Arnaques au faux conseiller bancaire, démarchage sauvage et usurpation d’identité : le téléphone souffre depuis des années d’une crise de confiance majeure. En cause ? Le spoofing téléphonique, une pratique permettant d’afficher un numéro falsifié sur votre écran. Pour contrer ce fléau et restaurer la confiance, les opérateurs télécoms déploient désormais le mécanisme d’authentification des numéros (MAN).
Ce dispositif répond à l’obligation légale d’encadrement des flux d’appels en France et s’appuie sur les protocoles techniques internationaux STIR/SHAKEN.
Qu’est-ce que le MAN concrètement ? Comment fonctionne la signature numérique des informations d’appel et quelles sont les démarches indispensables pour que vos communications professionnelles ne finissent pas bloquées ou masquées ?
Qu’est-ce que le Mécanisme d’Authentification des Numéros (MAN) ?
Le MAN est un dispositif technique et réglementaire imposé aux opérateurs télécoms exerçant sur le territoire français. Le MAN vise à vérifier que le numéro présenté comme identifiant d’appelant est utilisé par un acteur autorisé et à assurer la traçabilité de l’opérateur ayant émis l’appel.
Le MAN est une chaîne de confiance entre opérateurs mais non une preuve absolue de l’identité de la personne qui parle au téléphone.
La loi Naegelen n° 2020-901 du 24 juillet 2020 a instauré une obligation d’authentification des appels et des messages utilisant un numéro français comme identifiant d’appelant. Ces dispositions sont intégrées à l’article L.44 du Code des postes et des communications électroniques.
La loi n’impose pas un protocole technique nommé. Elle prévoit que les opérateurs mettent en œuvre un dispositif d’authentification interopérable, permettant notamment de vérifier que leurs clients sont autorisés à présenter les numéros utilisés comme identifiants d’appelant. Pour répondre à cette obligation, les opérateurs français ont déployé le MAN, qui reprend les principes de STIR/SHAKEN et s’appuie sur des spécifications techniques définies par les opérateurs français.
Le MAN complète et renforce les règles existantes de contrôle des appels provenant de l’international. Il vient en superposition des mécanismes de filtrage international déjà existants.
Sous l’égide de l’ARCEP et en coordination avec l’APNF (l’association qui contribue à la mise en place des mécanismes d’interopérabilité entre opérateurs), les opérateurs doivent désormais appliquer une règle stricte : si un appel émis sur le réseau public ne peut être formellement authentifié, son acheminement doit être interrompu ou, dans certains cas prévus par la réglementation, son numéro peut être masqué.
Comment fonctionnent STIR et SHAKEN ?
Le protocole MAN ne réinvente pas la roue : il s’appuie sur la norme STIR/SHAKEN, initialement développée et éprouvée en Amérique du Nord :
- STIR (Secure Telephone Identity Revisited) :
Il s’agit des standards IETF qui définissent la signature numérique des informations d’appel. L’opérateur de départ encapsule un jeton signé numériquement, appelé PASSporT, transporté dans la signalisation SIP. - SHAKEN (Signature-based Handling of Asserted information using toKENs) :
C’est le cadre opérationnel qui régit la gestion, la distribution et la vérification des certificats numériques émis par une autorité de certification reconnue.
| Appelant | |
| Opérateur d’origine | Atteste l’identité & signe le paquet SIP (Certificat électronique de l’opérateur, obtenu dans le cadre de l’infrastructure de confiance gérée avec l’APNF.) |
| Opérateur de transit | Contrôle le format de la signature |
| Opérateur de terminaison | Vérifie la signature, le certificat et les informations d’authentification. Signature valide (Attestation A): Destinataire sonne Attestation B ou C: Traitement selon les règles applicables Signature absente ou invalide : Appel interrompu ou identifiant remplacé dans certains cas |
Les niveaux d’attestation A, B et C : quelles différences ?
Lorsqu’un appel sortant est émis, l’opérateur qui signe l’appel lui associe un niveau d’attestation, en fonction des vérifications effectuées sur l’utilisateur final et sur le numéro présenté.
| Niveau | Signification | Conséquence |
| A Full Attestation | L’opérateur a identifié l’utilisateur final et vérifié la légitimité du numéro présenté. | Attestation complète. L’appel peut être acheminé si les autres contrôles sont corrects. |
| B Partial Attestation | L’opérateur a identifié l’utilisateur final, mais n’a pas vérifié le droit d’utiliser le numéro présenté. | Attestation partielle. Elle ne suffit pas à confirmer pleinement l’authenticité du numéro. |
| C Gateway Attestation | L’opérateur connaît uniquement le réseau ou l’interconnexion ayant remis l’appel. | Attestation limitée. Elle ne confirme ni l’identité de l’appelant ni la légitimité du numéro. |
En pratique, les appels utilisant une attestation B ou C sont progressivement éliminés ou interrompus selon les règles applicables. Les entreprises doivent donc viser une attestation A, sans présenter celle-ci comme une garantie absolue d’acheminement.
Quels impacts pour les entreprises, services clients et le Call Tracking ?
