SMS, RCS et messageries : ce qui change vraiment en 2026

On annonce sa disparition tous les deux ou trois ans, et il est toujours là. En 2026, le SMS reste le seul moyen d’écrire à quelqu’un dont on ne connaît ni l’application, ni le système, ni le forfait. C’est cette universalité, plus que ses qualités techniques, qui le maintient en vie. En parallèle, son successeur enrichi, le RCS, a franchi au printemps une étape que peu d’observateurs attendaient : le chiffrement de bout en bout entre un iPhone et un Android.

Résultat, deux mondes cohabitent désormais dans la même application de messagerie du téléphone. D’un côté un protocole minimal, utilisé pour les codes de vérification et les alertes. De l’autre un standard moderne, porté par les opérateurs et normalisé par la GSMA, qui ressemble enfin aux messageries que tout le monde utilise au quotidien. Savoir lequel on utilise n’est pas un détail technique : cela détermine ce qui est protégé, et ce qui ne l’est pas.

Pourquoi le SMS résiste encore

Le SMS ne demande rien. Il arrive sur un téléphone sans connexion de données, sans application installée, sans compte à créer. Cette propriété explique presque tous ses usages actuels. Lorsqu’un service veut vérifier qu’il parle bien au propriétaire d’une ligne, il envoie un code court par SMS, parce que ce canal fonctionne sur n’importe quel appareil, du smartphone récent au téléphone à clapet.

Un code reçu par SMS n’est pas le facteur d’authentification le plus robuste qui existe, mais c’est le seul que tout le monde possède réellement. C’est aussi pour cela que les alertes bancaires, les confirmations de commande et les messages de sécurité des services en ligne continuent d’arriver par ce canal : il atteint une personne même si elle n’a rien installé et même si sa connexion est mauvaise.

Sa fragilité est connue : un message court, sans contrôle d’identité de l’expéditeur, et sans chiffrement de bout en bout. Rien dans le protocole ne permet à un destinataire de vérifier que l’émetteur est bien celui qu’il prétend être. C’est exactement cette faille qui est exploitée par les fraudes actuelles, et c’est aussi ce que le RCS cherche à corriger.

Ce que le RCS change en 2026

Le RCS n’est pas une application, c’est un standard porté par les opérateurs et défini par la GSMA dans un document appelé Universal Profile. Concrètement, il remplace le format texte brut du SMS par une conversation moderne : accusés de lecture, indicateur de saisie, photos et vidéos de meilleure qualité, réactions, et échange de contenu enrichi avec des services.

La version 4.0 du profil a introduit une nouveauté visible : la possibilité de transformer une conversation en appel vidéo, sans quitter la messagerie. Elle améliore aussi la négociation des formats, pour que l’expéditeur choisisse automatiquement l’encodage le mieux supporté par son correspondant. La version 4.1, publiée en juillet 2026, ne cherche pas à ajouter des fonctions spectaculaires : elle consolide l’interopérabilité du chiffrement et modernise le transport des messages entre réseaux.

Autrement dit, l’année 2026 est celle des fondations plutôt que des annonces. Pour l’utilisateur, la différence se voit surtout dans la stabilité des échanges entre un iPhone et un Android : deux personnes qui utilisent deux systèmes différents obtiennent enfin la même expérience, avec les mêmes indicateurs dans la conversation. Ce n’était pas le cas il y a encore quelques années.

Le chiffrement de bout en bout arrive

C’est la vraie rupture de 2026. Depuis la mise à jour iOS 26.5, annoncée en mai, les messages RCS échangés entre un iPhone et un appareil Android équipé de la dernière version de Google Messages bénéficient du chiffrement de bout en bout. Concrètement, le contenu de la conversation ne peut être lu que par l’expéditeur et le destinataire, et plus par les intermédiaires techniques une fois la fonction active.

Deux précautions de lecture s’imposent. D’abord, la fonction dépend de l’opérateur, qui doit l’activer : annoncée et déployée ne veulent pas dire disponible partout le même jour. Ensuite, elle se reconnaît à un signe visuel dans la conversation, un cadenas. Son absence signifie que l’échange se fait en clair, ou qu’il est retombé sur un simple SMS.

