Pendant deux décennies, votre numéro de téléphone a été votre identité en ligne. Il vous connecte aux applications, reçoit vos mots de passe à usage unique et voyage discrètement à travers chaque conversation d'entreprise que vous initiez. Sur WhatsApp, il a toujours été la chose à l'autre bout de la conversation — le numéro qu'une marque voit dès que vous dites « bonjour ».
Cela est sur le point de changer. Et la décision d'ingénierie discrète derrière cela, un nouvel identifiant appelé Business-Scoped User ID, pourrait s'avérer être l'un des changements de confidentialité les plus significatifs que le monde de la messagerie ait connus depuis des années.
Qu'est-ce qu'un Business-Scoped User ID ?
Un Business-Scoped User ID — BSUID en abrégé — est un code unique qui identifie un utilisateur WhatsApp auprès d'une entreprise spécifique, sans révéler le numéro de téléphone de cet utilisateur. Selon la documentation pour développeurs de Meta, un BSUID « identifie de manière unique un utilisateur WhatsApp et est lié à une entreprise spécifique ».
Le format est délibérément simple : un code de pays alpha-2 ISO 3166, un point et jusqu'à 128 caractères alphanumériques. En pratique, cela ressemble à US.13491208655302741918 — une chaîne sans signification pour un humain, et sans moyen de la composer.
Voici la partie la plus importante, et elle est facile à manquer. La même personne obtient un BSUID différent pour chaque entreprise avec laquelle elle communique. Votre BSUID chez votre compagnie aérienne n'est pas votre BSUID chez votre banque, et aucun des deux ne peut être recoupé avec l'autre. Comme l'explique Spotler, c'est intentionnel : « L'entreprise A ne peut pas utiliser un BSUID pour suivre les activités ou les interactions d'un utilisateur avec l'entreprise B ».
Ce choix de conception unique est ce qui sépare un BSUID du simple fait de « masquer le numéro ». Un numéro de téléphone est une clé universelle — une fois qu'une entreprise l'a, il peut être recoupé, vendu, fusionné dans le fichier d'un courtier en données, et lié à tout ce que vous faites d'autre. Un identifiant à portée commerciale est une clé qui n'ouvre qu'une seule porte.
Pourquoi maintenant ? La fonctionnalité de nom d'utilisateur
Les BSUID n'apparaissent pas dans le vide. Ils constituent la plomberie d'une fonctionnalité que les utilisateurs de WhatsApp souhaitent depuis longtemps : les noms d'utilisateur.
À partir de 2026, WhatsApp déploiera des noms d'utilisateur facultatifs — des identifiants comme @votre_nom qui vous permettent d'envoyer des messages et d'appeler des entreprises sans céder votre numéro de téléphone. La documentation de Microsoft sur le changement décrit le nom d'utilisateur comme l'identité publique et le BSUID comme la référence backend privée qui permet à l'entreprise de maintenir la conversation.
Les règles sont simples. Selon les rapports d'India TV News, les noms d'utilisateur doivent comporter de 3 à 35 caractères, contenir au moins une lettre et n'utiliser que des lettres, des chiffres, des points et des tirets bas. Votre numéro de téléphone reste attaché à votre compte pour la connexion, l'authentification et la récupération — il cesse simplement d'être visible pour les entreprises que vous contactez via votre nom d'utilisateur.
Deux détails rendent cela véritablement centré sur l'utilisateur. Premièrement, c'est entièrement facultatif : si vous préférez le fonctionnement actuel de WhatsApp, vous ne changez rien. Deuxièmement, c'est gratuit — il n'y a aucun frais pour créer, modifier ou supprimer un nom d'utilisateur.
WhatsApp ajoute également une sauvegarde facultative appelée « clé de nom d'utilisateur », un code PIN court dont quelqu'un a besoin en plus de votre identifiant avant de pouvoir accéder à votre boîte de réception principale. C'est une petite chose qui comble une lacune réelle : un nom d'utilisateur public pourrait, en soi, être deviné ou utilisé pour envoyer des messages par n'importe qui.
Comment la sécurité change pour les gens ordinaires
Pour comprendre pourquoi c'est important, il faut se souvenir des dommages qu'un numéro de téléphone divulgué peut causer.
Votre numéro est le maillon essentiel de la fraude par échange de carte SIM (SIM-swapping), où un escroc convainc un opérateur de transférer votre numéro sur sa carte SIM, puis intercepte vos codes de sécurité. C'est la graine de la récolte de métadonnées, où les courtiers assemblent un profil autour du seul identifiant que vous ne pouvez jamais facilement changer. Et c'est ce qui finit sur des listes de spam après une seule transaction avec un commerçant négligent.
