Qu'est-ce qu'un numéro non VoIP, et pourquoi certains services refusent de lui envoyer un code ?

« Numéro virtuel » n'est pas ce que ça laisse croire

Quand on cherche un « numéro américain virtuel », la plupart des résultats sont des numéros internet ou des sites gratuits à boîte publique. Le problème, c'est que « virtuel » désigne justement le type de numéro que beaucoup de banques et d'applications refusent. Ce qui décide si le code arrive, ce n'est pas que le numéro soit américain, c'est le type de ligne.

Comment les services font la différence

Avant de vous envoyer un code, une entreprise peut payer une consultation qui lui dit de quel type de ligne relève votre numéro. Line Type Intelligence, de Twilio, est l'une des plus utilisées. Elle renvoie des types comme mobile, landline (fixe), fixedVoip et nonFixedVoip, et sa documentation cite Google Voice et Enflick, l'entreprise derrière TextNow, comme exemples de nonFixedVoip.

Le conseil de Twilio aux entreprises qui l'utilisent est de filtrer avant d'envoyer : “VoIP numbers are often correlated with bots and don't have the same assurance that you're interacting with a real and unique user”, autrement dit les numéros VoIP sont souvent associés à des bots et n'offrent pas la même assurance d'avoir affaire à une personne réelle et unique (Twilio).

Pourquoi les règles se sont durcies

Les codes par SMS sont une cible pour la fraude, et celles et ceux qui les reçoivent aussi : la FTC américaine a recensé 330 millions de dollars perdus dans des arnaques par SMS en 2022 (FTC). Les recommandations de sécurité ont évolué elles aussi. Les lignes directrices d'identité numérique du NIST (SP 800-63B, révision 4) traitent les codes envoyés par le réseau téléphonique comme un authentificateur “restricted”, c'est-à-dire restreint (NIST). La révision précédente était plus directe : les méthodes qui ne prouvent pas la possession d'un appareil précis, “such as voice-over-IP (VOIP) or email, SHALL NOT be used”, ne doivent pas être utilisées (NIST).

Ce que disent les fournisseurs de numéros internet eux-mêmes

Les entreprises qui vendent des numéros VoIP le reconnaissent sur leurs propres pages d'aide. Voici leurs mots, littéralement et en anglais :

• Hushed

  “NOT guaranteed to work with third-party verification due to blocks implemented by certain services”

  https://support.hushed.com/hc/en-us/articles/360015707631

• MySudo

  “some services do not support VoIP numbers by design”

  https://support.mysudo.com/hc/en-us/articles/360019981814

• Quo (anciennement OpenPhone)

  “In many cases, services that use 2-factor authentication (2FA) don't allow virtual phone numbers to be used during the registration/verification step”

  https://www.quo.com/pricing

• MultiMFA

  “MultiMFA SMS numbers are VoIP numbers. Some platforms reject VoIP numbers”

  https://multimfa.com/shared-sms-verification-number

« Non VoIP » ne veut pas dire « accepté partout »

Une ligne mobile passe la vérification du type de ligne. Elle n'exempte personne des autres règles d'un service : qui vous êtes, où vous êtes, l'historique de votre compte. La plupart des services qui écartent la VoIP acceptent une vraie ligne mobile. Aucun fournisseur ne peut promettre que chaque service accepte chaque numéro, et Cleat non plus.

Vos options, honnêtement

1. 01Votre propre numéro de mobile. Ça marche, mais tous vos comptes dépendent alors d'une seule SIM, et votre numéro personnel finit sur chaque site qui en demande un.
2. 02Une SIM ou eSIM prépayée américaine. C'est une vraie ligne mobile. Il vous faut un téléphone compatible ou un emplacement eSIM, et certains opérateurs n'activent qu'aux États-Unis : l'eSIM de Tello doit être activée en étant “physically located within the United States”, physiquement sur place (Tello).
3. 03Une application d'authentification ou une clé de sécurité. Plus solides que les codes par SMS. Utilisez-les partout où un service les propose ; beaucoup de banques imposent encore le SMS.
4. 04Une vraie ligne mobile dédiée, utilisée en ligne. C'est ce qu'est Cleat : un numéro mobile américain qui reçoit les SMS dans une boîte web, par e-mail, sur Telegram ou dans vos propres outils, avec un titulaire vérifié et aucune SIM à installer. Elle est en réception seule.
5. 05Les sites gratuits pour « recevoir des SMS en ligne ». Des numéros publics, partagés et réutilisés. N'importe qui peut lire un code qui y arrive. Ne les utilisez pour rien qui compte.

À qui ça ne s'adresse pas

Les lignes Cleat sont faites pour vos propres comptes et ceux de votre équipe, et chaque ligne a un titulaire vérifié. Cleat n'est pas fait pour gérer beaucoup de numéros, pour des comptes au nom de quelqu'un d'autre, ni pour un numéro que personne ne peut relier à vous. Pourquoi nous vérifions chaque titulaire.

À lire ensuite

Comment avoir un numéro américain depuis l'étranger · Un numéro américain pour expatriés et non-résidents · Un numéro 2FA partagé pour les équipes · Une alternative à Google Voice · Tarif