Alias PI-SPI ou code SMS : quelle connexion choisir ?
Code SMS, Google ou alias PI-SPI : ce que prouve chaque méthode, la résistance au SIM swap, le coût et les limites. Le comparatif pour bien choisir.
Pour se connecter à un service en ligne en Afrique de l'Ouest, la méthode la plus répandue reste le code reçu par SMS. Les comptes Google et Facebook sont aussi très utilisés. Depuis le lancement de PI-SPI par la BCEAO, une nouvelle option apparaît : se connecter avec son alias PI-SPI, l'identité étant confirmée par sa banque ou son wallet. Comment ces méthodes se comparent-elles ? Voici un comparatif honnête, avec leurs forces et leurs limites.
Comment fonctionne chaque méthode#
Le code SMS. Vous saisissez votre numéro de téléphone, le service vous envoie un code à usage unique par SMS, vous le recopiez. Le service sait que vous avez accès à ce numéro, rien de plus.
Google ou Facebook. Vous cliquez sur « Continuer avec Google » : le service reçoit votre nom et votre email, confirmés par Google. Il sait que vous possédez ce compte, pas qui vous êtes réellement.
L'alias PI-SPI. Vous saisissez votre alias, le service vous envoie une petite demande de vérification que vous validez dans l'application de votre banque ou de votre wallet, avec votre code ou votre empreinte. Le service sait que vous êtes le titulaire d'un compte dans un établissement de l'UEMOA, et connaît le nom tel que votre banque l'a enregistré.
Le comparatif#
Critère | Code SMS | Google / Facebook | Alias PI-SPI |
|---|---|---|---|
Ce qui est prouvé | L'accès à un numéro | La possession d'un compte en ligne | La titularité d'un compte bancaire ou de wallet |
Nom vérifié | Non | Non (nom déclaré par l'utilisateur) | Oui, tel qu'enregistré par l'établissement |
Résistance au vol de numéro (SIM swap) | Faible | Bonne, si le compte est bien protégé | Bonne : la validation se fait avec le code ou l'empreinte de l'application bancaire |
Coût pour le service | Chaque SMS envoyé est facturé | Gratuit | Dépend du fournisseur |
Fonctionne sans internet | Oui (réception du SMS) | Non | Non (il faut l'application de sa banque) |
Couverture | Tout téléphone | Toute personne ayant un compte | Les clients d'établissements raccordés à PI-SPI, en cours d'extension |
Les forces et les limites du code SMS#
Le code SMS a un atout majeur : tout le monde peut le recevoir, même sur un téléphone simple. Mais il prouve seulement qu'on a accès à un numéro. Si un fraudeur obtient une nouvelle carte SIM à votre nom (le SIM swap), il reçoit vos codes à votre place. Les spécialistes de la sécurité recommandent d'ailleurs de ne plus compter uniquement sur le SMS pour protéger les comptes sensibles.
Pour les services, chaque SMS envoyé a un coût, qui grimpe vite avec le nombre d'utilisateurs, et les messages n'arrivent pas toujours.
Les forces et les limites de Google ou Facebook#
La connexion avec Google ou Facebook est rapide et gratuite. Mais elle ne dit rien de la personne réelle : un compte se crée en quelques minutes, avec le nom que l'on veut. Pour un service qui a besoin de savoir à qui il a affaire (une marketplace, un service financier, une location), ce n'est pas suffisant.
Les forces et les limites de l'alias PI-SPI#
Sa force, c'est la preuve : l'établissement financier confirme que l'alias appartient bien à la personne, avec le nom qu'il a enregistré. La validation se fait dans l'application bancaire, protégée par le code secret ou l'empreinte, ce qui la rend beaucoup plus difficile à détourner qu'un SMS.
Ses limites sont réelles aussi :
Il faut un compte dans un établissement raccordé à PI-SPI, et son application.
Le raccordement est progressif. Toutes les banques et tous les wallets ne proposent pas encore la validation des demandes, et elle peut encore être instable chez certains.
Il faut une connexion internet pour valider dans l'application.
Quelle méthode pour quel usage ?#
Une application de contenu, un forum, un jeu : Google ou le SMS suffisent souvent.
Une marketplace, un service de livraison ou de location : vérifier le nom réel limite les faux comptes et les fraudes. L'alias PI-SPI apporte cette garantie.
Un service financier ou administratif : la preuve bancaire est un vrai plus, à combiner avec les vérifications prévues par la réglementation.
En résumé#
Le code SMS est universel mais fragile, Google est rapide mais anonyme, et l'alias PI-SPI apporte une identité confirmée par la banque, au prix d'une couverture encore en construction. Pour beaucoup de services, la bonne réponse sera de proposer l'alias PI-SPI en premier, et de garder une autre méthode en secours le temps que tous les établissements soient prêts.
Sources#
PI-SPI est le système de paiement instantané de la BCEAO. pismile est un service indépendant : cet article informe, il ne remplace pas les communications officielles de la BCEAO ou de votre banque.