Ce dernier point est le plus important pour le lecteur. Le chiffrement concerne le RCS. Le SMS, lui, reste un message transmis sans protection de bout en bout, et un message tombé en SMS ne bénéficie d’aucun cadenas. C’est la raison pour laquelle un code de vérification reçu par SMS doit être considéré comme une information sensible, même si le message paraît anodin.

Ce que le RCS ne règle pas

• Il faut une connexion de données. Sans forfait actif ou sans réseau mobile data, le message enrichi ne passe pas, et la conversation retombe sur le SMS. Cette bascule est silencieuse, ce qui explique bien des confusions.
• Il dépend de l’opérateur et de l’appareil. Les fonctionnalités n’arrivent pas au même moment partout, et certains terminaux ne les reçoivent jamais.
• La protection reste liée à l’implémentation. Elle dépend du travail des acteurs de la chaîne. Une messagerie chiffrée indépendante de l’opérateur et du système reste, pour un usage sensible, un choix plus prévisible.
• Le message d’entreprise n’est pas un message personnel. Les marques peuvent envoyer du contenu enrichi, avec images et liens. La mécanique commerciale est intacte, seule la présentation change.
• Rien ne protège contre un faux expéditeur. Aucun chiffrement n’empêche d’afficher un nom trompeur en tête de message.

Le vrai risque : l’usurpation d’expéditeur

La fraude qui monte n’attaque pas le transport, elle attaque la confiance. Le message affiche le nom d’une banque, d’un transporteur, d’une administration ou d’un organisme de santé, et il ressemble à tous les messages légitimes reçus avant lui. Le lien qu’il contient mène à une copie de site qui demande des identifiants, un numéro de carte ou un paiement.

Ce que les pouvoirs publics appellent le smishing, contraction de SMS et d’hameçonnage, est documenté et pris au sérieux. L’agence nationale de cybersécurité grand public décrit le mécanisme, ses conséquences et la marche à suivre en cas de clic. Le régulateur des télécoms publie de son côté une fiche destinée aux consommateurs sur les messages indésirables et frauduleux. Un service de signalement dédié, le 33700, collecte les messages suspects et les transmet quotidiennement aux opérateurs.

La leçon est simple : la confiance ne doit jamais reposer sur le nom affiché. Le bon réflexe consiste à ignorer le lien du message et à ouvrir soi-même l’application ou le site du service concerné, en tapant l’adresse. Un vrai service ne vous reprochera jamais de ne pas avoir cliqué. Si vous avez déjà transmis vos identifiants ou un moyen de paiement, appelez immédiatement votre banque : plus l’alerte est rapide, plus le blocage est efficace. Les conseils à garder sous la main pour un téléphone perdu ou compromis se recoupent largement avec ceux-ci, et méritent d’être connus avant l’incident.

Six réflexes simples

1. Ne cliquez jamais sur un lien reçu dans un message non sollicité, même si le nom affiché est rassurant.
2. Ouvrez l’application officielle du service, ou tapez son adresse vous-même dans le navigateur.
3. Ne communiquez jamais un code de vérification, quel que soit l’interlocuteur qui le demande.
4. Signalez le message au 33700, sans le supprimer tout de suite : le signalement sert à bloquer l’expéditeur.
5. Si vous avez cliqué ou saisi des informations, déclarez l’incident auprès du dispositif public d’assistance aux victimes de cybermalveillance.
6. Si des données bancaires ont été transmises, contactez votre banque sans attendre, puis changez les mots de passe concernés.

Deux lectures complémentaires sur ce site prolongent le sujet : les gestes à appliquer quand un smartphone est perdu et qu’il faut protéger les comptes, et la méthode pour déjouer les tentatives d’usurpation sur les réseaux sociaux, qui reposent sur la même logique de vérification.

Ce qu’il faut retenir

Le SMS n’est pas en train de mourir, et le RCS n’est pas encore son remplaçant universel. Les deux cohabitent, souvent dans la même conversation, et la bascule de l’un à l’autre se fait sans avertissement. Ce qui a réellement changé en 2026, c’est que le standard moderne est enfin chiffré de bout en bout entre les deux grands systèmes mobiles, lorsque l’opérateur suit.

La bonne attitude tient en une phrase : se fier à ce que l’on a ouvert soi-même, jamais à ce qu’un message affirme. Un cadenas dans la conversation vous renseigne sur la protection du canal. Il ne vous dit rien sur l’honnêteté de votre correspondant, et c’est précisément là que se joue la prochaine arnaque.