractuelles et de route applicables à chaque destination.

Trois catégories opérationnelles : OTP, transactionnel et marketing

OTP, transactionnel et marketing décrivent des finalités opérationnelles différentes. La distinction ne dépend pas uniquement d’un mot dans le texte, d’une étiquette interne de campagne ou du fait que le message soit envoyé automatiquement.

Un OTP est lié à une opération précise d’authentification ou de récupération et transmet un secret de courte durée. Un message transactionnel communique les informations nécessaires lors d’un événement de service. Un message marketing vise à promouvoir, persuader ou encourager une action commerciale auprès d’une audience.

Ces catégories peuvent être soumises à des règles différentes selon le pays, l’opérateur, la route et la relation avec le destinataire. La classification interne doit donc être prudente et ne remplace pas l’examen des exigences réglementaires, contractuelles et de connectivité applicables à chaque destination.

• OTP : permet une opération d’authentification ou de récupération au moyen d’un secret à usage limité.
• Transactionnel : informe sur un événement de service et se limite à ce qui est nécessaire pour cet événement.
• Marketing : comporte une finalité promotionnelle, persuasive ou commerciale, y compris lorsqu’il s’adresse à des contacts existants.

Le texte seul ne détermine pas la catégorie

Des termes comme « code », « confirmation », « alerte » ou « offre » fournissent des indices, mais ne suffisent pas à eux seuls pour déterminer la classification. Un message contenant un code n’est un OTP que s’il est déclenché par une opération d’authentification précise, si le code permet d’effectuer cette opération et si le flux applique des contrôles adéquats de durée de validité, d’utilisation et de tentatives.

De même, une confirmation de commande peut être fonctionnelle si elle communique des informations nécessaires sur un achat déjà effectué. Si elle ajoute une vente croisée, une réduction ou une invitation à acheter de nouveau, elle comporte une finalité promotionnelle qui doit être évaluée séparément.

La classification doit prendre en compte l’ensemble du flux : qui reçoit le message, quel événement le déclenche, quelle action il permet, quelle relation le justifie et quel composant commercial il contient.

• Ne classez pas un message comme OTP uniquement parce qu’il contient des chiffres ou le mot « code ».
• Ne classez pas une campagne comme transactionnelle uniquement parce qu’elle s’adresse à des clients existants.
• Ne conservez pas une classification fonctionnelle si une nouvelle version du modèle ajoute une persuasion commerciale.
• Documentez le lien entre le message et l’événement ou la transaction qui le déclenche.

Quatre questions pour classer chaque cas d’usage

Un cadre reproductible commence par quatre questions. Elles doivent recevoir une réponse pour chaque cas d’usage, modèle et destination pertinente, sans reposer sur des hypothèses générales concernant la marque ou le secteur.

La première question porte sur ce qui déclenche le message. La deuxième concerne l’action qu’il permet ou l’information nécessaire qu’il fournit. La troisième porte sur la relation avec le destinataire qui justifie le contact. La quatrième consiste à déterminer si le contenu comporte une valeur promotionnelle ou persuasive.

Si les réponses changent à la suite d’une modification du produit, d’une nouvelle automatisation ou d’une variante de modèle, le cas doit être réexaminé.

• Qu’est-ce qui le déclenche ? Exemples : demande de connexion, achat finalisé, changement de statut d’un service ou campagne planifiée.
• Quelle action permet-il ? S’authentifier, récupérer un accès, consulter une information de service, accomplir une action contractuelle ou acheter.
• Quelle relation le justifie ? Une demande initiée par l’utilisateur, une transaction existante, une relation de service ou une base de contacts documentée.
• Quelle valeur promotionnelle comporte-t-il ? Réductions, incitations à acheter, recommandations commerciales, avantages ou ventes croisées.

Cadre applicable aux OTP : authentification précise, contexte et contrôles des tentatives

Un OTP doit être associé à une opération précise d’authentification ou de récupération. Le NIST décrit l’authentification hors bande comme une opération liée entre le canal principal et le canal secondaire, et non comme le simple envoi d’un code par SMS. La classification OTP exige donc d’enregistrer la demande à l’origine du message et l’action que le secret permettra d’accomplir.

