Il y a une forme très moderne d'angoisse : celle du regard fixé sur un écran de téléphone, en attendant un code à six chiffres. La page bancaire affiche un compte à rebours, le paiement expire dans 90 secondes, et le SMS n'arrive pas. On rafraîchit, on tapote « Renvoyer le code », on éteint et rallume l'appareil. Rien.
Cette panne minuscule a des conséquences disproportionnées. Sans ce message, on ne valide pas un paiement en ligne, on ne récupère pas l'accès à une boîte mail, on n'embarque pas dans un avion, on ne signe pas un contrat. Le SMS, technologie née en 1992 et longtemps réduite au rôle de bavardage, est devenu la clé d'entrée de la moitié de notre vie administrative et financière.
Or presque personne ne sait comment il circule réellement. D'où l'impression de faire face à un phénomène magique et capricieux. La réalité est plus prosaïque : un SMS non reçu a toujours une cause identifiable, et cette cause est très rarement « votre téléphone est cassé ».
Le trajet réel d'un SMS, en quatre étapes
Contrairement à un e-mail, un SMS ne voyage pas directement d'un point A à un point B. Il transite obligatoirement par un équipement central appelé SMSC (Short Message Service Center), une sorte de bureau de poste opéré par chaque opérateur.
Le parcours type d'un code de vérification envoyé par votre banque ressemble à ceci :
- L'émetteur professionnel (la banque) ne parle pas directement au réseau mobile. Elle passe par un agrégateur A2P (Application-to-Person), un intermédiaire technique qui a des accords avec les opérateurs.
- L'agrégateur choisit une route. Il existe des routes « premium » directes et des routes « grises » moins chères passant par des opérateurs étrangers. Le prix payé détermine largement la fiabilité.
- Le SMSC de votre opérateur reçoit le message, vérifie qu'il est légitime, puis cherche à savoir où se trouve votre téléphone via le registre HLR.
- La livraison finale. Si votre mobile est joignable, le message est poussé. Sinon, il est stocké en file d'attente et retenté périodiquement pendant une durée de validité paramétrée par l'émetteur.
Ce dernier point explique le phénomène le plus déroutant : les SMS qui arrivent tous d'un coup, en rafale, une heure après. Ils n'étaient pas perdus — ils patientaient dans le SMSC.
Un SMS n'a aucune garantie de délai. Le protocole GSM, tel que normalisé par l'ETSI puis le 3GPP, définit un service dit « best effort » : le réseau fait de son mieux, sans engagement de temps de livraison.
Les sept causes réelles d'un SMS qui n'arrive pas
1. La file d'attente et la durée de validité
Chaque SMS professionnel part avec un paramètre invisible : sa validity period. Beaucoup d'émetteurs de codes de vérification la fixent volontairement très courte — 2 à 5 minutes — précisément parce qu'un code de sécurité périmé n'a plus d'intérêt.
Conséquence : si votre téléphone était momentanément hors réseau (ascenseur, parking souterrain, tunnel, avion), le message peut être définitivement détruit avant que vous ne redeveniez joignable. Il ne rattrapera jamais son retard. C'est la cause n°1 des codes « jamais reçus » alors que les SMS classiques d'amis, eux, finissent toujours par tomber.
2. Le filtrage anti-fraude de l'opérateur
Depuis l'explosion du smishing, les opérateurs français ont considérablement durci leurs filtres. Ces systèmes analysent en temps réel le contenu, l'expéditeur, le volume et la route empruntée. Un message légitime peut être bloqué à tort quand :
- il contient un lien raccourci (bit.ly, tinyurl…) — massivement associé à la fraude ;
- l'expéditeur alphanumérique n'est pas déclaré dans le registre des noms d'expéditeurs mis en place par la filière française ;
- il emprunte une route internationale suspecte ;
- il ressemble statistiquement à une campagne frauduleuse en cours.
Le message n'est alors ni reçu, ni signalé. Il disparaît silencieusement.
3. Le blocage « 33700 » et les listes de l'abonné
Certains utilisateurs ont, parfois sans le savoir, activé des options de blocage : refus des SMS d'expéditeurs alphanumériques, blocage des numéros courts, filtre anti-spam intégré au smartphone. Sur Android, l'application Messages de Google classe automatiquement certains messages dans un onglet « Spam et bloqués » que l'on ne consulte jamais. Sur iOS, l'option Filtrer les expéditeurs inconnus relègue les messages dans un second onglet discret.
