Qu'est-ce qu'un numéro non VoIP, et pourquoi certains services refusent de lui envoyer un code ?

« Numéro virtuel » n'est pas ce que ça laisse croire

Quand on cherche un « numéro américain virtuel », la plupart des résultats sont des numéros internet ou des sites gratuits à boîte publique. Le problème, c'est que « virtuel » désigne justement le type de numéro que beaucoup de banques et d'applications refusent. Ce qui décide si le code arrive, ce n'est pas que le numéro soit américain, c'est le type de ligne.

Comment les services font la différence

Avant de vous envoyer un code, une entreprise peut payer une consultation qui lui dit de quel type de ligne relève votre numéro. Line Type Intelligence, de Twilio, est l'une des plus utilisées. Elle renvoie des types comme mobile, landline (fixe), fixedVoip et nonFixedVoip. Comme exemples de nonFixedVoip, sa documentation cite Google Voice et Enflick, l'entreprise derrière TextNow.

VoIP fixe et VoIP non fixe

Les deux sont des numéros internet. La différence tient au matériel. Twilio définit un numéro VoIP fixe comme “a virtual phone number associated with a physical device. For example, Comcast or Vonage.”, un numéro virtuel associé à un appareil physique. Et un numéro non fixe comme “a virtual phone number obtained online without requiring a physical device. For example, Google Voice or Enflick”, un numéro virtuel obtenu en ligne, sans appareil (Twilio).

Les non fixes se créent en une minute et ne coûtent rien à abandonner : c'est pour cela que les services qui filtrent la VoIP les considèrent comme la catégorie la plus risquée.

« Non VoIP » n'est pas un type : c'est l'absence d'une étiquette

Personne n'émet de numéros « non VoIP ». Aucun régulateur ne définit le terme, aucun opérateur ne l'imprime sur une facture, aucune base de données n'a de champ pour cela. C'est un mot que le marché a inventé pour désigner un numéro qu'une consultation commerciale n'étiquette pas comme VoIP. Cela ressemble à une querelle de mots jusqu'au jour où vous devez contester un refus : là, c'est tout le problème, puisqu'il n'y a aucune autorité à qui faire appel, faute d'autorité ayant émis l'étiquette.

Ce qu'une consultation renvoie réellement, c'est l'une des valeurs d'un ensemble fermé. Twilio publie la liste complète de Line Type Intelligence, et deux d'entre elles seulement sont les VoIP dont tout le monde parle (Twilio) :

Relisez la dernière ligne. Un numéro peut être parfaitement réel, parfaitement le vôtre, et revenir en unknown. Twilio prévient aussi que “Carrier data isn't available for phone number types: personal, tollFree, premium, sharedCost, uan, voicemail, pager, or unknown.”, qu'aucune donnée d'opérateur n'est disponible pour ces types. Un service qui juge suspect tout ce qui n'est pas mobile refusera ces numéros aussi, et son message d'erreur continuera de dire que le numéro n'est pas pris en charge.

Comment savoir de quel type est un numéro

Il n'existe pas de registre public à consulter. La vérification qu'une entreprise effectue est une consultation payante sur des données d'opérateurs, et les pages gratuites du type « est-ce de la VoIP ? » travaillent avec bien moins que cela. Trois choses à faire à la place :

1. 01Demandez à qui vous l'a fourni. L'entreprise qui vous a donné le numéro sait ce qu'il est. Un opérateur dira ligne mobile. Une appli qui vous a donné un numéro en une minute, sans SIM et sans la moindre vérification, vous a donné un numéro VoIP non fixe.
2. 02Lancez la consultation que lancent les entreprises. Line Type Intelligence, de Twilio, répond mobile, landline, fixedVoip ou nonFixedVoip pour un numéro (Twilio). C'est une API payante et non une page web, d'où la difficulté d'obtenir la réponse gratuitement.
3. 03Lisez le refus. Un service qui a déjà refusé votre numéro a fait la vérification pour vous. C'est en général à ce moment-là qu'on se met à chercher ce que le terme veut dire.

