OTP et 2FA : les standards de sécurité à connaître en 2024

L'authentification à deux facteurs (2FA) est devenue un socle obligatoire pour toute plateforme manipulant des données sensibles. Au Maroc, banques, fintechs, opérateurs télécom et e-commerçants se conforment à des cadres de plus en plus exigeants, portés par Bank Al-Maghrib et la DGSSI. Panorama des standards OTP et 2FA qui structurent la sécurité en 2024.

Les grandes familles d'OTP

HOTP

Le HMAC-based One-Time Password (RFC 4226) génère un code basé sur un compteur qui s'incrémente à chaque usage. Fiable mais rarement utilisé seul aujourd'hui, il reste présent dans certains tokens matériels bancaires.

TOTP

Le Time-based One-Time Password (RFC 6238) est la variante temporelle : le code change toutes les 30 secondes selon une clé partagée. C'est le standard des applications d'authentification comme Google Authenticator, Microsoft Authenticator ou Authy.

OTP par canal (SMS, WhatsApp, email)

Ici, le code est généré côté serveur puis envoyé via un canal externe. Le niveau de sécurité dépend directement de la robustesse du canal. Un OTP par email peut être intercepté si la boîte est compromise, un SMS peut être détourné par SIM swap, un WhatsApp est protégé par le chiffrement de bout en bout mais reste soumis à la sécurité du terminal.

WebAuthn et Passkeys, la nouvelle frontière

WebAuthn et les Passkeys (Apple, Google, Microsoft) remplacent progressivement le mot de passe par une clé cryptographique liée à l'appareil, avec déverrouillage biométrique (Face ID, empreinte). C'est la méthode 2FA la plus résistante au phishing aujourd'hui, car le domaine du site est vérifié cryptographiquement.

Au Maroc, l'adoption reste embryonnaire mais quelques acteurs bancaires et SaaS commencent à proposer les Passkeys en option, notamment pour les administrateurs.

Le classement de robustesse en 2024

Du plus sûr au plus faible :

1. WebAuthn / Passkey : résistant au phishing, lié à l'appareil.
2. Application TOTP : offline, indépendant du réseau, immunisé au SIM swap.
3. Notification push avec numéro à faire correspondre : bon compromis UX / sécurité.
4. OTP WhatsApp : chiffré de bout en bout, moins exposé que le SMS.
5. OTP SMS : encore répandu mais vulnérable au SIM swap et à l'interception SS7.
6. OTP email : à réserver aux cas non critiques.

Choisir le bon niveau selon le cas d'usage

Banque et paiement

La DSP2 européenne, souvent prise en référence par les acteurs marocains, impose une authentification forte combinant deux facteurs parmi connaissance, possession et inhérence. Bank Al-Maghrib recommande dans la même veine des mécanismes robustes pour les opérations sensibles : virement externe, changement de plafond, ajout de bénéficiaire.

E-commerce et création de compte

Un OTP WhatsApp avec fallback SMS suffit pour la validation d'un compte ou la confirmation d'une commande par paiement à la livraison. L'ajout d'une signature d'app (One-tap autofill Android) améliore encore l'expérience.

Applications internes B2B

Une combinaison mot de passe + TOTP (Google Authenticator) est un excellent standard pour un ERP, un CRM ou un back-office métier, tout en restant très abordable.

Bonnes pratiques d'implémentation

• Toujours limiter la durée de validité d'un OTP à 5 minutes maximum, souvent 60 à 120 secondes suffisent.
• Limiter le nombre de tentatives à 3 ou 5 puis bloquer temporairement le compte.
• Ne jamais réafficher un OTP côté client dans les logs ou l'URL.
• Utiliser un générateur cryptographiquement sûr, pas un simple Math.random.
• Hasher et stocker uniquement l'empreinte de l'OTP côté serveur.
• Envoyer une alerte à l'utilisateur en cas de multiples échecs consécutifs.

Cadres réglementaires marocains à connaître

Plusieurs textes structurent l'approche 2FA au Maroc :

• Loi 09-08 sur la protection des données personnelles, portée par la réglementation applicable.
• Directive DGSSI sur la sécurité des systèmes d'information sensibles.
• Circulaires Bank Al-Maghrib sur la sécurité des services de paiement et de banque en ligne.

Conclusion

Le paysage OTP et 2FA se hiérarchise clairement en 2024 : WebAuthn et TOTP dominent pour les usages sensibles, WhatsApp devient la référence pour l'expérience utilisateur transactionnelle, et le SMS bascule vers un rôle de secours. Un dispositif solide combine plusieurs de ces briques, choisies selon le risque associé à chaque opération.