OTP WhatsApp vs application authenticator : le vrai comparatif

Sécuriser une authentification à deux facteurs (2FA) au Maroc pose une question stratégique : faut-il envoyer un OTP via WhatsApp, ou imposer une application authenticator type Google Authenticator, Authy ou Microsoft Authenticator ? Les deux options répondent à la même exigence sécurité, mais leur adéquation dépend fortement du profil utilisateur et du contexte métier. Comparatif honnête.

Comment fonctionne chaque solution

OTP WhatsApp

Un code à usage unique est généré côté serveur puis transmis au client via un template Meta de catégorie Authentication. L'utilisateur reçoit le message, tape sur "Copier le code" et le colle dans le formulaire. Sur Android, l'autofill peut être totalement automatique.

Application authenticator (TOTP)

Le principe repose sur le standard TOTP (Time-based One-Time Password, RFC 6238). Un secret partagé est provisionné une seule fois (souvent par QR code) ; ensuite l'application génère localement un code de 6 chiffres toutes les 30 secondes, sans connexion réseau.

Sécurité : ce que dit la théorie

Sur le plan strictement cryptographique, le TOTP local est considéré comme plus robuste : le secret ne transite jamais après le setup initial, et aucun canal externe n'est exploitable pour intercepter le code. WhatsApp OTP dépend du chiffrement de bout en bout de Meta et de la sécurité du compte WhatsApp du client (SIM swap, prise de contrôle de compte).

Attaques réalistes au Maroc

• SIM swap : rare mais documenté, il touche autant le SMS que WhatsApp OTP.
• Phishing en temps réel : un attaquant relaye le code obtenu par SMS ou WhatsApp. Les authenticator apps n'y sont pas immunisées non plus (sauf FIDO2).
• Perte du téléphone : problème majeur pour les authenticator apps sans backup cloud ; WhatsApp se restaure via numéro.

Adoption utilisateur : la vraie fracture

Au Maroc, WhatsApp est utilisé par plus de 90 % des internautes, contre une part très marginale pour les authenticator apps. Demander à un client B2C de télécharger Google Authenticator est un frein colossal : chute estimée de 30 à 60 % du taux d'inscription selon les études sectorielles. Pour un site e-commerce ou une fintech grand public, l'authenticator app est simplement inutilisable en 2025-2026.

Où l'authenticator a du sens

• B2B interne : accès à un back-office, un CRM, un ERP par des salariés formés.
• Comptes admin : très haut niveau de privilège, où le friction est acceptable voire souhaitable.
• Secteurs régulés : banque de gros, télécom, santé (accès dossier médical).

Coût comparé

OTP WhatsApp

Environ 0,14 MAD par message envoyé via un BSP marocain, plus l'éventuel abonnement plateforme. Pour 50 000 authentifications mensuelles : ~7 000 MAD/mois.

Authenticator app

Coût marginal côté utilisateur (téléchargement gratuit). Côté entreprise, coût de développement de la fonctionnalité TOTP (bibliothèque open source disponible) et surtout coût du support client massivement plus élevé : réinitialisation en cas de perte de téléphone, aide au premier setup, gestion des utilisateurs non techniques.

Expérience utilisateur

WhatsApp OTP gagne largement sur la fluidité : notification riche avec logo de la marque, un tap pour copier, aucun apprentissage. L'authenticator impose de basculer d'app, retrouver le bon compte, lire un code périssable en 30 secondes. Pour un usage quotidien technique, c'est acceptable ; pour un client qui se connecte une fois par mois, c'est un cauchemar.

Le compromis intelligent : proposer les deux

Les plateformes matures offrent WhatsApp par défaut avec un SMS fallback, et permettent en option d'activer un TOTP pour les utilisateurs avancés qui le souhaitent. C'est le meilleur des deux mondes : friction minimale par défaut, sécurité maximale pour ceux qui la demandent.

Recommandations par secteur au Maroc

• E-commerce, marketplace : WhatsApp OTP + SMS fallback. Point.
• Fintech B2C, néobanque : WhatsApp OTP par défaut, TOTP en option, biométrie in-app quand possible.
• Banque de détail : WhatsApp OTP acceptable pour connexion, TOTP ou token matériel pour virements importants.
• SaaS B2B : WhatsApp OTP à l'inscription, TOTP ou FIDO2 pour les accès admin.

Conclusion

OTP WhatsApp et authenticator app ne s'opposent pas frontalement : ils répondent à des cas d'usage complémentaires. Sur le marché marocain B2C, WhatsApp reste le choix par défaut incontournable en 2025-2026. L'authenticator garde toute sa pertinence pour les accès à privilège et les environnements professionnels formés. La vraie question n'est pas "lequel choisir" mais "comment orchestrer intelligemment les deux selon le niveau de risque".