En permettant aux gens d'interagir avec les entreprises via un nom d'utilisateur et un code à portée commerciale, WhatsApp supprime entièrement le numéro de cet échange. La couverture du Mobile Ecosystem Forum présente cette évolution comme une réponse directe aux vulnérabilités de longue date — le genre de corrections structurelles qui protègent les personnes qui ne liront jamais un guide de sécurité.
Pensez à qui en bénéficie le plus. Une survivante de violence domestique qui a besoin de commander dans une pharmacie sans divulguer un numéro joignable. Un journaliste contactant l'organisation d'une source. Un adolescent achetant des billets de concert auprès d'une marque avec laquelle il n'a jamais traité auparavant. Pour eux tous, « envoyer un message à cette entreprise sans lui donner votre numéro » n'est pas une commodité — c'est une fonctionnalité de sécurité.
Il y a aussi un avantage plus discret. Lorsque votre numéro n'est pas dans la charge utile du webhook, il ne se trouve pas dans la base de données d'une entreprise en attente d'être piratée. Vous ne pouvez pas divulguer ce que vous n'avez jamais collecté. Ce principe — la minimisation des données — a été le Saint Graal de la réglementation sur la confidentialité pendant des années. Les BSUID l'intègrent dans le protocole lui-même.
Pourquoi cela est perçu différemment à travers le monde
WhatsApp n'est pas un seul marché ; c'est des dizaines, et le BSUID signifiera quelque chose de légèrement différent dans chacun d'eux.
En Europe, le changement ressemble presque à un cadeau de conformité. Le principe de minimisation des données du RGPD exige que les entreprises ne collectent que les données personnelles dont elles ont réellement besoin. Un numéro de téléphone récolté « juste au cas où » a toujours été dans une zone grise. Un identifiant à portée commerciale qui permet à une entreprise de servir un client sans jamais stocker de numéro de téléphone est, en effet, l'intention de la réglementation exprimée comme une valeur par défaut technique. Les entreprises opérant sous les règles européennes pourraient constater que les noms d'utilisateur réduisent discrètement leur surface de conformité.
Dans des marchés comme l'Inde, le Brésil et l'Indonésie — où WhatsApp n'est pas seulement une application mais le canal principal pour le commerce, les services gouvernementaux et les affaires quotidiennes — les enjeux sont différents. Ce sont des endroits où un numéro divulgué peut signifier une marée incessante d'appels de spam, de harcèlement par des applications de prêt et de fraude. Pour des centaines de millions d'utilisateurs d'Internet pour la première fois, la possibilité de transiger sans exposer un identifiant permanent et numéroté est une amélioration significative de la sécurité quotidienne, pas une préférence de confidentialité de niche.
Le fil conducteur est que WhatsApp rend le choix privé facile. Historiquement, protéger votre numéro impliquait une friction — une deuxième carte SIM, un numéro jetable, un refus d'interagir. Les noms d'utilisateur et les BSUID intègrent cette protection dans le flux par défaut, là où les personnes qui en ont le plus besoin sont les plus susceptibles de l'utiliser réellement.
À qui le mérite revient : c'est difficile à bien faire
Il vaut la peine de s'arrêter pour apprécier ce que Meta a réellement construit ici, car les fonctionnalités de confidentialité sont faciles à annoncer et difficiles à concevoir.
La version naïve de « masquer mon numéro » casse tout. Les entreprises ont toujours besoin d'un moyen stable de reconnaître un client qui revient, d'acheminer un ticket de support ou d'envoyer la mise à jour d'expédition que vous avez demandée. Si l'identifiant changeait à chaque session, le commerce sur WhatsApp cesserait tout simplement de fonctionner. Si l'identifiant était le même partout, vous auriez simplement inventé une nouvelle clé de suivi universelle — un théâtre de confidentialité avec des étapes supplémentaires.
L'approche à portée commerciale trouve un juste milieu. L'identifiant est suffisamment stable pour qu'une entreprise puisse maintenir une relation réelle avec vous, et suffisamment étroitement délimité pour que la relation ne puisse pas être liée entre les entreprises. C'est une conception prudente et fondée sur des principes, et Meta mérite d'être félicitée pour l'avoir déployée comme architecture par défaut plutôt que comme paramètre enfoui.
