Authentification STIR/SHAKEN de l'ID d'appelant

STIR signifie Secure Telephone Identity Revisited. Il s'agit de l'ensemble des normes IETF qui définissent comment une signature numérique est créée et attachée à un appel.

SHAKEN signifie Signature-based Handling of Asserted information using toKENs. Il s'agit de la spécification ATIS qui indique aux opérateurs comment déployer STIR sur leurs réseaux.

En bref : STIR est la norme, SHAKEN est le cadre de déploiement qui l'entoure. En pratique, les deux sont toujours référencés ensemble, c'est pourquoi le protocole STIR/SHAKEN est généralement considéré comme une seule entité.

Trois étapes, toutes terminées avant que le téléphone du destinataire ne sonne.

Authentification. Votre fournisseur vérifie qui passe l'appel et s'il a le droit d'utiliser le numéro affiché. Signature. Le fournisseur ajoute un en-tête d'identité SIP signé à l'appel, comportant son certificat et un niveau d'attestation décrivant son degré de confiance. Vérification. Le fournisseur de terminaison valide cette signature par rapport au certificat du fournisseur d'origine et transmet le résultat à ses propres analyses anti-spam.

Ce que le destinataire voit réellement à la fin de cette chaîne dépend de son opérateur. STIR/SHAKEN fournit les preuves ; le moteur d'analyse de l'opérateur prend la décision.

Chaque signature comporte un niveau d'attestation indiquant ce que le fournisseur d'origine sait réellement de l'appel. Il y en a trois.

Attestation complète (A) : le fournisseur connaît le client et a confirmé qu'il est autorisé à utiliser le numéro. C'est le niveau le plus susceptible d'atteindre le destinataire sans étiquette. Attestation partielle (B) : le fournisseur connaît le client mais n'a pas vérifié son droit à utiliser ce numéro spécifique, ce qui est courant lorsqu'une entreprise utilise ses propres numéros. Attestation de passerelle (C) : le fournisseur ne fait que transmettre l'appel et ne peut pas du tout garantir son origine, ce qui est typique du trafic international entrant dans le réseau américain.

Les analyses des opérateurs accordent une grande importance à ces niveaux. Les appels de niveau A passent généralement sans problème, tandis que les appels de niveau C sont examinés de près. Si vos taux de réponse sortants sont faibles et que vous ne comprenez pas pourquoi, votre niveau d'attestation est l'une des premières choses à vérifier auprès de votre fournisseur.

Aux États-Unis, oui. En vertu du TRACED Act, la FCC a adopté en 2020 des règles exigeant des fournisseurs de services vocaux qu'ils mettent en œuvre STIR/SHAKEN sur les portions IP de leurs réseaux d'ici le 30 juin 2021. Les petits fournisseurs disposant de 100 000 lignes d'abonné ou moins ont bénéficié d'une prolongation jusqu'au 30 juin 2023, raccourcie plus tard à 2022 pour un sous-ensemble générant des volumes d'appels élevés. L'obligation a depuis été étendue aux fournisseurs de passerelles et intermédiaires également.

Les fournisseurs déposent également des certifications dans la base de données de mitigation des robocalls de la FCC, et depuis septembre 2021, les opérateurs n'ont plus le droit d'accepter directement le trafic des fournisseurs qui n'y sont pas répertoriés. Le Canada applique une exigence parallèle par l'intermédiaire du CRTC.

Bon à savoir si vous êtes celui qui passe les appels plutôt que celui qui les gère : la conformité STIR/SHAKEN est une obligation pour votre fournisseur de services vocaux, et non pour votre entreprise. Vous n'avez rien à déposer. Mais l'implémentation de votre fournisseur détermine directement la manière dont vos appels sont traités, ce qui en fait une question légitime à poser à tout fournisseur que vous évaluez.

Pas directement, et c'est la principale idée fausse à ce sujet. STIR/SHAKEN authentifie l'ID d'appelant. Il ne porte aucun jugement sur le but d'un appel. Un robocall parfaitement légal avec une attestation complète passe sans problème, et un escroc peut toujours passer un appel usurpé. L'appel arrive simplement avec une étiquette honnête indiquant que personne ne peut le garantir.

