Le message est là, à l’écran. Six chiffres, envoyés il y a quelques secondes. Mais le champ du site reste vide, aucune suggestion n’apparaît au-dessus du clavier, et le code qui devait vous faire gagner quelques secondes doit maintenant être lu, retenu et retapé — c’est exactement le moment où l’on intervertit deux chiffres et où l’on conclut que quelque chose est cassé.
TL;DR : Si vous voyez le code, le message a été livré, et ce qui a échoué est la saisie et non la livraison. Le remplissage automatique est un confort que le téléphone ou le navigateur ajoute par-dessus un message déjà arrivé, et il n’apparaît que lorsque plusieurs conditions distinctes sont réunies. Sur Android, Chrome demande l’autorisation la première fois qu’il reconnaît un champ de code à usage unique, puis ne remplit que lorsque vous touchez une invite. Une suggestion absente n’est pas un verdict sur l’authenticité d’un site. Vérifiez le service, le compte et la demande en cours avant de saisir le code, et ne contournez pas un écart entre le domaine nommé dans le message et la page que vous utilisez.
Le remplissage automatique est un confort, pas le chemin de livraison
Il est utile d’être clair sur la partie de la chaîne qui a réellement échoué.
Un code de vérification vous parvient par un message. Que ce message arrive ou non dépend du numéro auquel il a été envoyé et de la ligne qui détient ce numéro — un sujet distinct, avec ses propres causes, et qui compte si vous attendez par exemple un code sur un forfait de voyage data uniquement.
Le remplissage automatique se pose par-dessus. Une fois qu’un message a atterri quelque part que le système d’exploitation peut lire, le système peut proposer de placer le code dans un champ à votre place. Si cette proposition n’apparaît pas, rien n’a changé au message lui-même — ce qui ne revient pas à dire que le code est encore valable. Un message visible peut être ancien, avoir été remplacé, ou répondre à une autre demande que celle qui est à l’écran. Et lorsqu’un code est lié à un domaine, une suggestion absente peut refléter le fait que la page ne correspond pas au domaine que le code nomme, ce qui mérite d’être vérifié plutôt que contourné.
La première chose à trancher est donc simplement de savoir si vous voyez un code. Si oui, un message a bien été livré, et tout ce qui suit concerne les derniers centimètres entre le message et la case — une fois que vous avez vérifié que le code devant vous appartient au service, au compte et à la demande que vous êtes réellement en train de traiter.
Ce qui doit s’aligner avant qu’un code soit proposé
Plusieurs conditions indépendantes doivent être remplies en même temps, ce qui explique que cette fonctionnalité soit plus fragile qu’il n’y paraît.
Le système doit reconnaître le champ comme un champ de code à usage unique. Une case qui vous paraît évidente n’est pas forcément reconnue comme telle. La façon dont un site le signale relève de son implémentation, et ce n’est pas quelque chose que vous pouvez fournir ou modifier de votre côté.
L’autorisation doit exister. Sur Android, Google documente que Chrome demande une autorisation la première fois qu’il identifie un champ de code de vérification SMS à usage unique. La page de Google traite aussi le cas où cet accès a été refusé auparavant, ce qui mérite d’être vérifié avant de conclure que la fonctionnalité est indisponible.
Vous devez agir. Le remplissage n’est pas silencieux. Le comportement documenté de Chrome est qu’une invite s’affiche et que le code est saisi lorsque vous la touchez. Sur iPhone, la documentation d’Apple sur le remplissage automatique des codes reçus par SMS décrit un code détecté et suggéré au-dessus du clavier, que vous touchez. Dans les deux cas, le code est proposé, pas inséré à votre place.
Le message doit se trouver là où la fonctionnalité regarde. Cette condition a sa propre section, plus bas.
Pour les codes liés à un domaine, le domaine nommé dans le message doit correspondre. Apple documente le remplissage automatique pour les codes SMS liés à un domaine : le code porte le domaine auquel il appartient, et le remplissage automatique le compare au domaine courant de Safari ou au domaine associé d’une application. Apple présente cela comme une protection contre l’hameçonnage. Là où les deux ne correspondent pas, aucune suggestion n’est proposée.