Avant d'appeler l'assistance, vérifiez systématiquement ces deux dossiers cachés. Dans une majorité de cas, le code était bien là.
4. La mémoire de la carte SIM saturée
C'est un cas devenu rare mais toujours réel, surtout sur les téléphones à touches et les modèles anciens. Quand la mémoire SIM est pleine, le mobile refuse la réception et le réseau retente sans succès. Sur un téléphone mobile senior à grosses touches conservé comme second appareil, ce blocage est fréquent après quelques centaines de messages. Il suffit de vider la mémoire pour que la file d'attente se déverse d'un coup.
5. Le roaming et les numéros courts
À l'étranger, la réception des SMS est normalement assurée, mais deux exceptions posent problème :
- les numéros courts (4-5 chiffres) ne sont pas toujours routables depuis l'étranger ;
- les codes envoyés depuis un expéditeur alphanumérique peuvent être filtrés par l'opérateur local visité.
D'où les récits classiques de voyageurs incapables de valider un paiement bancaire depuis un hôtel à Bangkok. La parade consiste à conserver une seconde ligne et à activer un forfait de données local, ce qui suppose parfois un adaptateur de prise universel pour ne pas se retrouver avec un téléphone déchargé au pire moment.
6. La panne d'opérateur ou d'agrégateur
Les incidents de plateforme A2P existent et touchent parfois des millions d'abonnés pendant plusieurs heures. Ils sont rarement médiatisés car ils n'affectent que le trafic professionnel : vos SMS personnels passent, seuls les codes de vérification manquent. Les pages de statut des opérateurs et les plateformes communautaires de signalement d'incidents permettent de confirmer en deux minutes qu'il s'agit d'une panne collective et non d'un problème personnel.
7. Le numéro obsolète chez l'émetteur
Cause banale et pourtant très fréquente : l'organisme envoie le code au bon numéro… d'il y a huit ans. Changement de ligne, portabilité mal répercutée, faute de frappe lors d'une inscription. Rien ne l'indique côté utilisateur, l'écran affiche simplement « Un code a été envoyé au 06 •• •• •• 42 » — masqué juste assez pour qu'on ne remarque pas l'erreur.
Diagnostic express : cinq minutes pour trancher
Face à un SMS manquant, cette séquence identifie la cause dans la grande majorité des cas.
| Test | Ce que ça révèle |
|---|---|
| Recevez-vous les SMS d'un proche ? | Si oui, le problème vient de l'émetteur ou du filtrage, pas de votre ligne |
| L'onglet « spam » de l'app Messages est-il vide ? | Filtrage local du smartphone |
| Le mode Avion 30 s puis retour réseau | Force une nouvelle tentative de livraison depuis le SMSC |
| Le numéro affiché par le service est-il le bon ? | Numéro obsolète côté émetteur |
| Un autre service vous envoie-t-il un code ? | Distingue panne globale et blocage ciblé |
L'astuce du mode Avion mérite un mot : en se réenregistrant sur le réseau, le téléphone signale sa disponibilité au HLR, ce qui déclenche immédiatement le vidage de la file d'attente. C'est plus efficace et plus rapide qu'un redémarrage complet.
Dernier réflexe souvent oublié : vérifier la qualité du signal réel, et non le nombre de barres affichées. Sur iOS comme sur Android, le mode ingénieur (via un code composé au clavier) affiche la puissance en dBm. Au-delà de -110 dBm, la couche de signalisation qui transporte les SMS devient instable. Dans les zones mal couvertes, un répéteur de signal mobile homologué ou, plus simplement, l'activation des appels et SMS via Wi-Fi (VoWiFi) règle la question durablement.
Le cas particulier des codes bancaires et de la DSP2
Depuis l'entrée en application de la directive européenne sur les services de paiement (DSP2), tout paiement en ligne doit faire l'objet d'une authentification forte. Les banques françaises ont massivement basculé vers leurs applications mobiles, mais le SMS reste utilisé en secours — et c'est précisément là que les blocages se concentrent.