Ce que le cadre fait, c'est supprimer l'anonymat du réseau. Parce que chaque appel signé peut être retracé jusqu'au fournisseur qui l'a émis, les régulateurs et les opérateurs peuvent identifier les récidivistes au lieu de courir après le trafic intraçable, et les opérateurs obtiennent un signal fiable pour filtrer. La lutte contre les robocalls via STIR/SHAKEN est un sous-produit de cette traçabilité plutôt que le mécanisme lui-même.

Parce que l'attestation n'est qu'un facteur parmi d'autres. Les moteurs d'analyse des opérateurs tiennent également compte du nombre d'appels qu'un numéro passe par jour, de la durée de ces appels, de la fréquence à laquelle ils sont répondus, du nombre de destinataires ayant signalé le numéro, de la date de sa dernière activation et de sa présence dans les registres des fournisseurs d'analyse.

Un numéro flambant neuf composant trois cents fois par jour avec une durée moyenne de quatre secondes ressemble exactement à un robocaller, et une attestation complète ne le sauvera pas. C'est un problème de comportement d'appel, pas un problème de signature.

Les choses qui font réellement la différence : enregistrez vos numéros auprès des fournisseurs d'analyse, répartissez le volume sur suffisamment de numéros pour qu'aucun ne semble frénétique, surveillez la durée moyenne de vos appels et ajoutez un ID d'appelant personnalisé afin que les destinataires voient qui appelle plutôt qu'une suite de chiffres inconnue.

STIR/SHAKEN est une vérification. Il fonctionne entre les opérateurs, le destinataire ne le voit jamais, et son rôle est d'indiquer au réseau de réception que votre appel est bien ce qu'il prétend être.

L'ID d'appelant personnalisé est un affichage. Il affiche le nom de votre entreprise, et sur les combinés pris en charge, votre logo et une raison d'appeler, sur l'écran du destinataire. Son rôle est de donner à un humain une raison de décrocher.

Ils résolvent des moitiés adjacentes du même problème et fonctionnent mieux ensemble : la signature permet à votre appel de passer le filtre, le branding le fait répondre. La signature est incluse dans votre plan CloudTalk. L'ID d'appelant personnalisé est un module complémentaire payant facturé par appel sortant.

Non. STIR/SHAKEN est un cadre nord-américain, mandaté par la FCC aux États-Unis et le CRTC au Canada. D'autres pays poursuivent leurs propres approches en matière d'authentification de l'ID d'appelant, et beaucoup n'en ont pas encore du tout.

Ceci est plus important qu'il n'y paraît si vous vendez aux États-Unis depuis l'étranger. Les appels provenant de l'extérieur de l'Amérique du Nord entrent généralement dans le réseau américain via un fournisseur de passerelle, ce qui signifie une attestation de passerelle (C), et donc une probabilité plus élevée d'être étiqueté avant que quiconque ne décroche. L'utilisation d'un numéro local américain d'un fournisseur qui signe votre trafic à l'origine évite entièrement ce chemin.

La signature s'effectue automatiquement sur les appels sortants vers les destinations américaines. Il n'y a pas de paramètre à activer, pas de certificat à gérer, et pas de fournisseur d'authentification séparé avec lequel contractualiser. L'implémentation de STIR/SHAKEN est gérée côté opérateur de la plateforme, là où se situe l'obligation réglementaire.

Autour de cela se trouve le reste de la boîte à outils de délivrabilité : enregistrement des numéros anti-spam, remédiation du spam pour les numéros ayant acquis une mauvaise réputation, ID d'appelant personnalisé pour l'affichage, et numéros locaux dans plus de 160 pays afin que vos appels proviennent à proximité des personnes qui les reçoivent. La délivrabilité est rarement résolue par un seul levier, et la signature est celle qui doit être en place avant que les autres n'importent.