Après les comptes personnels, Microsoft s’attaque aux entreprises. Dans Entra ID, les clés d’accès vont devenir la méthode de connexion privilégiée, avant l’abandon (presque) définitif des codes SMS et des appels vocaux pris en charge par l’éditeur.
Microsoft avait déjà annoncé le retrait progressif des codes SMS pour la connexion et la récupération des comptes personnels. L’éditeur passe maintenant aux environnements professionnels, suivant un calendrier bien plus contraignant. À compter du 1er septembre 2026, Microsoft Entra ID encouragera automatiquement les utilisateurs et utilisatrices encore dépendants du SMS ou des appels vocaux à enregistrer une clé d’accès. Le 1er février 2027, ces deux méthodes ne seront plus directement prises en charge par Microsoft.
Une migration forcée vers les passkeys dès la rentrée
Pour justifier sa décision, Microsoft invoque la faiblesse des codes temporaires face au phishing, à leur interception et au SIM swapping, qui permet à un attaquant de détourner un numéro de téléphone pour recevoir les SMS et les appels de la victime. Avec l’essor de l’intelligence artificielle dans les entreprises, l’éditeur juge d’autant plus urgent de généraliser des méthodes d’authentification résistantes au phishing.
À l’inverse, les clés d’accès doivent réduire les risques de fraude en supprimant le code que l’utilisateur ou l’utilisatrice peut être amené à communiquer, volontairement ou non. Elles reposent sur une paire de clés cryptographiques, dont la clé privée reste stockée sur l’appareil ou dans un gestionnaire compatible. Entra prend en charge les passkeys synchronisées via le trousseau iCloud ou Google Password Manager, ainsi que celles liées à un appareil, comme Windows Hello, Microsoft Authenticator ou les clés de sécurité FIDO2.
Concrètement, les personnes encore autorisées à utiliser le SMS ou les appels vocaux seront automatiquement intégrées à une campagne d’enregistrement dès le 1er septembre 2026. Elles seront invitées à créer une clé d’accès, mais pourront repousser cette étape jusqu’au 1er février 2027. Passée cette date, il ne sera plus possible de se connecter sans avoir enregistré une clé d’accès. Les comptes ne seront pas désactivés, mais leur accès restera suspendu jusqu’à la fin de cette procédure.
Le SMS survivra, mais à la charge des entreprises
Pour autant, Microsoft ne ferme pas complètement la porte à l’authentification par téléphone. Les organisations soumises à une obligation réglementaire ou confrontées à un besoin opérationnel pourront éventuellement continuer à recevoir des codes par SMS ou par appel vocal, mais elles devront passer par un opérateur tiers référencé dans le Microsoft Security Store.
Une première liste de prestataires doit être publiée le 18 septembre prochain, avant mise en œuvre du service le 30 octobre. Le maintien de ces méthodes aura toutefois un coût. Alors que la prise en charge des clés d’accès est incluse dans toutes les offres Entra, les SMS et les appels seront facturés selon le fournisseur choisi, la région et le volume de communications acheminées.
Le changement dépassera par ailleurs le seul cadre des connexions classiques. Il concernera tous les tenants Entra du cloud public, ainsi que les procédures de réinitialisation autonome des mots de passe qui reposent encore sur un SMS ou un appel vocal.
