Calipia : le blog

Microsoft avait déjà donné le ton fin mars 2026 en muscler le Self Service Password Reset dans Entra ID. Trois mois plus tard, l’éditeur enfonce le clou avec une annonce autrement plus structurante : à compter du 1er septembre 2026, le passkey devient la méthode d’authentification par défaut pour tous les comptes Entra ID, et le SMS comme la voix sont officiellement placés en sursis. Rien d’improvisé ici, Microsoft avait déjà préparé le terrain en activant automatiquement les profils de passkeys et les passkeys synchronisées dès mars 2026. Cette fois, c’est le calendrier de bascule complet qui est posé noir sur blanc et c’est à notre avis une bonne nouvelle.

Ce qui change concrètement

Le principe est simple à énoncer, un peu plus délicat à orchestrer sur un parc de plusieurs milliers d’identités. Dès le 1er septembre 2026, tout utilisateur actuellement configuré sur SMS ou voix sera automatiquement basculé vers l’expérience passkey. Au prochain défi d’authentification multifacteur, il se verra proposer l’enregistrement d’une passkey, sans qu’un administrateur ait à intervenir compte par compte. Microsoft s’appuie ici sur son mécanisme de campagne d’enregistrement (registration campaign), déjà connu des équipes IAM, pour pousser l’adoption à grande échelle plutôt que de compter sur la bonne volonté des utilisateurs.

Deux familles de passkeys restent supportées dans Entra ID : les passkeys synchronisées, hébergées dans un gestionnaire d’identifiants comme iCloud Keychain ou Google Password Manager, et les passkeys liées à l’appareil, via Microsoft Authenticator, la passkey Entra intégrée à Windows, ou une clé de sécurité FIDO2. De quoi couvrir aussi bien le collaborateur nomade équipé d’un smartphone personnel que le poste de travail durci d’un environnement réglementé.

La suite du calendrier mérite d’être notée quelque part dans un coin bien visible du plan de projet identité :

• 1er septembre 2026 : bascule automatique des utilisateurs SMS ou voix vers l’enregistrement passkey.
• 18 septembre 2026 : publication de la liste des opérateurs télécom partenaires, de la documentation technique et des tarifs pour qui souhaite conserver SMS ou voix.
• 30 octobre 2026 : ouverture de la sélection d’un opérateur télécom tiers via le Microsoft Security Store.
• 1er février 2027 : arrêt définitif de la fourniture native de SMS et voix par Microsoft. Passé cette date, tout utilisateur encore sur ces méthodes devra enregistrer une passkey pour se connecter, sans option de contournement.

Cette dernière ligne mérite d’être soulignée à l’attention des directions sécurité. Il ne s’agit pas d’une simple dépréciation en douceur : après le 1er février 2027, l’enregistrement d’une passkey devient obligatoire, point final. Les organisations qui traînent des pieds n’auront pas de session de rattrapage.

Pourquoi maintenant

L’argumentaire de Microsoft s’appuie sur des chiffres tirés de son propre Digital Defense Report 2025 : les campagnes de phishing assistées par IA afficheraient des taux de clic pouvant atteindre 54 %, contre environ 12 % pour les campagnes traditionnelles. Le SMS et la voix, qui reposent sur des secrets partagés et des canaux interceptables, deviennent une cible de choix pour des attaques automatisées capables d’enchaîner découverte, élévation de privilèges et mouvement latéral à une vitesse que plus aucun analyste SOC ne peut suivre manuellement. La passkey, fondée sur la cryptographie à clé publique et l’absence de secret partagé transmis sur le réseau, ferme mécaniquement cette porte d’entrée. L’argument technique tient la route, même si l’on peut noter, non sans un brin d’ironie, que Microsoft cite l’IA à la fois comme source du problème et comme justification de la solution.

Le point qui va faire tiquer les DSI : la monétisation du SMS résiduel

Le détail le plus intéressant pour un directeur des systèmes d’information ne se trouve pas dans la partie technique, mais dans la partie commerciale. Microsoft ne va pas simplement désactiver le SMS et la voix, il va cesser d’en assurer la fourniture native et renvoyer les organisations qui en ont encore besoin vers des opérateurs télécom tiers référencés dans le Microsoft Security Store, avec des coûts qui seront désormais directement facturés par ces partenaires. Autrement dit, ce qui était inclus dans l’abonnement Entra ID devient, pour les cas d’usage résiduels réglementaires ou métiers, un service payant à contractualiser séparément. Les secteurs très encadrés (banque, assurance, santé) qui doivent parfois conserver un canal SMS pour des raisons de conformité locale ou d’accessibilité vont devoir budgéter cette dépendance dès l’exercice 2027.

Il y a également un sujet de souveraineté et de dépendance qui mérite d’être posé sur la table des comités d’architecture. Faire reposer l’authentification multifacteur d’une organisation entière sur des passkeys synchronisées via des écosystèmes tiers (Apple, Google) suppose une réflexion préalable sur la gouvernance de ces identifiants, leur portabilité, et les scénarios de récupération de compte en cas de perte d’appareil. Microsoft promet des mécanismes de recovery qui ne dépendent plus de méthodes phishables, une bonne nouvelle en théorie, mais qui devra être testée en conditions réelles avant le grand soir de septembre.

À noter enfin, pour les organisations opérant en environnement souverain ou en cloud gouvernemental : ce calendrier ne concerne pour l’instant que le cloud public Entra ID. Les environnements spécifiques suivront un calendrier distinct, dont Microsoft promet de communiquer les détails ultérieurement. De quoi laisser un peu de répit à certains, et un peu d’incertitude à d’autres.

Ce que l’on doit faire dès maintenant

Le message de Microsoft est sans ambiguïté : mieux vaut piloter la transition que la subir. Concrètement, cela implique de cartographier dès aujourd’hui les populations encore enrôlées en SMS ou voix, de définir une stratégie de déploiement des passkeys adaptée aux différents profils d’utilisateurs (poste fixe d’entreprise, mobilité BYOD, comptes à privilèges), d’activer la campagne d’enregistrement pour lisser l’adoption avant la bascule forcée de septembre, et de préparer une communication utilisateur claire pour éviter l’avalanche de tickets au support le jour J. Les organisations ayant un besoin réglementaire avéré de conserver SMS ou voix ont, elles, tout intérêt à surveiller l’annonce du 18 septembre 2026 pour évaluer le coût réel de cette option de repli.

Une chose est sûre : le mot de passe, déjà mal en point depuis des années, vient de perdre son dernier filet de sécurité côté Microsoft. La question n’est plus de savoir si les passkeys s’imposeront dans l’écosystème Entra ID, mais à quelle vitesse chaque organisation saura absorber le changement sans perdre en confort utilisateur, ni en budget.