Fin del SMS en Microsoft Entra ID: cómo organizar el paso a las passkeys

Microsoft ya ha fijado el calendario: los códigos por SMS y las llamadas de voz que Microsoft proporciona para la autenticación multifactor de Entra ID desaparecen el 1 de febrero de 2027 para la mayoría de las cuentas, y la passkey pasa a ser el método por defecto. Sobre el papel, el cambio cabe en una línea. En una organización, afecta a cientos de personas, a sus dispositivos, al centro de servicio y a algunos casos particulares que conviene resolver antes de la fecha, y no la mañana en que alguien ya no puede iniciar sesión.

Lo que Microsoft ha anunciado

• Desde el 1 de septiembre de 2026, los usuarios habilitados para SMS o voz quedan habilitados automáticamente para las passkeys, y una campaña de registro gestionada por Microsoft les invita a crear una al autenticarse. Por defecto, pueden posponerla indefinidamente.
• A partir del 30 de octubre de 2026, las organizaciones con una necesidad normativa u operativa de mantener el SMS o la voz pueden configurar un proveedor de telefonía desde Microsoft Security Store, con su propio contrato y su propio coste.
• El 1 de febrero de 2027, se retiran el SMS y la voz proporcionados por Microsoft para todas las cuentas, salvo los administradores globales y los usuarios externos. Los invitados internos siguen esta fecha.
• El 1 de julio de 2027, la retirada se extiende a los administradores globales y a los usuarios externos.

La retirada afecta a todo Entra ID, incluido el restablecimiento de contraseña en autoservicio. Los inquilinos de Azure AD B2C quedan fuera del alcance; para Microsoft Entra External ID, Microsoft anuncia un calendario aparte. Las fechas publicadas se aplican a la nube pública.

Qué ocurre si no se hace nada

Nadie queda bloqueado de un día para otro, pero la experiencia cambia de golpe. Tras la fecha de retirada, un usuario cuyo único método sea el SMS o la voz deberá registrar una passkey durante el inicio de sesión, sin poder posponerlo: el aviso es bloqueante. No existe exención a esta obligación. Una opción temporal solo permite aplazar la habilitación automática de las passkeys hasta el 1 de febrero de 2027.

En la práctica, la cuestión no es si el cambio se producirá, sino si se hará al ritmo que elija la organización o el primer día laborable de febrero, delante de la pantalla de cada empleado, con una cola de llamadas al centro de servicio.

Tratar el cambio como un proceso

Un cambio de método de autenticación se gestiona como cualquier proceso: un alcance, unas etapas, unos responsables y una medida del avance. Esta es la secuencia que recomendamos.

1. Medir el alcance

Microsoft publica un script de PowerShell que enumera los usuarios todavía habilitados para SMS o voz. El resultado muestra el tamaño real del trabajo y permite crear el grupo de seguridad al que se dirigirán la campaña y la comunicación. Cruzado con el directorio, indica además quién está afectado: departamento, sede, tipo de equipo, condición de administrador o de invitado.

2. Decidir por colectivo

No todos los colectivos tienen la misma respuesta. Quien dispone de un portátil Windows reciente y de un teléfono de empresa puede pasar a las passkeys sin dificultad. Otros requieren una decisión: las personas que trabajan en equipos compartidos, las que no tienen teléfono de empresa, las cuentas de administración, los invitados. Para cada colectivo hay que elegir el método de destino (passkey sincronizada, passkey vinculada al dispositivo, llave de seguridad FIDO2, Windows Hello para empresas) o, si existe una necesidad real, un proveedor de telefonía, documentando esa necesidad.

3. Preparar el centro de servicio antes de comunicar

El centro de servicio recibirá una y otra vez las mismas preguntas: registrar una passkey en un tipo de dispositivo, añadir una segunda, sustituir un teléfono perdido. Estas solicitudes deben figurar en el catálogo de servicios antes de que empiece la campaña, junto con un procedimiento de verificación de identidad para el caso más delicado: la persona que ya no tiene ningún método válido.

4. Comunicar en tres tiempos

Microsoft recomienda un anuncio, una petición de acción con una guía por tipo de dispositivo y, después, recordatorios dirigidos a quienes aún no han registrado un método resistente al phishing. Dirigidos, porque el grupo de la etapa 1 evita molestar a quienes ya han hecho el cambio.

5. Activar la campaña y seguir el avance

La campaña de registro de Entra ID invita a los usuarios del grupo de destino a crear una passkey en su siguiente autenticación. El informe de actividad de los métodos de autenticación muestra, semana a semana, cuántas cuentas dependen todavía del SMS, para insistir con los rezagados mucho antes de febrero.

6. Resolver las excepciones y retirar el SMS

Las últimas cuentas son casi siempre casos particulares: una cuenta compartida, una persona de baja prolongada, un proveedor externo. Cada una necesita una decisión por escrito. Una vez vaciado el alcance, retirar el SMS y la voz de la directiva de métodos de autenticación evita que alguna cuenta vuelva a ellos por defecto.

Lo que pueden aportar las herramientas existentes

El trabajo se hace en Entra ID, pero gana mucho apoyándose en lo que ya existe. El directorio y sus grupos delimitan los colectivos. El inventario de equipos y teléfonos indica quién dispone de un dispositivo compatible. La herramienta de gestión de servicios recoge las solicitudes tipo, sus aprobaciones y su trazabilidad. Conectar estas fuentes evita dirigir la migración desde una hoja de cálculo que nadie mantiene al día: es el tipo de conexión entre directorio, inventario y gestión de servicios que ZAPP realiza en sus proyectos.

Es también el momento de aplicar una regla sencilla del método Process Built: describir el proceso antes de automatizarlo. ¿Quién decide el método de un colectivo, quién aprueba una excepción, quién verifica la identidad de una persona sin método válido? Una vez escritas esas respuestas, la automatización es una consecuencia y no una apuesta.

Por dónde empezar esta semana

• Ejecutar el script de Microsoft y anotar el número de cuentas afectadas.
• Enumerar los colectivos que requieren una decisión y designar quién la toma.
• Comprobar que el centro de servicio dispone de un procedimiento para un usuario sin método válido.
• Fijar una fecha interna de fin del cambio, varias semanas antes del 1 de febrero de 2027.

Si desea planificar este cambio o conectarlo con su directorio, su inventario y su herramienta de gestión de servicios, hable con nuestro equipo.

Volver al blog