Numéros de téléphone E.164 : que stocker et ce qu’un validateur ne peut pas savoir

Ce que c'est

La recommandation UIT-T E.164 (citée) définit le plan de numérotation des télécommunications publiques internationales : un indicatif de pays suivi d’un numéro national significatif, écrit au format international avec un + initial. Le code source de libphonenumber (cité) précise que l’UIT fixe la longueur maximale à 15 chiffres, mais que la bibliothèque accepte des numéros nationaux plus longs, car il en existe en Allemagne. La liste des idées reçues du projet (citée) relève d’autres limites : le signe plus fait partie du format et ne peut pas toujours être remplacé par 00, car le préfixe d’appel international varie selon les pays ; en Italie, un zéro initial après l’indicatif de pays fait partie du numéro ; et l’indicatif de pays d’un numéro ne dit rien du lieu de résidence de son détenteur, de son fuseau horaire ou de sa langue.

Pourquoi c'est important

Les numéros de téléphone sont des identifiants que les personnes saisissent, recopient depuis un écran et lisent à voix haute. Un système de stockage qui les « normalise » en supprimant des zéros, en les convertissant en entiers ou en supposant un seul pays produit des numéros qui aboutissent au mauvais abonné, et un validateur qui rejette un format légitime empêche de vrais utilisateurs de s’inscrire ou d’utiliser l’authentification à deux facteurs.

Comment l'appliquer

• Stocker la forme E.164 comme une chaîne dans une colonne (par exemple +12025550123), ainsi que la saisie d’origine et la région utilisée pour interpréter une saisie au format national ; ne jamais utiliser un type entier, qui supprime les zéros initiaux significatifs dans certains pays et ne peut contenir ni extensions ni autres caractères de numérotation.
• Analyser les numéros avec une bibliothèque maintenue et ses métadonnées de plans de numérotation ; ces plans changent, il faut donc la mettre à jour comme une base de fuseaux horaires.
• Distinguer un numéro « possible » (longueur et préfixe plausibles) d’un numéro « valide » (qui correspond à une plage connue) ; utiliser le contrôle le moins strict pour stocker des coordonnées et réserver le plus strict aux cas qui le nécessitent.
• Vérifier que l’utilisateur détient le numéro au moyen d’un code à usage unique envoyé par SMS ou appel vocal avant de l’utiliser à des fins de sécurité ; la syntaxe ne prouve rien sur la possibilité de le joindre.
• Afficher le numéro au format national ou international selon le lecteur, mais transmettre et comparer sa forme E.164.

Pièges

Limiter la validation à la région du site rejette les résidents qui ont un numéro étranger, situation dont la liste de libphonenumber indique qu’elle peut avoir de nombreuses raisons. Les numéros courts, les numéros d’urgence et les services surtaxés ne sont pas des numéros E.164 et nécessitent un traitement propre. Les extensions (ext. 12) ne rentrent pas dans ce format et doivent être stockées dans un champ séparé. Deux enregistrements du même numéro dans des formats d’affichage différents désignent le même numéro ; dédupliquer sur la forme E.164, pas sur le texte saisi.