Android expose également des réglages pour cela. La page de Google décrit des options de remplissage automatique des codes de vérification couvrant les codes dans les applications et les sites et les codes dans votre navigateur par défaut, ce qui est bon à savoir avant de conclure qu’un téléphone en est tout simplement incapable.
Où est le code, et où le remplissage automatique va chercher
Cette distinction n’est pas une question de réglages, et c’est justement pour cela qu’elle mérite d’être vérifiée tôt.
Les fonctionnalités SMS décrites ici lisent les messages arrivés dans le système de messagerie propre au téléphone. Si un code vous est parvenu ailleurs, ces fonctionnalités-là n’ont rien sur quoi agir. C’est une affirmation sur le remplissage automatique des SMS documenté plus haut et non sur toutes les intégrations existantes : Apple documente par exemple le remplissage automatique des codes de vérification depuis Mail dans Safari, donc les autres canaux ne sont pas exclus par principe et les capacités diffèrent selon les navigateurs, les gestionnaires de mots de passe et les appareils.
Le cas le plus net est celui d’un numéro de vérification loué. Quand vous commandez un numéro chez nous, les messages de cette commande apparaissent dans la boîte de réception de la commande, dans votre compte, sur l’écran que vous avez ouvert. C’est une page web qui affiche le contenu d’un message reçu par un numéro que vous avez loué, et non un message dans l’application de messagerie de votre téléphone. Le remplissage automatique des SMS décrit ici lit les messages du téléphone : il n’a donc rien sur quoi agir là, et faire passer le code d’un côté à l’autre est une copie que vous effectuez vous-même. C’est une affirmation sur cette fonctionnalité et non sur toutes les intégrations qu’un navigateur ou un gestionnaire de mots de passe pourrait proposer.
Quelque chose de comparable s’applique quand un code arrive dans l’application d’un service ou sur une plateforme de messagerie plutôt que par SMS. La fonctionnalité regarde à un endroit précis, et si le code ne s’y trouve pas, son silence ne dit rien sur le code lui-même. L’e-mail n’est pas un exemple net de ce cas, puisque Apple documente le remplissage automatique des codes depuis Mail dans Safari ; ce qu’un canal sans rapport prend en charge dépend de la combinaison application, navigateur et système.
Ce que le symptôme indique
| Ce que vous voyez | Ce avec quoi c’est compatible | Premier point à vérifier |
|---|---|---|
| Code visible dans les messages du téléphone, aucune invite | Autorisation non accordée ou refusée auparavant, ou champ non reconnu | Si le remplissage automatique des codes de vérification est activé pour les applications et pour votre navigateur |
| L’invite apparaît mais le champ reste vide | Le focus est sur un autre champ, ou la page a changé au moment où vous avez touché | Touchez directement la case du code, puis suivez ce que le parcours propose ensuite |
| Le code est sur la page de commande d’un numéro loué | Attendu — ce message n’est pas arrivé dans l’application de messagerie du téléphone | Copiez-le vous-même depuis la page de commande |
| Une suggestion apparaît avec un code plus ancien | Plusieurs codes sont présents et le plus récent n’est pas forcément celui qui est proposé | Lisez le code dans le message lui-même et comparez avant de toucher |
| Aucune suggestion sur un site, des suggestions ailleurs | Possiblement un code lié à un domaine sans site correspondant, ou un champ non signalé | Si vous avez atteint ce site par vous-même plutôt que par un lien |
Cette dernière ligne est celle avec laquelle il faut être prudent dans les deux sens. Une suggestion absente n’établit pas qu’un site est frauduleux, et une suggestion présente n’établit pas qu’il est sûr. Avoir démarré le parcours soi-même est nécessaire mais ne tranche pas non plus. La liaison à un domaine est une vraie protection : là où un code nomme un domaine qui ne correspond pas à la page où vous êtes, c’est cet écart qu’il faut prendre au sérieux plutôt que de le contourner.
