La fraude dans les télécommunications coûte chaque année 32,7 milliards de dollars au secteur mondial, selon la Communications Fraud Control Association (CFCA). En 2023, ce chiffre atteignait 38,95 milliards de dollars, soit 2,5 % des revenus totaux du secteur. Pour les DSI qui gèrent des call centers ou des équipes de prospection, le choix et la configuration du SIP trunk sont déterminants pour la réputation téléphonique de l'entreprise.
Un trunk SIP mal sécurisé ne se contente pas d'exposer l'entreprise à la fraude : il peut entraîner l'usurpation de vos numéros (spoofing), des signalements spam en cascade et, in fine, le blacklisting de vos lignes. Ce guide technique vous donne les clés pour maîtriser cette infrastructure critique.
Qu'est-ce que le SIP trunking et pourquoi impacte-t-il votre réputation ?
Le SIP (Session Initiation Protocol) trunking est la liaison virtuelle qui connecte votre système téléphonique interne (IPBX) au réseau téléphonique public via Internet. Il remplace les anciennes lignes physiques T0/T2 par des canaux numériques transitant sur votre connexion IP.
Contrairement à une ligne analogique, un trunk SIP expose votre infrastructure téléphonique à Internet. Cela signifie que :
- Vos en-têtes SIP sont visibles — les informations d'identification d'appel (Caller ID) peuvent être interceptées ou falsifiées si le trunk n'est pas sécurisé.
- La réputation est mutualisée — si votre fournisseur SIP partage des plages de numéros entre clients, le comportement d'un autre utilisateur peut affecter votre réputation.
- Les attaques sont automatisées — les robots scannent en permanence les ports SIP (5060/5061) à la recherche de trunks vulnérables.
Les 5 piliers d'un SIP trunk qui protège votre réputation
1. Le Session Border Controller (SBC) : votre pare-feu vocal
Le SBC est l'équivalent du firewall pour votre téléphonie. Placé à la frontière entre votre réseau interne et le trunk SIP, il remplit plusieurs fonctions critiques :
- Inspection des paquets SIP — détection des requêtes malformées ou suspectes.
- Masquage de la topologie — vos adresses IP internes restent invisibles de l'extérieur.
- Prévention de la fraude (toll fraud) — limitation des destinations d'appels autorisées et détection des pics d'activité anormaux.
- Protection contre les attaques DoS — filtrage du trafic SIP massif visant à saturer votre infrastructure.
Sans SBC, votre IPBX est directement exposé à Internet. C'est l'erreur la plus courante et la plus dangereuse pour votre réputation téléphonique.
2. Chiffrement TLS + SRTP : la confidentialité de bout en bout
Le protocole SIP transmet par défaut les données en clair. Pour sécuriser vos communications :
- TLS (Transport Layer Security) chiffre la signalisation SIP — les informations de session (qui appelle qui, quand, durée) sont protégées.
- SRTP (Secure Real-time Transport Protocol) chiffre le flux audio — impossible d'écouter les conversations même en cas d'interception.
Exigez systématiquement le support TLS 1.2 minimum (idéalement 1.3) auprès de votre fournisseur SIP. Si votre opérateur ne propose pas le chiffrement SRTP, changez de fournisseur.
3. Authentification et contrôle d'accès
Les bonnes pratiques d'authentification pour votre trunk SIP :
- Authentification digest avec identifiants complexes (minimum 16 caractères, rotation trimestrielle).
- Filtrage par IP source — autorisez uniquement les adresses IP de votre fournisseur SIP sur les ports 5060/5061.
- Listes de contrôle d'accès (ACL) sur votre SBC pour restreindre les plages d'adresses autorisées.
- Limitation du nombre d'appels simultanés par trunk pour détecter immédiatement toute activité frauduleuse.
4. Supervision et alertes en temps réel
Un trunk SIP sans monitoring, c'est un avion sans tableau de bord. Les DSI doivent mettre en place :
- Alertes sur les destinations inhabituelles — un pic d'appels vers des numéros surtaxés ou internationaux est souvent le signe d'une compromission.