Traitez la réponse d'une consultation gratuite comme une supposition. Les numéros changent d'opérateur, et une consultation qui n'a pas suivi vous donne l'ancienne réponse avec le même aplomb que la bonne.

Pourquoi une consultation peut prendre une vraie ligne mobile pour de la VoIP

C'est la partie qui n'est presque jamais écrite, et c'est pour cela que les gens finissent par s'énerver contre un conseiller. La vérification n'est pas un fait à propos de votre numéro : c'est l'avis d'une base de données sur votre numéro, et les bases de données se trompent de façons précises et prévisibles. Une entreprise le dit tout haut à propos de sa propre détection :

• Support de Steam, sur sa propre détection de la VoIP

  “Select carriers use VoIP technology in their cellular plans and we are unable to support these.”

  Certains opérateurs utilisent la technologie VoIP dans leurs forfaits mobiles et nous ne pouvons pas les accepter.

  https://help.steampowered.com/en/faqs/view/7EFD-3CAE-64D3-1C31

C'est une entreprise qui interdit strictement la VoIP et qui reconnaît que de vrais forfaits mobiles se font prendre. Quatre choses font qu'une vraie ligne est mal lue, et toutes les quatre sont structurelles plutôt que la faute de quelqu'un :

• Le numéro a changé d'opérateur. La loi américaine le garantit. La portabilité des numéros, c'est “the ability of users of telecommunications services to retain, at the same location, existing telecommunications numbers without impairment of quality, reliability, or convenience when switching from one telecommunications carrier to another”, le droit de conserver son numéro en changeant d'opérateur sans perte de qualité ni de confort (47 CFR 52.21). Chaque portage est enregistré dans “a secure and efficient central platform called the Number Portability Administration Center (NPAC)”, une plateforme centrale (iconectiv). Une consultation restée sur l'ancien domicile de votre numéro donne la mauvaise réponse, avec assurance.
• Le numéro sort d'un bloc. Les numéros sont remis aux opérateurs par lots : la mise en commun sépare “the 10,000 numbers in a central office code (NXX)” en “ten sequential blocks of 1,000 numbers each”, les dix mille numéros d'un code de central en dix blocs de mille (47 CFR 52.20). Demandez à quel opérateur appartient un numéro : la réponse la moins chère est celle qui détient son bloc. Elle reste juste jusqu'à ce que le numéro bouge, et cesse alors de l'être en silence.
• Il a d'abord été à quelqu'un d'autre. Les numéros résiliés sont recyclés après une période de repos : les numéros résidentiels “may be aged for no less than 45 days and no more than 90 days”, de 45 à 90 jours, les numéros professionnels jusqu'à 365 (47 CFR 52.15). La FCC a fixé ce plancher délibérément : “We establish a minimum aging period of 45 days, in the middle of the proposed range, for all numbers”, un minimum de 45 jours pour tous les numéros (FCC 18-177). Quarante-cinq jours, ce n'est pas long pour que toutes les bases de données du pays s'aperçoivent que votre numéro a un nouveau titulaire et, peut-être, un nouvel opérateur.
• Votre opérateur repose réellement sur la VoIP. C'est la citation de Steam ci-dessus. Des forfaits mobiles parfaitement ordinaires font transiter la voix par IP en interne, et un détecteur qui cherche cette signature la trouve.

Ce que personne ne publie, c'est la fréquence de tout cela. La page actuelle de Line Type Intelligence n'annonce aucun taux de précision ni aucune cadence de mise à jour. Son ancienne documentation, celle de la version 1, est plus franche sur l'origine des données : le nom de l'opérateur est “often subject to change”, souvent sujet à changement, et une réponse vide signifie “The phone number is valid but no information was returned from our data providers”, que le numéro est valide mais que ses fournisseurs de données n'ont rien renvoyé (Twilio). Et le guide de Twilio qui invite les entreprises à filtrer la VoIP avant d'envoyer un code ne comporte aucune mise en garde sur les faux positifs (Twilio). Nous n'y mettrons pas de pourcentage, car aucune source de première main n'en publie.

