En octobre 2025, la CTIA a publié les Meilleures pratiques de sécurité de la messagerie, un document complémentaire d’autorégulation venant compléter les *Principes et meilleures pratiques de la messagerie*. Il s’adresse à l’ensemble de l’écosystème : opérateurs, agrégateurs DCA, plateformes CPaaS et expéditeurs de messages. Il cible les risques que sont le spam, le détournement de comptes, les abus liés aux dispositifs SIM et les fuites d’identifiants API. Ce texte n’a pas de force juridique fédérale, mais il sert de référence pratique essentielle aux trois grands opérateurs mobiles américains pour la gestion des risques, le filtrage des flux et les sanctions sur les comptes.
Le document détaille six ensembles d’exigences clés. Premièrement, surveillance et interception : les fournisseurs de services peuvent bloquer les messages suspects au vu d’une évaluation des risques, prenant en compte la fraude, le trafic par voies grises, l’absence d’authentification et les violations répétées des règles professionnelles.
Deuxièmement, coopération sur les preuves et vérification KYC : lors d’incidents de spam, les acteurs ne doivent récupérer que les données strictement nécessaires à la traçabilité et répondre aux demandes légitimes. Les plateformes CPaaS et les agrégateurs doivent réaliser la vérification KYC et conserver l’identité réelle des expéditeurs pour les enquêtes. Des campagnes de sensibilisation sont recommandées pour aider les utilisateurs à identifier les attaques de smishing.
Troisièmement, les flux Email‑to‑SMS : l’authentification DKIM et SPF est obligatoire. Ces messages doivent respecter les règles d’opt‑in et d’opt‑out ; les messages non conformes sont bloqués.
Quatrièmement, lutte contre les abus sur la messagerie sans fil : le texte encadre les risques liés aux SIM‑boxes, aux SIM virtuelles et aux numéros jetables générant du spam massif. Les plateformes surveillent les ouvertures massives de cartes SIM et les flux anormaux. Les sources d’abus sont déconnectées du réseau ; les faits potentiellement criminels sont transmis aux autorités.
Cinquièmement, sécurité des identifiants API des plateformes CPaaS : les identifiants doivent être gérés conformément aux normes NIST et FIPS. Tout accès tiers aux API doit être formalisé par un écrit. Les signes de compromission sont surveillés. En cas de piratage de compte, la plateforme CPaaS et l’expéditeur s’informent mutuellement, ferment le compte compromis et corrigent les failles système, avec une lutte stricte contre le spoofing de numéros.
Le document définit les contenus interdits SHAFT : contenu à caractère sexuel explicite, discours de haine, contenus sur l’alcool, les armes à feu et le tabac, tous considérés comme cibles prioritaires de blocage.