Le contenu doit être court et contextualisé. Le destinataire doit pouvoir reconnaître le service et la demande à laquelle le code correspond. Le NIST indique que les messages hors bande doivent inclure des informations contextuelles, telles que le nom du service auquel l’accès est demandé.

Dans le cadre de l’authentification hors bande décrit par NIST SP 800-63B, le secret doit être aléatoire, ne doit être accepté qu’une seule fois et l’authentification doit être considérée comme non valide si elle n’est pas terminée dans les dix minutes. Cette version de la publication exige également que le vérificateur génère des secrets d’au moins six chiffres décimaux ou équivalents.

Le contrôle des tentatives ne doit pas se limiter au renvoi de messages. NIST SP 800-63B exige une limitation des tentatives lorsque le secret fait moins de 64 bits et précise que la génération d’un nouveau secret ne doit pas réinitialiser le compteur des tentatives échouées. Les règles de renvoi, de validation et de blocage doivent faire partie du flux d’authentification et rester corrélées à l’événement d’origine.

Les SMS OTP ne doivent pas être présentés comme une authentification résistante au phishing. Le NIST indique expressément que l’authentification hors bande n’est pas résistante au phishing. Lorsque la transmission d’un secret utilise le réseau téléphonique public, NIST SP 800-63B indique que les vérificateurs doivent prévoir des types alternatifs d’authentificateurs pour tous les abonnés. La publication recommande également de prendre en compte des signaux de risque, tels qu’un changement d’appareil, un changement de carte SIM, un portage ou d’autres comportements anormaux avant l’envoi du secret.

• Liez chaque OTP à une demande identifiable d’authentification ou de récupération.
• Incluez un contexte reconnaissable concernant le service et l’opération demandée.
• Utilisez un secret aléatoire, à usage unique et à durée de validité limitée.
• Appliquez des limites de tentatives et ne réinitialisez pas le compteur lors de la génération d’un nouveau code.
• Contrôlez les renvois et évaluez les signaux de risque avant de transmettre le secret lorsque cela est pertinent.
• Comme politique interne de séparation des finalités, n’ajoutez pas de réductions, d’offres, de recommandations ou d’autres incitations commerciales au modèle OTP.
• Maintenez des méthodes d’authentification alternatives pour les utilisateurs.

Cadre applicable aux messages transactionnels : événement de service et information indispensable

Un message transactionnel communique des informations nécessaires concernant un événement de service. Il peut s’agir, par exemple, d’une confirmation de commande, d’un changement de statut, d’une alerte opérationnelle ou d’un rappel lié à une relation de service. La classification dépend de l’existence d’un événement identifiable qui justifie l’envoi.

Le modèle doit se limiter aux informations indispensables pour que le destinataire comprenne l’événement ou agisse en conséquence. Si l’objectif principal est d’informer sur un achat, un service ou une action déjà initiée, le message peut rester dans cette catégorie au sein d’un cadre opérationnel. Si le modèle cherche à générer un achat supplémentaire, à capter une attention commerciale ou à encourager une nouvelle décision, il doit être réexaminé comme message marketing ou mixte.

Il est recommandé d’enregistrer la référence de l’événement : identifiant de commande, d’incident, de rendez-vous, de compte ou de processus interne, selon le cas. Il n’est pas nécessaire d’inclure toutes ces données dans le texte du SMS, mais des éléments de preuve internes doivent permettre de relier l’envoi à l’événement qui l’a déclenché.

• Exigez un déclencheur de service vérifiable.
• Limitez le modèle aux informations utiles et nécessaires pour cet événement.
• Conservez une référence de corrélation entre le message et l’événement d’origine.
• Réexaminez toute modification introduisant des recommandations, des incitations, des ventes croisées ou des appels commerciaux à l’action.
• Ne présumez pas qu’une relation antérieure supprime les exigences applicables en matière de confidentialité ou de communications commerciales.

