Authentification vocale : OTP, KBA ou biométrie ?

Introduction

L’authentification vocale n’est pas un détail de call flow. C’est souvent le moment où le client décide s’il continue sereinement ou s’il commence à douter du service. Une vérification trop lourde allonge l’appel, frustre l’utilisateur et augmente le risque d’abandon. Une vérification trop faible, à l’inverse, expose l’entreprise au risque de fraude, d’usurpation ou de mauvaise décision.¹²

Le vrai sujet n’est donc pas “quelle méthode est la plus moderne ?”. Le vrai sujet est: quelle méthode est la plus adaptée au risque, au contexte métier et au niveau de confiance attendu dans le canal téléphonique ?

1. OTP, KBA et biométrie ne jouent pas le même rôle

Ces trois méthodes ne doivent pas être mises dans le même panier.

L’OTP sert à vérifier qu’un client a accès à un canal ou à un élément de possession temporaire. En voix, il peut prendre la forme d’un code lu par téléphone ou d’un code reçu ailleurs puis saisi dans le parcours. C’est une brique simple à expliquer et relativement familière pour les clients.

Le KBA, ou knowledge-based authentication, repose sur des questions censées être connues du titulaire du compte: date de naissance, montant de dernière opération, adresse, mot-clé ou autre point de connaissance. Le problème est connu: plus les questions sont stables, plus elles sont découvrables; plus elles sont spécifiques, plus elles sont difficiles à gérer proprement.

La biométrie, enfin, cherche à reconnaître la personne à partir d’une caractéristique comportementale ou physique. Dans le monde du support vocal, cela peut sembler séduisant parce que cela réduit les frictions. Mais ce n’est pas un raccourci magique.

NIST est clair: les biométries ne doivent pas être traitées comme un secret à elles seules, et l’usage d’une biométrie vocale comme comparaison d’authentification est fortement encadré.¹²

2. Pourquoi le KBA est souvent le moins robuste

Le KBA rassure parfois parce qu’il a l’air simple. En réalité, il est rarement le meilleur choix sur un support client moderne.

Les questions de connaissance sont fragiles pour plusieurs raisons:

• elles peuvent être devinées ou retrouvées ailleurs ;
• elles fatiguent le client ;
• elles créent de faux rejets quand le client ne se souvient plus ;
• elles dégradent le ton du call flow ;
• elles exposent l’entreprise à un faux sentiment de sécurité.

Le KBA peut encore rendre service dans des cas très bornés, mais il ne doit pas devenir la pierre angulaire de l’authentification. NIST recommande d’ailleurs de ne pas solliciter les utilisateurs sur ce type de questions comme mécanisme d’authentification principal.¹

En support, le coût caché est important: plus on pose de questions de connaissance, plus on consomme du temps d’agent, plus on augmente les abandons et plus on donne au client l’impression de prouver son identité plutôt que d’être aidé.

3. Quand l’OTP est le meilleur compromis

L’OTP est souvent le meilleur compromis quand le risque est modéré, que l’objectif est d’accélérer une reprise humaine ou qu’il faut simplement sécuriser un geste ponctuel. C’est particulièrement vrai quand le canal vocal doit rester fluide et compréhensible.

Twilio documente bien les parcours OTP par voix et rappelle que l’OTP peut être envoyé ou délivré par plusieurs canaux, y compris le vocal, pour confirmer une identité avant de poursuivre le parcours.³ Sur un callbot ou un standard assisté, cette logique est souvent la plus simple à expliquer.

L’OTP fonctionne bien quand:

• le cas est fréquent ;
• la décision n’est pas irréversible ;
• l’utilisateur doit prouver un accès momentané ;
• l’entreprise veut garder un niveau de friction faible ;
• la reprise humaine reste possible.

En revanche, l’OTP devient moins satisfaisant si le parcours est trop long, si le client ne reçoit pas le code, ou si l’enjeu métier exige une garantie plus forte. Dans ce cas, il faut mieux cadrer le canal ou ajouter une autre couche de contrôle.

