Checklist sécurité intégration WhatsApp Business API

Mettre WhatsApp Business API en production sans sécuriser l'intégration expose l'entreprise à des fuites de données, des abus de token et des attaques par déni de service. Voici une checklist en 20 points validée sur plusieurs projets marocains à volume élevé.

Sécurité des tokens et credentials

1. Ne jamais commiter les tokens Meta dans Git. Utiliser des secrets managers (AWS Secrets Manager, HashiCorp Vault, GCP Secret Manager).
2. Faire tourner les tokens tous les 60 jours minimum via les System Users Meta.
3. Restreindre les permissions au strict nécessaire (principe du moindre privilège).
4. Séparer les credentials sandbox et production.

Sécurisation des webhooks

5. Vérifier systématiquement la signature HMAC-SHA256 envoyée par Meta dans l'en-tête X-Hub-Signature-256.
6. N'accepter les webhooks que sur HTTPS, jamais HTTP.
7. Restreindre l'IP source aux plages officielles Meta si votre firewall le permet.
8. Renvoyer rapidement HTTP 200 puis traiter en asynchrone via queue.

Protection des données messages

9. Chiffrer les messages stockés (AES-256) en base.
10. Mettre en place une politique de rétention (ex : 12 mois maximum pour conversations).
11. Journaliser les accès aux conversations par les agents et l'administration.
12. Anonymiser les données à des fins d'analytics.

Rate limiting et anti-abus

13. Implémenter un rate limit par utilisateur, par numéro et par IP.
14. Détecter les patterns anormaux (spam OTP, boucles infinies).
15. Prévoir un mode circuit breaker pour couper l'envoi si un canal est en erreur systématique.

Conformité conformité réglementaire

16. Déclarer le traitement à la réglementation applicable si non déjà couvert.
17. Documenter la base légale de chaque catégorie de messages.
18. Publier un mécanisme d'exercice des droits (accès, rectification, suppression, opposition).

Monitoring et alerting

19. Alerter en temps réel sur la note qualité Meta du numéro (Green/Yellow/Red).
20. Configurer des alertes SIEM sur les patterns suspects (multiples 401, pic de trafic, changement de comportement API).

Conclusion

Chaque point de cette checklist protège l'entreprise contre un vecteur d'attaque ou de non-conformité connu. Un audit sécurité annuel de l'intégration WhatsApp Business est aujourd'hui un standard minimal pour toute entreprise marocaine qui traite plus de 10 000 messages par mois.