Deux situations à dérouler
Les deux sont hypothétiques, écrites pour montrer le raisonnement plutôt que pour rapporter un cas réel.
Le code qui n’a jamais touché le téléphone. Quelqu’un loue un numéro pour s’inscrire à un service, garde la page de commande ouverte sur un ordinateur portable et déroule l’inscription sur ce même ordinateur. Le code arrive et est visible dans la boîte de réception de la commande. La personne passe ensuite un certain temps à chercher pourquoi son téléphone ne propose pas de le remplir. Le téléphone n’a jamais reçu ce message : il a été livré à un numéro loué et affiché sur une page web. Le remplissage automatique des SMS décrit ici n’a rien à lire, donc copier le code depuis la page de commande est la réponse simple. Si le code n’y est pas apparu du tout, c’est une question de livraison et non de remplissage automatique, et ce qu’un numéro temporaire peut et ne peut pas faire pour un second code est la lecture pertinente.
La suggestion absente interprétée comme un avertissement. Quelqu’un ouvre un service familier, demande un code, le reçoit, et remarque que la suggestion qu’il obtient d’habitude au-dessus du clavier n’apparaît pas cette fois. Sa première pensée est que le site est peut-être faux. Cette déduction n’est pas fondée : une suggestion peut manquer parce que le champ n’est pas signalé comme champ de code, parce que l’autorisation a été refusée à un moment, ou parce que le code est lié à un domaine qui ne correspond pas à la page où il se trouve — et aucune de ces raisons ne distingue un site authentique d’un site frauduleux. La façon dont il est arrivé là compte toujours : suivre un lien reçu dans un message ou un e-mail est une raison de s’arrêter, de quitter la page et de rejoindre le service comme il le ferait normalement avant de recommencer. Mais taper une adresse ou ouvrir un favori enregistré n’est pas en soi la preuve qu’une destination est authentique, et cela ne tranche donc pas non plus la question. Avant de saisir le code, ce qui mérite d’être confirmé, c’est qu’il nomme le service et le compte attendus, qu’il répond à la demande affichée devant lui, et que la page où il se trouve est celle pour laquelle le code a été émis. Un écart de domaine n’est pas quelque chose à contourner sous prétexte que le parcours a été démarré par soi-même.
Saisir un code à la main sans créer un nouveau problème
Saisir un code manuellement est une chose normale à faire, et la prudence qui s’y attache est étroite et précise.
Tapez-le dans un parcours que vous avez démarré, après avoir vérifié que le code nomme le service et le compte attendus et qu’il répond à la demande affichée. Avoir atteint le site par vous-même est nécessaire mais ne suffit pas à soi seul. Ne lisez un code à personne à voix haute, ne le transférez pas, ne le collez pas dans une conversation et ne le saisissez pas sur une page vers laquelle quelqu’un d’autre vous a dirigé — un point traité plus longuement dans que faire d’un code de vérification que vous n’avez pas demandé.
Lisez le code dans le message plutôt que dans l’aperçu d’une notification si plusieurs sont arrivés, puisque la notification la plus récente n’est pas toujours le code le plus récent.
Si le code est refusé après une saisie soigneuse, vérifiez qu’il concerne bien le service et le compte auxquels vous vous connectez, qu’il répond à la demande actuellement affichée, et s’il a dépassé la durée de validité que le service indique. Suivez les instructions que le parcours affiche lui-même ; demander un autre code n’est possible que là où ce parcours le propose. Si le numéro a peut-être été mal saisi à un moment antérieur, vérifier le format du numéro et la façon dont il a été saisi est l’endroit où regarder.
Une chose à ne pas faire : n’accordez pas un accès large à vos messages à une application sans rapport dans l’espoir de faire fonctionner le remplissage automatique. La fonctionnalité n’en a pas besoin, et l’échange est mauvais.
Limites de ce guide
Ce texte décrit les conditions dans lesquelles un téléphone ou un navigateur propose un code, en s’appuyant sur la documentation de Google pour Chrome sur Android et sur les documents d’Apple pour l’iPhone. Il ne couvre pas tous les appareils, lanceurs ou claviers, et les écrans de réglages diffèrent d’un fabricant à l’autre même quand le comportement sous-jacent correspond.