Quoi faire quand votre propre numéro est lu comme VoIP

Il n'y a pas de procédure de recours. Aucun fournisseur de consultation ne publie de moyen pour un particulier de corriger une fiche concernant son propre numéro, et le service qui vous refuse lit la base de quelqu'un d'autre plutôt qu'il n'en tient une. Les manœuvres qui marchent sont donc toutes latérales.

1. 01Obtenez le refus par écrit, et lisez-en la formulation. Certains services disent exactement ce qu'ils ont décidé. Steam écrit “Our system will notify you when you enter your phone number if we consider it to be a VoIP number”, que le système vous prévient dès la saisie du numéro s'il le considère comme VoIP (Steam). « Nous ne pouvons pas envoyer de code à ce numéro » et « ce numéro n'est pas pris en charge » sont deux problèmes différents.
2. 02Demandez le code par appel téléphonique. Un appel vocal emprunte souvent une route que le filtre SMS ne voit jamais, et de nombreux services le proposent sans le mettre en avant.
3. 03Demandez à votre opérateur comment la ligne est enregistrée, et si elle a été portée ou réattribuée récemment. Un numéro reçu ces derniers mois est le plus susceptible de porter encore la fiche de quelqu'un d'autre.
4. 04Essayez d'abord un autre service avant de changer quoi que ce soit. Si un site accepte le numéro et pas un autre, le numéro va bien et c'est le filtre du second qui est strict. Si aucun ne l'accepte, le problème est la fiche.
5. 05Sortez le numéro de téléphone de l'équation là où vous le pouvez. Une appli d'authentification, une clé d'accès ou une clé de sécurité contournent toute la question, définitivement, et la plupart des services qui imposent le SMS en proposent une quelque part dans leurs réglages.
6. 06S'il vous faut une deuxième ligne propre, prenez-en une qui soit une ligne mobile dès le départ : votre propre SIM, une SIM prépayée américaine, ou une vraie ligne mobile souscrite en ligne. Passer à un autre numéro internet change seulement quelle base de données dit non.

Soyez lucide sur le plafond de tout cela. Personne ne peut garantir qu'un numéro donné sera lu comme mobile chez une entreprise donnée un jour donné, et le fournisseur qui vous dit l'inverse décrit une base de données qu'il ne contrôle pas. Nous compris.

Ce que veut dire « non-wireless »

Certains formulaires et conseillers parlent de “non-wireless” plutôt que de VoIP. Cela désigne tout numéro qui n'est pas une ligne mobile : fixes, VoIP fixe et VoIP non fixe. Quand on vous demande un numéro “wireless”, on vous demande une ligne mobile. Les conditions d'utilisation de Venmo, par exemple, réclament “a cellular/wireless telephone number that you own”, un numéro mobile qui vous appartient (Venmo).

Le conseil de Twilio aux entreprises qui l'utilisent est de filtrer avant d'envoyer : “VoIP numbers are often correlated with bots and don't have the same assurance that you're interacting with a real and unique user”, autrement dit les numéros VoIP sont souvent associés à des bots et n'offrent pas la même assurance d'avoir affaire à une personne réelle et unique (Twilio).

Pourquoi les règles se sont durcies

Les codes par SMS sont une cible pour la fraude. La FTC américaine a recensé 330 millions de dollars perdus dans des arnaques par SMS en 2022 (FTC). Les recommandations de sécurité ont bougé aussi. Les lignes directrices d'identité numérique du NIST (SP 800-63B, révision 4) traitent les codes envoyés par le réseau téléphonique comme un authentifiant “restricted” (restreint), et demandent aux vérificateurs de “SHOULD consider risk indicators (e.g., device swap, SIM change, number porting, other abnormal behavior)”, de tenir compte d'indicateurs de risque comme le changement d'appareil, le changement de SIM ou le portage du numéro (NIST). La révision précédente était plus tranchée : les méthodes qui ne prouvent pas la possession d'un appareil précis, “such as voice-over-IP (VOIP) or email, SHALL NOT be used”, ne doivent pas être utilisées (NIST).