Si le MAN est transparent pour un particulier qui passe un coup de fil, il transforme la gestion opérationnelle des télécoms en entreprise :
1. La fin de la présentation libre de numéros non autorisés sur les trunks SIP
Auparavant, de nombreux standards IPBX ou SBC permettaient d’éditer librement le champ d’identifiant d’appelant sortant. C’est désormais révolu : les opérateurs télécoms verrouillent les listes blanches (numéros autorisés au contrat). Si le numéro présenté ne figure pas dans la liste autorisée ou si l’entreprise ne peut pas démontrer qu’elle dispose du droit de l’utiliser, l’opérateur doit empêcher l’émission de l’appel ou celui-ci risque d’être interrompu lors de son acheminement.
2. Le défi du Call Tracking (DNI) et des centres d’appels externalisés
Si vous utilisez du call tracking dynamique (pool de numéros pour mesurer la performance marketing de vos campagnes Google Ads, affichage, etc.) ou un centre de contact tiers, vous rappelez souvent vos prospects avec un numéro qui ne vous appartient pas directement.
Le call tracking reste possible, mais les numéros utilisés pour rappeler les prospects doivent être attribués à l’entreprise ou faire l’objet d’une autorisation préalable de leur affectataire. Le prestataire doit être en mesure de démontrer cette chaîne d’autorisation à son opérateur.
- La solution réglementaire : la délégation d’affichage. Lorsqu’une entreprise souhaite utiliser un numéro qui lui est attribué par un tiers, l’affectataire du numéro doit avoir donné une autorisation préalable explicite. Cette délégation doit être enregistrée ou matérialisée selon le processus prévu entre les opérateurs, notamment dans le cadre des mécanismes inter opérateurs mis en place avec l’APNF.
- Sans cette délégation, vos rappels de prospects peuvent être considérés comme du spoofing et rejetés.
3. Les appels émis depuis l’étranger et le masquage des mobiles (06/07)
Les numéros mobiles français 06 et 07 ne doivent pas être présentés comme identifiants d’appelant depuis un accès fixe. La situation des appels émis depuis l’étranger doit en outre être distinguée : depuis le 1er janvier 2026, un numéro mobile français non authentifié présenté sur un appel provenant de l’international doit être masqué, avec des dispositions particulières pour l’itinérance internationale.
Un déploiement progressif depuis 2023
L’obligation légale d’authentifier les numéros d’appelant est entrée en vigueur le 25 juillet 2023. Le déploiement technique du Mécanisme d’Authentification des Numéros (MAN) s’est ensuite effectué progressivement entre opérateurs, avant d’être généralisé chez la quasi-totalité des opérateurs français. La loi prévoit que les opérateurs interrompent l’acheminement d’un appel lorsque le dispositif d’authentification est absent ou ne permet pas de confirmer l’authenticité du numéro présenté.
Dans la pratique, cette règle fait encore l’objet d’une mise en œuvre progressive : certains appels portant une attestation incomplète, notamment de niveau B ou C, peuvent actuellement continuer à être acheminés dans le cadre de règles sectorielles définissant les modalités d’extinction de ces appels. Les entreprises ont néanmoins intérêt à viser une authentification de niveau A, afin de limiter les risques de coupure et de sécuriser l’affichage de leurs numéros professionnels.
Depuis le 1er janvier 2026, un appel provenant de l’international qui présente un numéro mobile français en 06 ou 07 ne pouvant pas être authentifié doit, en principe, voir son identifiant d’appelant masqué. Cette règle vise notamment à limiter l’usurpation de numéros mobiles français depuis l’étranger. Elle connaît une exception territoriale pour Saint-Martin, où son entrée en vigueur est reportée au 1er janvier 2028.
Checklist : Comment mettre sa téléphonie en conformité ?
Pour éviter de voir vos équipes commerciales ou votre support client paralysés, appliquez ce plan d’audit en 5 étapes :
- Recenser tous les numéros présentés : Listez l’intégralité des numéros affichés par vos services (accueil, numéros de secours, numéros de campagnes marketing, numéros SDA individuels).
- Demander à l’opérateur quels niveaux d’attestation sont appliqués à vos flux sortants et vérifier que les numéros présentés peuvent être authentifiés au niveau A lorsque cela est nécessaire.
- Mettre en place les délégations d’affichage : Si vous louez des numéros (solutions SaaS, Call Tracking, BPO), documentez les autorisations d’utilisation des numéros présentés par les prestataires, les centres de contacts et les solutions de call tracking. Vérifiez avec l’opérateur la procédure de délégation d’affichage applicable.
- Verrouiller les configurations IPBX/SBC : Assurez-vous que vos passerelles VoIP ne laissent pas passer d’en-têtes personnalisés fantômes ou de numéros non attribués.
- Surveiller vos taux de décroché (KPIs) : Une baisse soudaine de la joignabilité peut constituer un signal d’alerte. Elle doit être analysée avec les journaux d’appels, les réponses de l’opérateur, les niveaux d’attestation et les éventuels mécanismes de filtrage anti-fraude ou anti-spam.
Conclusion : Du fardeau technique à l’opportunité
Bien que technique et contraignant, le Mécanisme d’Authentification des Numéros améliore la traçabilité des appels et renforce la lutte contre l’usurpation des numéros. Pour les entreprises, la priorité consiste désormais à maîtriser précisément les numéros présentés, à documenter les éventuelles délégations d’affichage et à vérifier avec leur opérateur que leurs appels peuvent être authentifiés correctement.
Le MAN ne garantit pas à lui seul que chaque appel sera légitime ou décroché, mais il établit une chaîne de confiance entre les opérateurs et réduit les possibilités d’utiliser anonymement un numéro appartenant à un tiers.
Pour aller plus loin: