Fin du SMS dans Microsoft Entra ID : organiser la bascule vers les passkeys

Microsoft a fixé le calendrier : les codes envoyés par SMS et les appels vocaux fournis par Microsoft pour l’authentification multifacteur d’Entra ID disparaissent le 1er février 2027 pour la plupart des comptes. La méthode par défaut devient la passkey. Sur le papier, la bascule tient en une ligne. Dans une organisation, elle touche des centaines de personnes, des appareils, l’assistance et quelques cas particuliers qu’il vaut mieux traiter avant la date qu’au moment où quelqu’un ne peut plus se connecter.

Ce que Microsoft a annoncé

• Depuis le 1er septembre 2026, les utilisateurs autorisés à utiliser le SMS ou l’appel vocal sont automatiquement autorisés à utiliser les passkeys, et une campagne d’enregistrement gérée par Microsoft les invite à en créer une lors de leur authentification. Par défaut, ils peuvent reporter indéfiniment.
• À partir du 30 octobre 2026, les organisations qui ont un besoin réglementaire ou opérationnel de conserver le SMS ou la voix peuvent configurer un fournisseur de téléphonie depuis Microsoft Security Store, avec un contrat et un coût propres.
• Le 1er février 2027, le SMS et la voix fournis par Microsoft sont retirés pour tous les comptes, à l’exception des administrateurs généraux et des utilisateurs externes. Les invités internes suivent cette date.
• Le 1er juillet 2027, le retrait s’applique aussi aux administrateurs généraux et aux utilisateurs externes.

Le retrait concerne l’ensemble d’Entra ID, y compris la réinitialisation du mot de passe en libre-service. Les tenants Azure AD B2C ne sont pas concernés ; pour Microsoft Entra External ID, Microsoft annonce un calendrier distinct. Le calendrier publié vaut pour le cloud public.

Ce qui se passe si rien n’est fait

Personne n’est verrouillé du jour au lendemain, mais l’expérience change brutalement. Après la date de retrait, un utilisateur dont la seule méthode est le SMS ou la voix doit enregistrer une passkey pendant sa connexion, et ne peut plus reporter : l’invite est bloquante. Il n’existe pas de dérogation à cette obligation. Une option temporaire permet seulement de différer l’activation automatique des passkeys jusqu’au 1er février 2027.

Concrètement, la question n’est donc pas de savoir si la bascule aura lieu, mais si elle aura lieu au rythme choisi par l’organisation, ou le premier jour ouvré de février, devant l’écran de chaque collaborateur, avec une file d’appels à l’assistance.

Traiter la bascule comme un processus

Une migration de méthode d’authentification se pilote comme n’importe quel processus : un périmètre, des étapes, des responsables, une mesure. Voici l’enchaînement que nous recommandons.

1. Mesurer le périmètre

Microsoft publie un script PowerShell qui recense les utilisateurs encore autorisés à utiliser le SMS ou la voix. Le résultat donne la taille réelle du chantier et permet de créer le groupe de sécurité qui servira de cible à la campagne et à la communication. Rapproché de l’annuaire, il dit aussi qui est concerné : service, site, type de poste, statut d’administrateur ou d’invité.

2. Décider par population

Toutes les populations n’ont pas la même solution. Les collaborateurs équipés d’un poste Windows récent et d’un téléphone professionnel peuvent passer aux passkeys sans difficulté. D’autres demandent une décision : les personnes qui travaillent sur des postes partagés, celles qui n’ont pas de téléphone professionnel, les comptes d’administration, les invités. Pour chaque population, il faut choisir la méthode cible (passkey synchronisée, passkey liée à l’appareil, clé de sécurité FIDO2, Windows Hello Entreprise) ou, si un besoin réel l’impose, un fournisseur de téléphonie, en documentant ce besoin.

3. Préparer l’assistance avant la communication

L’assistance recevra les mêmes questions : enregistrer une passkey sur tel type d’appareil, en ajouter une deuxième, remplacer un téléphone perdu. Ces demandes méritent d’exister dans le catalogue de services avant que la campagne ne commence, avec une procédure de vérification d’identité pour le cas le plus sensible : la personne qui n’a plus aucune méthode valide.

4. Communiquer en trois temps

Microsoft recommande une annonce, une demande d’action avec un guide par type d’appareil, puis des relances ciblées sur ceux qui n’ont pas encore enregistré de méthode résistante à l’hameçonnage. Ciblées, car le groupe de l’étape 1 permet de ne pas solliciter ceux qui ont déjà basculé.

5. Activer la campagne et suivre l’avancement

La campagne d’enregistrement d’Entra ID invite les utilisateurs du groupe cible à créer une passkey lors de leur prochaine authentification. Le rapport d’activité des méthodes d’authentification permet de suivre la part de comptes encore dépendants du SMS, semaine après semaine, et de relancer les retardataires bien avant février.

6. Traiter les exceptions, puis retirer le SMS

Les derniers comptes sont presque toujours des cas particuliers : un compte partagé, un collaborateur en congé de longue durée, un prestataire. Chacun doit avoir une décision écrite. Une fois le périmètre vidé, retirer le SMS et la voix de la stratégie des méthodes d’authentification évite qu’un compte n’y revienne par défaut.

Ce que les outils existants peuvent apporter

Ce chantier se mène avec Entra ID, mais il gagne à s’appuyer sur ce qui est déjà en place. L’annuaire et ses groupes délimitent les populations. L’inventaire des postes et des téléphones dit qui dispose d’un appareil compatible. L’outil de gestion des services porte les demandes types, leurs validations et leur traçabilité. Relier ces sources évite de piloter la migration dans un tableur que personne ne tient à jour : c’est le type de liaison entre annuaire, inventaire et gestion des services que ZAPP réalise dans ses projets.

C’est aussi l’occasion d’appliquer une règle simple de la méthode Process Built : décrire le processus avant de l’outiller. Qui décide de la méthode d’une population, qui valide une exception, qui vérifie l’identité d’une personne sans méthode valide ? Une fois ces réponses écrites, l’automatisation devient une conséquence, pas un pari.

Par où commencer cette semaine

• Exécuter le script de Microsoft et noter le nombre de comptes concernés.
• Lister les populations qui demandent une décision et désigner qui la prend.
• Vérifier que l’assistance dispose d’une procédure pour un utilisateur sans méthode valide.
• Fixer une date interne de fin de bascule, plusieurs semaines avant le 1er février 2027.

Si vous souhaitez cadrer cette bascule ou la relier à votre annuaire, à votre inventaire et à votre outil de gestion des services, échangez avec nos équipes.

Retour au blog