Microsoft abandonne progressivement l’authentification par SMS
pourquoi passer aux passkeys en 2026 et comment les activer.

Le message général est clair : Microsoft veut réduire l’usage des méthodes d’authentification considérées comme facilement hameçonnables et faire des passkeys la nouvelle norme. Mais le calendrier dépend du type de compte.

Pour les comptes Microsoft personnels, la société indique qu’elle commence à supprimer progressivement le SMS comme méthode d’authentification et de récupération. Elle recommande à la place les comptes sans mot de passe, les passkeys et les adresses e-mail vérifiées. Microsoft ne publie pas, sur sa page de support grand public, une date universelle unique à laquelle tous les particuliers perdraient simultanément l’accès aux SMS.

Pour les comptes professionnels gérés via Microsoft Entra ID, le calendrier est beaucoup plus précis. Depuis le 1er septembre 2026, les utilisateurs encore activés pour le SMS ou la voix sont automatiquement rendus éligibles aux passkeys et peuvent être invités à en enregistrer une. Le service de télécommunication SMS/voix fourni nativement par Microsoft doit être retiré le 1er février 2027.

Cette distinction est essentielle pour comprendre la stratégie de Microsoft. Il ne s’agit pas d’une opération marketing isolée : le groupe réorganise progressivement son système d’identité autour de méthodes résistantes au phishing.

Pour les entreprises, Microsoft a publié un calendrier précis en juillet 2026. Depuis le 1er septembre 2026, les utilisateurs Microsoft Entra ID qui utilisaient encore le SMS ou les appels vocaux comme méthode d’authentification sont automatiquement activés pour les passkeys. Lors de leur prochaine authentification multifacteur, ils peuvent être invités à enregistrer une passkey.

Le deuxième jalon arrive le 1er février 2027. À cette date, Microsoft cessera de fournir directement le transport télécom SMS et voix dans Entra ID. Les organisations qui ont une contrainte réglementaire, métier ou technique les obligeant à conserver ces méthodes pourront passer par des fournisseurs télécoms gérés par le client via le Microsoft Security Store.

Après cette date, les utilisateurs dont la seule méthode MFA reste le SMS ou la voix devront enregistrer une passkey avant de pouvoir continuer à accéder à leur compte, sauf environnement configuré avec une solution télécom tierce compatible.

Microsoft précise que ces dates concernent Entra ID dans le cloud public. Les autres environnements cloud peuvent suivre un calendrier différent. Pour une entreprise, il est donc risqué de transformer le 1er février 2027 en date universelle valable pour tous les produits Microsoft.

Une passkey est un identifiant cryptographique basé sur les standards FIDO. Au lieu de stocker un mot de passe identique des deux côtés, le système crée une paire : une clé privée qui reste sur l’appareil ou dans le gestionnaire de passkeys, et une clé publique enregistrée par le service.

Lorsque vous vous connectez, le site envoie un défi cryptographique. Votre appareil utilise la clé privée pour le signer après vérification locale de votre identité, généralement avec Windows Hello, Face ID, Touch ID, une empreinte digitale, un code PIN ou une clé de sécurité matérielle. Le serveur vérifie ensuite la signature avec la clé publique.

Votre donnée biométrique n’est pas envoyée à Microsoft. Elle sert uniquement à déverrouiller localement la clé privée. La FIDO Alliance précise que les informations biométriques restent sur l’appareil et que le serveur reçoit seulement la preuve que la vérification locale a réussi.

Autre différence majeure : une passkey est liée au service pour lequel elle a été créée. Un faux site qui ressemble à account.microsoft.com ne peut pas demander à votre appareil d’utiliser la clé prévue pour le véritable domaine. C’est ce mécanisme qui apporte la résistance au phishing.

L’expression « Microsoft Authenticator » peut elle-même recouvrir plusieurs usages. Une validation moderne associée à une authentification liée au bon service n’a pas le même niveau de sécurité qu’un simple code temporel affiché dans l’application puis recopié manuellement.

Pour cette raison, la priorité de Microsoft n’est plus seulement de déplacer les codes du SMS vers une application. L’objectif est de supprimer le principe même du secret facilement transférable et de faire basculer les utilisateurs vers les passkeys ou d’autres méthodes résistantes au phishing.

Dans Microsoft Entra ID, la transition ne concerne pas seulement l’utilisateur final. Les administrateurs doivent identifier les personnes qui utilisent encore SMS ou voix, préparer les politiques d’authentification, vérifier les appareils compatibles et organiser la récupération en cas de perte.

Microsoft recommande de migrer vers des méthodes résistantes au phishing avant février 2027 afin d’éviter des interruptions de connexion. Les organisations qui doivent conserver SMS ou voix pour des raisons réglementaires ou opérationnelles pourront choisir un fournisseur télécom tiers compatible via le Microsoft Security Store.

Le changement a également un intérêt économique. Les OTP par SMS impliquent des coûts télécoms récurrents et un support utilisateur important. Les passkeys réduisent le nombre de mots de passe oubliés, de codes non reçus et de réinitialisations, tout en diminuant la surface de phishing.

Pour une PME, la bonne démarche consiste à commencer par un inventaire simple : qui utilise encore le SMS, quels appareils sont compatibles, quelles applications dépendent de méthodes anciennes et quels comptes sont les plus sensibles. Les dirigeants, administrateurs, personnes ayant accès à la facturation, aux boîtes mail stratégiques ou aux outils financiers doivent être prioritaires.

Ce travail rejoint plus largement la sécurisation de l’environnement numérique de l’entreprise. Une authentification forte ne protège pas un site mal maintenu, un ordinateur compromis ou une boîte mail partagée sans contrôle. Elle reste néanmoins une des barrières les plus efficaces contre le vol de compte.

La stratégie de Microsoft s’inscrit dans un mouvement beaucoup plus large. Apple, Google et de nombreux services web prennent en charge les passkeys, tandis que FIDO2 et WebAuthn sont devenus des standards largement disponibles dans les systèmes d’exploitation et navigateurs modernes.

Pour les utilisateurs, le changement est culturel : pendant des années, la double authentification a été résumée à « recevez un code et recopiez-le ». En 2026, cette définition devient insuffisante. La nouvelle génération d’authentification cherche précisément à ne plus demander à l’utilisateur de manipuler un secret qui peut être volé.

Pour les entreprises, cette évolution influence aussi les cahiers des charges web, les extranets, les espaces clients et les interfaces d’administration. Une stratégie de visibilité ne peut plus être complètement séparée de la confiance : un site visible mais perçu comme peu sûr perd une partie de sa valeur commerciale.

La migration vers les passkeys n’enterre donc pas seulement le SMS. Elle marque le passage d’une sécurité fondée sur ce que l’utilisateur connaît ou reçoit à une sécurité fondée sur une preuve cryptographique liée à son appareil et au véritable service demandé.