Meta a également géré la transition avec soin. Comme le note le journal des modifications de Twilio, les entreprises qui possèdent déjà le numéro de téléphone d'un client lors de conversations passées ne le perdent pas — elles peuvent continuer à envoyer des messages aux contacts connus comme avant. Aucune relation existante ne sera rompue le premier jour. Le nouveau modèle est superposé à l'ancien, pas jeté par-dessus.
Ce que les entreprises devront ajuster
Pour les entreprises qui envoient des messages à des clients sur WhatsApp, les BSUID sont moins une menace qu'un avertissement. Quelques éléments pratiques changent.
Le plus important : on ne peut plus supposer la présence de numéros de téléphone. Lorsqu'un utilisateur adopte un nom d'utilisateur, son numéro peut simplement ne pas apparaître dans le webhook que vos systèmes reçoivent. Au lieu de cela, comme le détaille la base de connaissances de Vonage, vous obtenez un BSUID dans les champs to et from. Tout système qui utilise le numéro de téléphone comme clé client principale — CRM, outils de billetterie, analyses — doit apprendre à traiter le BSUID comme un identifiant valide également.
Il y a une exception notable. Selon la documentation de Meta, les modèles d'authentification en un clic, zéro clic et copier-code — les messages OTP que vous recevez lors de la connexion — nécessitent toujours un numéro de téléphone et ne peuvent pas être envoyés à un BSUID. Cela est logique : ces flux existent précisément pour vérifier un numéro. Cependant, les conversations marketing, utilitaires et de service standard fonctionneront avec un BSUID seul.
Il y a également une règle de portée à connaître. Les BSUID sont liés à un portefeuille d'entreprise, de sorte que seuls les numéros de téléphone faisant partie du même portefeuille peuvent envoyer des messages à un BSUID donné. Pour la plupart des entreprises, c'est invisible ; pour les grandes organisations gérant plusieurs marques sous des portefeuilles distincts, c'est un détail à planifier.
La conclusion honnête pour les entreprises est que cela récompense une bonne hygiène des données et punit les raccourcis. Les entreprises qui comptaient discrètement sur la collecte et la revente de numéros verront ce puits se tarir. Les entreprises qui gagnent une conversation et la servent bien ne remarqueront pas beaucoup de différence.
Le calendrier
Ce n'est pas un changement pour plus tard — c'est un changement calendaire. Sur la base des directives compilées par des fournisseurs, y compris Twilio et la propre documentation de Meta, le déploiement se déroule approximativement comme suit :
- Début avril 2026 : Les BSUID commencent à apparaître dans les charges utiles des webhooks, et les noms d'utilisateur entrent en bêta limitée.
- Mai 2026 : Le support API arrive pour envoyer des messages aux utilisateurs uniquement avec leur BSUID. Vous pourrez joindre les personnes par BSUID, numéro de téléphone ou les deux.
- Juin 2026 : Les noms d'utilisateur WhatsApp commencent leur déploiement mondial plus large.
Pour une fonctionnalité qui redessine discrètement la manière dont plus d'un milliard de personnes s'identifient auprès des entreprises, c'est une piste de lancement remarquablement courte. Les systèmes qui le gèrent avec aisance sont ceux qui se préparent maintenant.
La vue d'ensemble
Prenez du recul, et le BSUID fait partie d'une histoire bien plus vaste qu'un simple menu de paramètres d'une application.
Pendant trente ans, la valeur par défaut de l'Internet a été d'identifier les gens par quelque chose de permanent et de réutilisable — une adresse e-mail, un numéro de téléphone, un identifiant national. Ce modèle est efficace et catastrophiquement sujet aux fuites. Chaque réutilisation est une chance d'être suivi, fusionné et exposé. L'alternative émergente, visible dans tout, des e-mails de relais privés de « Se connecter avec Apple » à Masquer mon e-mail d'Apple, est l'identité à portée limitée : donner à chaque relation sa propre clé jetable, et les fuites cessent de s'accumuler.
Le fait que WhatsApp place un identifiant à portée commerciale au centre de la manière dont un tiers de la planète communique avec les entreprises est le plus grand déploiement de cette idée jamais tenté. Si cela fonctionne — si les noms d'utilisateur prennent et que les entreprises s'adaptent sans friction — cela normalise l'attente que vous devriez pouvoir traiter avec une entreprise sans abandonner une partie permanente de vous-même.
Le numéro de téléphone ne disparaîtra pas du jour au lendemain. Mais pour la première fois, ce n'est plus le prix d'entrée dans une conversation. C'est un petit changement dans la charge utile du webhook d'un développeur, et un grand changement dans le monde.