Ce qu'en disent les fournisseurs de numéros internet eux-mêmes

Les entreprises qui vendent des numéros VoIP le reconnaissent dans leurs propres pages d'aide. Voici leurs mots, tels quels et en anglais, avec la traduction dessous :

• Hushed

  “NOT guaranteed to work with third-party verification due to blocks implemented by certain services”

  Le fonctionnement avec la vérification de tiers n'est PAS garanti, en raison des blocages mis en place par certains services.

  https://support.hushed.com/hc/en-us/articles/360015707631

• MySudo

  “some services do not support VoIP numbers by design”

  Certains services n'acceptent pas les numéros VoIP, par conception.

  https://support.mysudo.com/hc/en-us/articles/360019981814

• Quo (anciennement OpenPhone)

  “In many cases, services that use 2-factor authentication (2FA) don't allow virtual phone numbers to be used during the registration/verification step”

  Dans bien des cas, les services utilisant l'authentification à deux facteurs n'autorisent pas les numéros virtuels à l'inscription ou à la vérification.

  https://www.quo.com/pricing

• MultiMFA

  “MultiMFA SMS numbers are VoIP numbers. Some platforms reject VoIP numbers”

  Les numéros SMS de MultiMFA sont des numéros VoIP. Certaines plateformes refusent les numéros VoIP.

  https://multimfa.com/shared-sms-verification-number

« Non VoIP » ne veut pas dire « accepté partout »

Une ligne mobile passe la vérification du type de ligne. Elle ne vous dispense pas des autres règles d'un service : qui vous êtes, où vous êtes, l'historique de votre compte. La plupart des services qui refusent la VoIP acceptent une vraie ligne mobile. Aucun fournisseur ne peut promettre que chaque service accepte chaque numéro. Cleat non plus.

Vos options, honnêtement

1. 01Votre propre numéro mobile. Ça marche. Mais tous vos comptes dépendent alors d'une seule SIM, et votre numéro personnel atterrit sur chaque site qui en demande un.
2. 02Une SIM ou eSIM prépayée américaine. C'est une vraie ligne mobile. Il vous faut un téléphone compatible, et certains opérateurs n'activent qu'aux États-Unis : l'eSIM de Tello doit être activée en étant “physically located within the United States”, physiquement sur place (Tello).
3. 03Une appli d'authentification ou une clé de sécurité. Plus solides que les codes par SMS. Utilisez-les partout où un service en propose ; beaucoup de banques imposent encore le SMS.
4. 04Une vraie ligne mobile dédiée, utilisée en ligne. C'est ce qu'est Cleat. Un numéro mobile américain qui reçoit les SMS dans une boîte web, par e-mail, sur Telegram ou dans vos propres outils. Un titulaire vérifié, aucune SIM à installer. Cleat Line est en réception seule ; Cleat Full ajoute les appels dans l'appli web.
5. 05Les sites gratuits de « réception de SMS en ligne ». Des numéros publics, partagés, réutilisés. N'importe qui peut lire le code qui y arrive. À ne pas utiliser pour ce qui compte.

Pour qui ce n'est pas

Les lignes Cleat sont destinées à vos propres comptes et à ceux de votre équipe. Chaque ligne a un titulaire vérifié. Cleat n'est pas fait pour gérer quantité de numéros, ni pour des comptes au nom de quelqu'un d'autre, ni pour un numéro que personne ne peut relier à vous. La ligne n'envoie pas de SMS — donc un « répondez OUI pour confirmer » ne fonctionne pas — et ne joint pas le 911 ; Cleat Line ne passe pas d'appels non plus. Pourquoi nous vérifions chaque titulaire.

À lire ensuite

Google Voice fonctionne-t-il pour les codes 2FA ? · Ce qui se passe quand Google Voice reprend votre numéro · Comment avoir un numéro américain depuis l'étranger · TextNow est-il de la VoIP ? · Cleat ou Quackr · Cleat pour les expatriés et non-résidents · Un numéro 2FA partagé pour les équipes · Tarif · Ce que WhatsApp exige d’un numéro