Cadre applicable au marketing : promotion, persuasion et audience documentée

Un message doit être traité comme du marketing lorsque sa finalité est de promouvoir une offre, de persuader d’acheter, de recommander un produit ou un service, de réactiver une audience ou de stimuler une action commerciale. La classification reste marketing même si le destinataire est déjà client, même si le message contient des informations utiles ou même s’il est programmé dans le cadre d’une automatisation.

Le cadre européen de protection des données encadre le traitement des données à caractère personnel. Dans l’Union européenne, les obligations concrètes applicables aux communications électroniques de marketing par SMS, y compris celles relatives au consentement, au soft opt-in, à l’identification et aux mécanismes de désinscription, dépendent des règles nationales ePrivacy et de la juridiction concernée. La finalité promotionnelle et la base de contacts applicable doivent être documentées pour la destination concernée, mais cette documentation ne remplace pas l’examen des règles applicables ni ne suffit, à elle seule, à légitimer l’envoi.

Le marketing requiert des contrôles spécifiques de l’audience et de l’exclusion. Avant l’envoi, l’équipe doit pouvoir déterminer quel segment reçoit la communication, pourquoi il est éligible, quelles restrictions s’appliquent et comment seront traitées les demandes ou statuts d’exclusion pertinents.

• Classez comme marketing les réductions, offres, recommandations, invitations à acheter et campagnes de réactivation.
• Conservez une documentation sur la finalité et la base de contacts applicable à la destination.
• Vérifiez les règles de communications commerciales électroniques applicables au pays concerné, en plus des exigences de protection des données.
• Appliquez des listes d’exclusion et des règles d’éligibilité avant de constituer l’audience finale.
• Définissez des politiques de fréquence et des horaires compatibles avec les exigences applicables et l’expérience attendue par le destinataire.
• Examinez les émetteurs, modèles et routes selon les restrictions du pays et de la connectivité utilisée.

Cas limites et messages mixtes

Les cas limites exigent d’analyser la finalité dominante et chaque composant du contenu. Une confirmation de commande sans élément promotionnel peut être transactionnelle. Cette même confirmation accompagnée d’une offre de vente croisée contient déjà un composant marketing. Conserver l’étiquette transactionnelle au seul motif qu’elle inclut des données de commande n’est pas une décision suffisamment prudente.

Un rappel de renouvellement peut être fonctionnel s’il informe sur une date, un statut ou une action nécessaire dans le cadre d’un service existant. S’il devient une invitation à souscrire une amélioration, à étendre un forfait ou à profiter d’une réduction, il doit être réexaminé au regard de son composant promotionnel.

Les alertes de solde, les invitations et la récupération de compte nécessitent également du contexte. Une alerte de service peut être fonctionnelle ; une invitation visant à acquérir de nouveaux utilisateurs a généralement une finalité promotionnelle ; et un message de récupération de compte qui ajoute une offre ne doit pas conserver automatiquement une classification OTP ou transactionnelle.

Face à un message mixte, trois options opérationnelles prudentes existent : séparer les envois, supprimer le composant promotionnel du message fonctionnel ou appliquer les contrôles les plus restrictifs qui sont applicables. Ce critère interne ne rend pas à lui seul un envoi autorisé et ne remplace pas l’examen des exigences locales, contractuelles et d’opérateur. Séparer les messages ne règle pas à lui seul la licéité de l’envoi ni l’éligibilité de l’audience. Le choix doit être documenté.

• Confirmation de commande avec vente croisée : séparez la confirmation et la promotion, ou appliquez au message mixte les contrôles marketing applicables.
• Rappel de renouvellement : conservez-le comme fonctionnel uniquement s’il informe sur le service sans persuasion commerciale supplémentaire.
• Alerte de solde : vérifiez si elle communique un fait de service ou si elle stimule un achat ou une recharge au moyen d’un avantage.
• Invitation : analysez s’il s’agit d’une communication nécessaire dans le cadre d’une relation existante ou d’une action d’acquisition.
• Récupération de compte avec offre : séparez le secret ou l’instruction de récupération de toute promotion.
• Vérifiez séparément les exigences locales, contractuelles et d’opérateur, y compris lorsque les communications sont séparées.