4. Où la biométrie peut aider, et où elle doit rester prudente

La biométrie vocale attire beaucoup parce qu’elle promet une expérience plus fluide. Dans les contextes appropriés, elle peut réduire le temps de vérification et éviter de répéter des informations déjà connues. Certains éditeurs contact center la positionnent comme un moyen de réduire la friction et la fraude.⁴

Mais ce bénéfice ne doit pas masquer les limites:

• consentement et information doivent être clairs ;
• la solution doit offrir une alternative non biométrique ;
• la gouvernance des données doit être explicite ;
• les taux d’acceptation et de faux rejets doivent être suivis ;
• les cas sensibles doivent rester sous contrôle humain.

NIST encadre fortement l’usage biométrique et insiste sur l’activation par un autre facteur et sur la disponibilité d’une autre option pour l’utilisateur.¹ Dans une relation client sérieuse, cela veut dire que la biométrie ne doit pas être présentée comme une solution universelle, mais comme une option à forte contrainte.

Le bon usage se situe souvent sur les flux à volume élevé, à risque maîtrisé et à forte répétition, pas sur les cas litigieux ou émotionnellement chargés.

5. Le bon arbitrage selon le niveau de risque

Une manière simple de choisir consiste à croiser le niveau de risque et l’expérience attendue:

Ce tableau montre l’essentiel: la bonne méthode dépend moins de la technologie que du type de décision à sécuriser. Si le support n’a besoin que d’un niveau de vérification léger, un OTP suffit souvent. Si le cas engage le contrat, le remboursement ou une donnée sensible, il faut plutôt renforcer la reprise humaine et la traçabilité.

Cette logique est cohérente avec une approche 24/7 bien bornée et avec une bonne reprise humaine. L’objectif n’est pas de faire passer tout le monde par la voie la plus sécurisée. L’objectif est d’utiliser la bonne voie au bon niveau de risque.

6. Où Webotit peut intervenir proprement

Chez Webotit, la meilleure approche consiste à intégrer l’authentification dans le parcours, pas à l’ajouter comme une couche de friction séparée. Le callbot relation client peut qualifier, orienter et sécuriser un premier niveau d’accès. Le chatbot relation client peut proposer une alternative de reprise ou un parcours assisté si le client préfère le web. Les agents IA back-office peuvent ensuite préparer les dossiers qui nécessitent vérification ou escalade.

Le bon design n’est pas celui qui fait “très sécurisé” sur le papier. C’est celui qui réduit les erreurs, limite les abandons et laisse une trace exploitable si un contrôle renforcé devient nécessaire.

Conclusion

En authentification vocale, l’OTP est souvent le meilleur compromis par défaut. Le KBA reste fragile et ne doit pas devenir la référence. La biométrie peut aider quand le cadre est mûr, mais elle demande des règles plus strictes, une alternative claire et une supervision sérieuse. Le bon arbitrage n’oppose pas sécurité et expérience. Il les aligne selon le niveau de risque réel.

FAQ : authentification vocale

Q1 : Pourquoi le KBA est-il souvent déconseillé ?

R : Parce qu’il repose sur des informations devinables, oubliables ou contournables, tout en ajoutant de la friction au client.

Q2 : L’OTP suffit-il pour tous les cas ?

R : Non. Il convient très bien aux cas fréquents ou modérés, mais pas aux situations où le risque métier est élevé.

Q3 : La biométrie vocale est-elle plus sûre ?

R : Elle peut réduire certaines frictions et aider sur des flux massifs, mais elle doit être strictement gouvernée et ne pas remplacer à elle seule toute autre sécurité.

Q4 : Quel est le bon réflexe côté support ?

R : Choisir la méthode selon le risque, garder une alternative humaine et éviter de multiplier les étapes inutiles.

Sources et references

1. [1]NIST SP 800-63B.
2. [2]NIST Authenticator Assurance Levels.
3. [3]Twilio Verify.
4. [4]NiCE, “Voice Biometrics for Contact Centers”.