- Monitoring du volume d'appels — comparer le trafic réel aux patterns habituels.
- Suivi des codes de réponse SIP — un taux élevé de 403 (Forbidden) ou 407 (Authentication Required) signale des tentatives d'intrusion.
- Tableaux de bord de réputation — intégrer un outil comme l'API HUHU pour suivre en temps réel le statut spam de vos numéros sortants.
5. STIR/SHAKEN : l'authentification de l'identité appelante
Le protocole STIR/SHAKEN (Secure Telephony Identity Revisited / Signature-based Handling of Asserted information using toKENs) est le standard d'authentification des appels. Développé aux États-Unis et progressivement adopté en Europe, il permet de :
- Certifier l'identité de l'appelant — chaque appel est signé numériquement par l'opérateur d'origine.
- Attribuer un niveau d'attestation — A (pleine attestation), B (attestation partielle) ou C (passerelle, identité non vérifiable).
- Détecter le spoofing — un appel dont la signature ne correspond pas à l'opérateur déclaré est immédiatement suspect.
En France, l'ARCEP travaille à l'implémentation progressive de STIR/SHAKEN. Les DSI doivent s'assurer que leur fournisseur SIP prend en charge ce protocole ou prévoit son déploiement, car il deviendra un facteur clé de la réputation téléphonique.
Choisir son fournisseur SIP trunk : les critères de réputation
Le choix du fournisseur SIP a un impact direct sur votre réputation. Voici les critères à évaluer :
Numéros dédiés vs mutualisés
Privilégiez les numéros dédiés (DID). Avec des numéros partagés ou mutualisés, vous héritez potentiellement de la mauvaise réputation des autres utilisateurs du même pool. C'est le même problème que les numéros recyclés qui héritent d'une mauvaise réputation.
Capacité du fournisseur en matière de sécurité
| Critère | Minimum acceptable | Recommandé |
|---|---|---|
| Chiffrement signalisation | TLS 1.2 | TLS 1.3 |
| Chiffrement média | SRTP | SRTP + ZRTP |
| Contrôle d'accès | IP whitelisting | IP + certificats mutuels |
| Anti-fraude | Alertes manuelles | Détection automatique + coupure |
| STIR/SHAKEN | Roadmap publiée | Implémenté avec attestation A |
| SBC managé | Optionnel | Inclus dans l'offre |
Les principaux fournisseurs en France
Les opérateurs Tier 1 comme Orange Business et Bouygues Telecom Business proposent des trunks SIP avec un niveau de sécurité élevé et une maîtrise de leur cœur de réseau. Des acteurs cloud comme OVHcloud Telecom offrent des solutions flexibles avec des formules Carrier SIP Trunk adaptées aux gros volumes (jusqu'à 100 canaux par trunk). Des spécialistes comme Ringover ou Keyyo ciblent davantage les PME avec des solutions clé en main.
Le critère déterminant reste la qualité des plages de numéros attribuées : un opérateur qui recycle agressivement ses numéros ou mutualise ses pools expose ses clients à des problèmes de réputation hérités.
Architecture recommandée pour les DSI
Voici l'architecture type que nous recommandons pour protéger la réputation téléphonique d'un call center :
┌─────────────┐ ┌─────────┐ ┌──────────────┐ ┌─────────────┐
│ Agents │────▶│ IPBX │────▶│ SBC │────▶│ Trunk SIP │
│ (postes) │ │ │ │ (TLS+SRTP) │ │ (opérateur) │
└─────────────┘ └─────────┘ └──────────────┘ └─────────────┘
│ │ │
▼ ▼ ▼
┌─────────┐ ┌──────────────┐ ┌──────────────┐
│Monitoring│ │ Logs SIP │ │ API HUHU │
│ interne │ │ (analyse) │ │ (réputation) │
└─────────┘ └──────────────┘ └──────────────┘
Points clés de cette architecture :
- Le SBC est obligatoire entre l'IPBX et le trunk SIP — jamais d'exposition directe.
- Les logs SIP doivent être conservés et analysés pour détecter les anomalies.