Trois recommandations concrètes :
- Activez la validation par application dès que votre banque la propose. Elle passe par les données mobiles ou le Wi-Fi, contourne totalement le réseau SMS et résiste au SIM swapping.
- Ne demandez pas trois codes de suite. Chaque nouvelle demande invalide la précédente ; les codes arrivent alors dans le désordre et aucun ne fonctionne. Attendez au moins 60 secondes.
- Ne communiquez jamais un code reçu, même à quelqu'un qui se présente comme votre conseiller ou comme le service anti-fraude. Aucun établissement français n'a besoin de ce code : il est destiné à être saisi par vous, sur l'écran où vous vous trouvez déjà.
Ce dernier point est devenu le mode opératoire dominant de la fraude bancaire en France. La Banque de France et l'Observatoire de la sécurité des moyens de paiement rappellent régulièrement que la fraude « au conseiller », où l'escroc pousse la victime à valider elle-même une opération, représente une part croissante des préjudices.
Sortir de la dépendance au SMS
Le SMS a été adopté comme second facteur d'authentification pour une raison simple : tout le monde en a un. Mais il n'a jamais été conçu pour cela. Il n'est pas chiffré de bout en bout, il dépend d'un numéro qui peut être détourné, et sa livraison n'est pas garantie.
Les alternatives existent et sont, aujourd'hui, plus fiables :
- Les applications d'authentification (TOTP) génèrent un code toutes les 30 secondes, hors ligne, sans aucun réseau. Elles fonctionnent en avion, dans un parking, à l'étranger.
- Les clés de sécurité physiques au standard FIDO2/WebAuthn constituent le niveau supérieur : une clé de sécurité FIDO2 USB-C se branche ou s'approche du téléphone, et rend le phishing techniquement inopérant puisqu'elle vérifie l'adresse du site avant de répondre.
- Les codes de secours fournis à l'activation de la double authentification : à imprimer et à ranger hors du téléphone. Un coffre-fort ignifuge pour documents ou simplement une enveloppe scellée dans un tiroir vaut mieux qu'une capture d'écran dans la galerie photo.
L'ANSSI, dans ses recommandations grand public, comme la CNIL dans ses fiches pratiques sur les mots de passe, convergent : le SMS est un pis-aller acceptable, jamais un idéal.
Quand le silence du SMS est un signal d'alarme
Une nuance importante pour finir. Si vous cessez brutalement de recevoir tous vos SMS et vos appels, sans panne réseau déclarée, ne cherchez pas du côté du filtrage : c'est le symptôme classique d'un SIM swapping. Un fraudeur a fait transférer votre numéro sur sa propre carte SIM, votre ligne est désactivée, et il reçoit désormais vos codes de vérification à votre place.
Les signes à ne pas ignorer :
- « Aucun service » ou « Recherche… » persistant alors que les autres téléphones du foyer fonctionnent ;
- un SMS ou un e-mail annonçant une demande de portabilité ou de duplicata de SIM que vous n'avez pas faite ;
- des tentatives de connexion signalées sur vos comptes.
La réaction doit être immédiate : appeler l'opérateur depuis une autre ligne pour faire suspendre la SIM, prévenir la banque, et déposer plainte. Le dispositif public Cybermalveillance.gouv.fr propose un parcours d'assistance dédié, et le 17 Cyber permet un signalement en ligne.
À l'inverse, un simple code manquant pendant que le reste fonctionne n'a rien d'alarmant : c'est presque toujours un problème de route, de filtre ou de file d'attente. Prendre l'habitude de distinguer les deux situations — silence total contre silence sélectif — évite autant les paniques inutiles que les réactions trop tardives.
L'essentiel à retenir
- Un SMS non reçu a une cause technique identifiable, pas une fatalité.
- Les codes de vérification ont une durée de vie très courte : hors réseau au mauvais moment, ils sont détruits, pas retardés.
- Le mode Avion pendant 30 secondes est le geste le plus efficace pour forcer la livraison.
- Vérifiez toujours l'onglet spam de votre application de messages avant tout autre diagnostic.
- Basculez vos comptes sensibles vers une application d'authentification ou une clé physique.
- Un silence total sur la ligne, appels compris, doit faire penser au SIM swapping et déclencher un appel immédiat à l'opérateur.