Le fait que le champ d’un site donné soit reconnu relève de l’implémentation de ce service. Un lecteur peut l’observer mais ne peut pas le changer, et les réglages de votre propre appareil ne s’y substituent pas.
Ce guide se limite aux fonctionnalités de remplissage automatique des SMS qui y sont nommées. D’autres intégrations existent — Apple documente le remplissage automatique des codes depuis Mail dans Safari — et ce que prend en charge une combinaison donnée de navigateur, de gestionnaire de mots de passe et d’appareil sort de ce qui est décrit ici.
Le comportement du remplissage automatique n’est pas à lui seul un moyen fiable de distinguer un site authentique d’un site frauduleux, et ce guide ne le présente pas comme tel. La liaison à un domaine est une vraie protection, donc un écart mérite de l’attention plutôt qu’un contournement ; ce qu’elle ne fournit pas, c’est un verdict qui se lirait sur une invite absente.
Nos réponses d’aide couvrent le volet commande, et un ticket de support est la voie pour tout ce qui concerne spécifiquement une commande passée chez nous.
FAQ
Le code est dans mes messages mais rien ne m’est proposé. Le code est-il cassé ?
L’absence d’invite ne dit rien de décisif sur le code. Un message visible a été livré, et l’échec de la couche de confort n’y change rien. Cela n’établit pas non plus que le code est encore d’actualité — il pourrait être plus ancien, ou répondre à une autre demande. Vérifiez à quel service, à quel compte et à quelle demande il appartient, puis tapez-le.
Pourquoi le remplissage automatique fonctionne-t-il sur certains sites et pas sur d’autres ?
Parce qu’une partie de la condition appartient au site et non à votre téléphone. Le champ doit être reconnu comme champ de code à usage unique, et un code lié à un domaine est comparé au domaine nommé dans le message. Les deux dépendent de l’implémentation du service, ce qui explique qu’un même téléphone se comporte différemment selon les endroits.
Une suggestion absente signifie-t-elle que la page est fausse ?
Pas à elle seule, et l’inverse n’est pas sûr non plus : l’apparition d’une suggestion n’est pas une garantie. Une invite peut manquer parce que l’autorisation a été refusée, parce que le champ n’est pas reconnu, ou parce que le code est lié à un domaine qui ne correspond pas à la page. Apple présente la correspondance de domaine comme une protection contre l’hameçonnage : un écart mérite donc d’être pris au sérieux plutôt que contourné. Traitez l’absence comme une raison de vérifier à quel service et à quel compte le code correspond et si la page correspond, pas comme un verdict dans un sens ou dans l’autre.
Pourquoi mon téléphone ne propose-t-il jamais les codes arrivés sur un numéro loué ?
Parce que ce message n’arrive pas dans l’application de messagerie de votre téléphone. Un code envoyé à un numéro loué est reçu par ce numéro et affiché dans la boîte de réception de la commande, dans votre compte, c’est-à-dire sur une page web. La fonctionnalité de remplissage automatique des SMS décrite ici lit les messages du téléphone : elle n’a rien à proposer depuis cette page, et copier le code est une action distincte que vous effectuez vous-même.
Est-il sûr de saisir un code de vérification à la main ?
Oui, dans un parcours que vous avez démarré, une fois que vous avez vérifié que le code nomme le service et le compte attendus et qu’il répond à la demande affichée devant vous. Avoir démarré le parcours soi-même est nécessaire mais n’établit pas à soi seul qu’une destination est authentique. Ne relayez jamais un code à une personne qui vous contacte à son sujet, aussi plausible que soit la raison invoquée.
Dois-je autoriser une application à lire tous mes messages pour que le remplissage automatique fonctionne ?
Non. La suggestion de code n’exige pas de confier un accès large à vos messages à une application sans rapport, et le faire expose bien plus que le seul code que vous essayiez de saisir. Si la fonctionnalité intégrée ne propose pas de code, le saisir manuellement est le meilleur compromis.