Envoyer un SMS en inconnu depuis un smartphone grand public reste techniquement impossible via les fonctions natives des opérateurs français. Le champ TP-OA (Originating Address) du protocole SMS est renseigné côté infrastructure réseau, et aucun opérateur ne propose d’équivalent au CLIR pour le canal texte. Le préfixe #31# ne couvre que la voix. Toute solution passe donc par un intermédiaire technique, avec des implications directes sur la traçabilité et le cadre réglementaire durci depuis août 2026.
Protocole TP-OA et verrouillage réseau : pourquoi le SMS ne se masque pas nativement
Le masquage d’appel repose sur le CLIR, un mécanisme standardisé dans la signalisation voix. Le réseau de l’opérateur intercepte la demande et supprime la présentation du numéro appelant au terminal destinataire. Ce mécanisme n’existe pas pour le SMS.
Le SMS transite par le SMSC (Short Message Service Center) de l’opérateur, qui inscrit le numéro de l’expéditeur dans le champ TP-OA avant de router le message. Un abonné Orange, SFR ou Bouygues ne dispose d’aucun paramètre pour intervenir sur ce champ. La substitution du TP-OA n’est accessible qu’aux entités disposant d’une connexion directe au SMSC via le protocole SMPP (Short Message Peer-to-Peer), c’est-à-dire les passerelles SMS professionnelles et les agrégateurs.
Nous observons régulièrement une confusion entre le masquage (suppression de l’identifiant) et la substitution (remplacement par un alias). Le premier est impossible sur le canal SMS grand public. Le second est le mécanisme exploité par les services tiers.
Passerelles SMS tiers : substitution d’identifiant et pseudonymisation
Les plateformes web qui permettent d’envoyer un SMS en inconnu exploitent toutes le même principe : elles disposent d’un accès SMPP à un ou plusieurs SMSC, et remplacent le TP-OA par un alias textuel, un shortcode ou un numéro virtuel. Le destinataire reçoit le message avec un identifiant qui n’est pas celui de l’expéditeur réel.
Ce que ces services font réellement côté serveur
Le message est routé depuis l’infrastructure de la passerelle, pas depuis le réseau mobile de l’utilisateur. L’expéditeur rédige son texte via une interface web ou une API, et la plateforme injecte le SMS dans le réseau opérateur en substituant l’identifiant d’origine. Le numéro réel de l’expéditeur n’apparaît jamais chez le destinataire.
Cette substitution ne constitue pas un anonymat réel. Les passerelles conservent les logs de connexion (adresse IP, horodatage, contenu du message) et sont soumises aux obligations de conservation des données de connexion prévues par le droit français. Le service est pseudonymisant, pas anonymisant.
Critères techniques pour évaluer une passerelle SMS
- Type d’identifiant de remplacement : alias alphanumérique (limité à la réception, pas de réponse possible), shortcode partagé, ou numéro virtuel dédié (permet la réponse bidirectionnelle)
- Politique de conservation des logs : certaines plateformes annoncent une suppression automatique, mais les obligations légales imposent une rétention minimale exploitable par les autorités
- Localisation des serveurs et juridiction applicable : un serveur hébergé dans l’UE reste soumis au RGPD, ce qui encadre strictement le traitement des données personnelles, y compris les numéros de téléphone
- Chiffrement du canal de soumission : vérifier que l’interface web utilise TLS et que l’API supporte l’authentification par token, pas un simple login/mot de passe en clair
Cadre légal post-11 août 2026 : consentement par canal et traçabilité renforcée
Depuis le 11 août 2026, la réglementation française a clarifié que les SMS et MMS sont pleinement assimilés à des courriers électroniques au sens de la prospection commerciale. Le consentement doit être recueilli spécifiquement pour le canal SMS, distinct du consentement email ou téléphonique. La seule exception concerne le « client existant » contacté pour des produits analogues à ceux déjà achetés.
Ce durcissement impacte directement l’usage des passerelles SMS à des fins marketing ou de contact non sollicité. Un numéro de téléphone attribué à une personne identifiable reste une donnée personnelle au sens du RGPD, même lorsqu’il est présenté comme « technique » ou « virtuel ». Les entreprises doivent pouvoir relier chaque numéro utilisé à une trace exploitable : origine des données, date de collecte, canal de consentement, durée de conservation et journaux de preuve.
Pour un usage personnel (prévenir un voisin, signaler un problème sans exposer son numéro), l’envoi ponctuel via une passerelle ne tombe pas sous le régime de la prospection. Il reste néanmoins soumis aux dispositions générales sur le harcèlement et l’usurpation d’identité du Code pénal.
Alternatives chiffrées au SMS pour protéger sa confidentialité
Le SMS reste un protocole non chiffré par défaut. Le contenu transite en clair entre le terminal et le SMSC, puis entre SMSC. Pour un besoin réel de confidentialité (protection des données personnelles, échanges sensibles), nous recommandons de privilégier les messageries avec chiffrement de bout en bout plutôt que de chercher à masquer un identifiant sur un canal intrinsèquement vulnérable.
- Signal : chiffrement de bout en bout par défaut sur tous les messages et appels, métadonnées minimales côté serveur, code source ouvert et audité
- WhatsApp : chiffrement de bout en bout activé par défaut, mais collecte de métadonnées (contacts, fréquence d’échange, géolocalisation) exploitées par Meta
- Utilisation d’un numéro virtuel VoIP comme identifiant sur ces messageries : permet de s’inscrire sans exposer son numéro mobile principal, en combinant pseudonymisation de l’identifiant et chiffrement du contenu
Un VPN ajouté à cette configuration masque l’adresse IP de connexion au service de messagerie, ce qui complète la chaîne de protection. La combinaison numéro virtuel, messagerie chiffrée et VPN offre un niveau de confidentialité sans commune mesure avec un SMS envoyé via une passerelle web.
Limites réelles de l’anonymat par SMS en 2026
Aucune méthode d’envoi de SMS en inconnu ne garantit un anonymat absolu. Les passerelles conservent des logs exploitables sur réquisition judiciaire. L’adresse IP de l’expéditeur, même masquée par un VPN, peut être recoupée avec d’autres traces numériques. L’anonymat SMS est toujours réversible face à une procédure judiciaire.
Le protocole SMS lui-même ne supporte ni le chiffrement natif ni la vérification d’intégrité du contenu. Un message peut être intercepté au niveau du SMSC ou lors du transit inter-opérateurs. Pour un besoin de vie privée renforcée, le SMS reste le maillon faible de la chaîne de communication mobile, quel que soit le service tiers utilisé pour masquer l’identifiant.
Le vrai levier de confidentialité en 2026 ne réside pas dans le masquage du numéro sur un protocole obsolète, mais dans le choix d’un canal nativement conçu pour la protection des données.