- L'API de vérification de réputation doit être intégrée en amont des campagnes d'appels pour vérifier le statut de chaque numéro sortant.
- Le monitoring déclenche des alertes automatiques en cas de comportement anormal (pic d'appels, destinations suspectes, taux de rejet élevé).
Les erreurs qui ruinent votre réputation depuis le SIP trunk
Les DSI commettent fréquemment ces erreurs qui impactent directement la réputation des numéros :
- Pas de SBC — l'IPBX exposé directement à Internet est compromis en quelques heures. Des bots frauduleux passent des appels depuis vos numéros, qui se retrouvent blacklistés.
- Ports SIP par défaut non protégés — les ports 5060 (SIP) et 5061 (SIPS) sont scannés en permanence. Sans filtrage IP, c'est une porte ouverte.
- Identifiants faibles sur le trunk — des mots de passe simples sur l'authentification SIP permettent des attaques par force brute.
- Pas de limite d'appels simultanés — sans plafond, une compromission peut générer des milliers d'appels frauduleux en quelques minutes.
- Ignorer les numéros mutualisés — accepter un pool de numéros sans vérifier leur historique de réputation.
Chacune de ces erreurs peut transformer vos numéros en « spam » aux yeux des opérateurs et des applications anti-spam. La téléphonie cloud (Teams, Zoom) accentue encore ce risque car ces plateformes s'appuient sur des bases de données de réputation partagées.
Checklist technique : sécuriser votre SIP trunk en 10 points
- ☐ Déployer un SBC entre l'IPBX et le trunk SIP.
- ☐ Activer TLS 1.2+ sur la signalisation SIP.
- ☐ Activer SRTP sur tous les flux média.
- ☐ Filtrer par IP source les connexions au trunk.
- ☐ Configurer des identifiants complexes (16+ caractères) avec rotation trimestrielle.
- ☐ Plafonner les appels simultanés par trunk et par destination.
- ☐ Bloquer les destinations surtaxées non nécessaires à l'activité.
- ☐ Mettre en place des alertes temps réel sur les anomalies de trafic.
- ☐ Vérifier la réputation des numéros avant chaque campagne via une API dédiée.
- ☐ Exiger le support STIR/SHAKEN de votre fournisseur SIP.
FAQ
Qu'est-ce qu'un SIP trunk et en quoi diffère-t-il d'une ligne téléphonique classique ?
Un SIP trunk est une liaison virtuelle qui connecte votre système téléphonique (IPBX) au réseau public via Internet. Contrairement à une ligne analogique ou RNIS qui utilise un câble physique dédié, le SIP trunk transmet la voix sous forme de paquets de données sur votre connexion IP. Il offre plus de flexibilité (ajout de canaux à la demande) et des coûts réduits, mais nécessite une sécurisation spécifique puisqu'il est exposé à Internet.
Comment savoir si mon SIP trunk est correctement sécurisé ?
Vérifiez ces trois points essentiels : 1) Un SBC (Session Border Controller) est installé entre votre IPBX et le trunk, 2) Le chiffrement TLS est actif sur la signalisation SIP (port 5061 plutôt que 5060), 3) Le chiffrement SRTP est activé sur les flux audio. Si l'un de ces éléments manque, votre infrastructure est vulnérable.
Mon fournisseur SIP peut-il affecter la réputation de mes numéros ?
Oui, significativement. Si votre fournisseur mutualise des plages de numéros entre plusieurs clients, le comportement spam d'un autre utilisateur peut dégrader la réputation de vos propres numéros. Privilégiez les numéros dédiés (DID) et demandez à votre fournisseur de vérifier l'historique de réputation avant attribution.
STIR/SHAKEN est-il obligatoire en France ?
En mars 2026, STIR/SHAKEN n'est pas encore obligatoire en France, mais l'ARCEP travaille activement à son déploiement. Aux États-Unis, il est obligatoire depuis 2021 pour les grands opérateurs. Les DSI français ont intérêt à anticiper en choisissant un fournisseur SIP qui le supporte déjà ou affiche une roadmap claire.
