Service OTP : construire soi-même ou utiliser un SaaS ?

Toute équipe technique confrontée au besoin d'envoyer des OTP à ses utilisateurs marocains se pose tôt ou tard la question : construire son propre service OTP à base de briques open source, ou utiliser un SaaS spécialisé ? Il n'existe pas de réponse universelle, mais un cadre de décision clair permet d'éviter les regrets. Analyse en profondeur.

Ce que fait réellement un service OTP en production

Derrière un simple "envoyer un code à 6 chiffres" se cachent de nombreuses briques :

• Génération sécurisée du code (aléatoire cryptographique).
• Persistance temporaire avec expiration.
• Rate limiting par numéro et par IP.
• Anti-bruteforce (blocage progressif).
• Envoi via un ou plusieurs canaux : WhatsApp, SMS, e-mail.
• Gestion des templates approuvés Meta.
• Fallback multi-canal en cas d'échec.
• Tracking des statuts de livraison (webhooks).
• Reporting et alertes (taux de succès, latence, coût).
• Conformité et journalisation pour audits conformité réglementaire.

Ce qui semble simple au départ devient rapidement un produit à part entière.

L'option open source : construire soi-même

Les avantages

• Contrôle total du code, des logs, des données.
• Coût unitaire potentiellement bas si le volume est élevé (on paie uniquement les messages Meta et l'infrastructure).
• Adaptation métier fine : intégration native au SI existant, règles internes spécifiques.
• Souveraineté : les données ne transitent pas par un tiers additionnel.

Les inconvénients

• Effort initial élevé : plusieurs semaines à plusieurs mois pour un service robuste.
• Maintenance continue : rotations de clés, mises à jour des SDK WhatsApp Cloud API, gestion des nouveautés Meta, monitoring 24/7.
• Complexité multi-canal : intégrer un fournisseur SMS marocain compétent pour le fallback, gérer deux comptabilités, deux SLA.
• Risque humain : la personne clé qui a construit le service part, la connaissance se perd.

L'option SaaS : utiliser une plateforme spécialisée

Les avantages

• Temps de mise en production court : quelques heures pour une intégration basique, quelques jours pour une intégration complète.
• Fonctionnalités matures : fallback SMS multi-opérateur, monitoring, dashboard, gestion des templates, tout est déjà là.
• Support et SLA : équipe dédiée en cas d'incident.
• Optimisations continues : le SaaS améliore ses coûts, ses templates, sa latence pour tous ses clients.
• Conformité outillée : registre des envois, exports pour audit, contrat de sous-traitance formalisé.

Les inconvénients

• Dépendance à un fournisseur externe.
• Coût unitaire plus élevé qu'un DIY à très gros volume.
• Personnalisation limitée aux options exposées par la plateforme.
• Passage de données par un tiers, à évaluer sous l'angle conformité réglementaire.

Grille de décision par profil

Startup et PME (moins de 10 000 OTP/mois)

Le SaaS gagne quasi systématiquement. L'effort DIY n'est pas amorti par les économies unitaires.

Scale-up (10 000 à 100 000 OTP/mois)

Le SaaS reste souvent le meilleur choix, sauf si l'équipe technique a une compétence forte sur le sujet et un besoin d'intégration très spécifique.

Grand compte (100 000+ OTP/mois)

La décision se joue au cas par cas. Certains construisent leur propre solution pour la souveraineté et le coût. D'autres continuent avec un SaaS solide qui devient un partenaire stratégique. Un hybride est possible : cœur maison + SaaS pour le fallback SMS.

Secteur régulé (banque, santé)

Le SaaS choisi doit être irréprochable sur la conformité loi 09-08 et la sécurité (chiffrement, audit trail, contrats). Un DIY sur mesure peut se justifier pour des raisons de souveraineté.

Coûts comparés à l'échelle

Pour 50 000 OTP par mois au Maroc (estimation ordre de grandeur) :

• DIY : coûts messages Meta + fournisseur SMS + infrastructure (~500 MAD/mois) + effort humain équivalent à 0,2-0,5 ETP pour maintenance.
• SaaS : abonnement mensuel (variable selon fournisseur) + coûts messages inclus ou refacturés, souvent avec une marge modérée sur les messages.

Le point d'équilibre financier arrive rarement avant plusieurs centaines de milliers de messages mensuels, mais il ne compte pas seul : la vélocité, la conformité et la résilience opérationnelle pèsent souvent plus lourd dans la décision.

Conclusion

Choisir entre open source et SaaS n'est pas un débat idéologique mais un arbitrage entre vitesse, coût, contrôle et risque. Pour la majorité des acteurs marocains — startups, PME, scale-ups —, le SaaS spécialisé reste aujourd'hui le choix rationnel : il permet de sortir en production en jours plutôt qu'en mois, avec un niveau de sécurité et de conformité mature. Les grands comptes et les acteurs régulés doivent en revanche mener une étude approfondie, parfois en faveur d'une solution maison stratégiquement positionnée.