Microsoft Entra ID : les passkeys par défaut dès septembre

Microsoft va modifier en profondeur l’authentification multifacteur de Microsoft Entra ID. À partir du 1er septembre 2026, les passkeys deviendront l’expérience par défaut pour les utilisateurs encore activés sur le SMS ou l’appel vocal. Lors de leur prochaine authentification MFA, ces utilisateurs pourront être invités à enregistrer une clé d’accès.

Le changement ne se limite pas à une nouvelle option de connexion. Microsoft annonce aussi le retrait de sa propre livraison télécom pour les codes SMS et les appels vocaux dans Entra ID. Cette étape est prévue le 1er février 2027 pour les environnements de cloud public. Les entreprises qui utilisent encore ces méthodes devront donc préparer une migration vers des identifiants résistants au phishing ou passer par un fournisseur télécom tiers via le Microsoft Security Store.

Un calendrier qui laisse peu de marge

Le premier jalon arrive le 1er septembre 2026. À cette date, les utilisateurs activés pour le SMS ou la voix dans les politiques de méthodes d’authentification, ou dans les anciens réglages MFA, seront automatiquement inclus dans une configuration permettant l’enregistrement de passkeys. Microsoft indique que la campagne d’inscription passera aussi en état géré par Microsoft pour viser ces utilisateurs.

Le 18 septembre 2026, Microsoft doit publier les informations sur les fournisseurs télécoms pris en charge, les conditions commerciales et la documentation de déploiement. À partir du 30 octobre 2026, les administrateurs pourront sélectionner et configurer un fournisseur compatible dans le Microsoft Security Store s’ils doivent conserver le SMS ou l’appel vocal pour des cas précis.

Le jalon bloquant est fixé au 1er février 2027. À cette date, Microsoft retirera la livraison native des SMS et appels vocaux. Après cette échéance, les utilisateurs qui n’ont que le SMS ou la voix comme méthode MFA devront enregistrer une passkey pour continuer à se connecter, sauf si l’organisation a configuré un fournisseur télécom tiers. Microsoft précise qu’il n’y aura pas d’option de retrait pour cette application finale.

Pourquoi Microsoft abandonne le SMS comme méthode par défaut

Le SMS et l’appel vocal reposent sur des canaux que les attaquants peuvent intercepter, détourner ou manipuler par ingénierie sociale. Les attaques par SIM swapping, les relais de codes MFA et les kits de phishing capables de reproduire des portails de connexion ont rendu ces facteurs plus fragiles, en particulier pour les comptes professionnels donnant accès à Microsoft 365, Azure ou des applications métier.

Microsoft relie cette décision à l’augmentation des attaques d’identité à l’ère de l’IA. L’entreprise cite ses propres observations de Threat Intelligence, selon lesquelles certaines campagnes de phishing assistées par IA atteignent jusqu’à 54 % de taux de clic, contre environ 12 % pour des campagnes plus traditionnelles. Ce chiffre reste une observation Microsoft, pas une mesure universelle de toutes les attaques, mais il explique la priorité donnée aux méthodes impossibles à réutiliser sur un faux site.

Une passkey repose sur une paire de clés cryptographiques. La clé privée reste sur l’appareil, dans une clé de sécurité ou dans un gestionnaire compatible, tandis que le service conserve la clé publique. Lors de la connexion, l’utilisateur déverrouille localement sa passkey avec un code PIN, une empreinte ou une reconnaissance faciale. Le secret n’est pas saisi dans une page Web et ne peut pas être rejoué comme un mot de passe ou un code reçu par SMS.

Ce que les administrateurs doivent vérifier

La première tâche consiste à identifier les utilisateurs encore activés sur le SMS ou la voix. Microsoft fournit une méthode de vérification dans sa documentation Entra ID et recommande de traiter ces comptes avant le démarrage automatique de septembre. Les comptes d’administrateurs, les profils à privilèges, les prestataires externes et les utilisateurs mobiles doivent être examinés séparément, car ils n’ont pas tous les mêmes appareils ni les mêmes contraintes de récupération.

Les entreprises françaises et européennes qui utilisent Entra ID dans le cloud public doivent aussi préparer la communication interne. Un enregistrement de passkey peut être simple pour un utilisateur équipé d’un smartphone récent ou de Windows Hello, mais il peut devenir plus délicat dans un parc partagé, en environnement industriel, avec des téléphones non gérés ou pour des collaborateurs sans biométrie activée.

Microsoft prévoit une option temporaire de retrait pour la période comprise entre le 1er septembre 2026 et le 1er février 2027, avec des informations d’API annoncées pour le 1er août 2026. Cette option sert à terminer une migration ou à préparer un fournisseur télécom tiers. Elle ne supprime pas l’échéance de février 2027.

Passkeys synchronisées ou liées à un appareil

Entra ID prend en charge deux grandes familles de passkeys. Les passkeys synchronisées sont stockées dans un gestionnaire de plateforme comme iCloud Keychain ou Google Password Manager et peuvent suivre l’utilisateur entre plusieurs appareils. Elles offrent une expérience plus fluide, notamment pour les utilisateurs équipés de smartphones personnels ou professionnels déjà configurés.

Les passkeys liées à un appareil restent associées à un support précis. Il peut s’agir de Microsoft Authenticator, d’une passkey Entra sur Windows ou d’une clé de sécurité FIDO2. Cette approche convient mieux aux comptes sensibles, aux administrateurs et aux secteurs soumis à des exigences fortes, car elle réduit la dépendance à une synchronisation cloud et permet d’imposer des contrôles d’attestation.

Microsoft indique que l’attestation peut être appliquée au niveau des profils de passkeys. Lorsqu’elle est activée, les passkeys synchronisées sont exclues au profit de passkeys liées à des appareils vérifiables. Ce choix augmente le contrôle de sécurité, mais il implique plus de gestion matérielle, de support utilisateur et de procédures de récupération.

Les limites encore ouvertes avant 2027

Plusieurs points restent à préciser. Microsoft n’a pas encore publié la liste des fournisseurs télécoms du Security Store, ni leurs tarifs par région. Les coûts seront à la charge des clients qui souhaitent conserver le SMS ou la voix, alors que la migration vers les passkeys ne doit pas ajouter de coût Microsoft spécifique pour les utilisateurs concernés.

Le calendrier annoncé vise les environnements de cloud public. Les autres environnements cloud suivront plus tard, avec des dates distinctes. Les organisations qui utilisent des environnements particuliers, des exigences de souveraineté ou des tenants séparés devront donc vérifier leur périmètre exact avant de lancer une communication globale.

Les comptes B2B et les invités internes demandent aussi de l’attention. Microsoft indique que la prise en charge des passkeys pour ces utilisateurs est prévue d’ici la fin de l’année civile 2026. Les entreprises qui s’appuient fortement sur des partenaires, des prestataires ou des filiales devront tester ces scénarios avant l’échéance de février 2027.

La bascule vers les passkeys ne remplace pas une politique d’identité complète. Les administrateurs doivent conserver des procédures de récupération solides, limiter les méthodes de secours faibles, documenter les exceptions réglementaires et tester les connexions critiques avant de retirer le SMS et la voix. Sans cette préparation, une méthode plus sûre peut tout de même produire des blocages opérationnels.

Sources principales

• Microsoft Security Blog, annonce des passkeys par défaut dans Entra ID
• Microsoft Learn, calendrier de retrait du SMS et de la voix dans Entra ID
• Microsoft Learn, fonctionnement des passkeys FIDO2 dans Microsoft Entra ID

Crédit image : Microsoft.