Passkeys Microsoft Entra en 2026 : préparer la fin du SMS et de l’appel vocal

Ce qui change réellement dans Microsoft Entra ID

Deux changements distincts se succèdent : une incitation automatique en septembre 2026, puis la fin d’un service télécom Microsoft en février 2027. Les confondre conduit soit à dramatiser une coupure immédiate, soit à sous-estimer le travail d’adoption à effectuer.

Le 1^er septembre 2026, les utilisateurs activés pour le SMS ou la voix dans la stratégie des méthodes d’authentification, y compris certaines configurations MFA héritées, seront automatiquement activés pour les passkeys. La campagne d’inscription sera placée dans un état géré par Microsoft et invitera ces personnes à enregistrer une passkey lors d’une prochaine authentification multifacteur. Microsoft indique que l’invite peut, par défaut, être reportée plusieurs fois. Ce n’est donc pas encore une coupure du compte.

Le 1^er février 2027, Microsoft cessera en revanche de fournir nativement l’envoi des SMS et appels vocaux dans Entra ID. Lorsqu’un utilisateur n’a que ces méthodes et qu’aucun prestataire télécom géré par l’organisation n’a été configuré, l’inscription d’une passkey deviendra bloquante pour continuer la connexion. Microsoft précise qu’il n’existera pas d’option de désactivation pour cette étape. Ces dates concernent le cloud public Entra ID ; les autres environnements cloud doivent suivre leur propre calendrier. La chronologie officielle est détaillée dans la documentation Microsoft Learn sur la fin du SMS et de la voix.

Microsoft prévoit aussi une voie spécifique pour les organisations ayant une raison opérationnelle, technique ou réglementaire de conserver un canal télécom. Les informations sur les prestataires doivent être publiées à partir du 18 septembre 2026 et leur configuration annoncée à partir du 30 octobre 2026. Les coûts et conditions dépendront alors du prestataire choisi : ils ne doivent pas être estimés avant publication.

Pour cadrer ce changement dans une stratégie plus large, la page GVISION consacrée à Microsoft Entra et à la gestion des identités permet de relier les passkeys aux accès conditionnels, au cycle de vie des comptes et à la gouvernance. Une passkey isolée améliore l’authentification ; elle ne corrige ni les comptes dormants, ni les droits excessifs, ni les applications non maîtrisées.

Comment une passkey résiste-t-elle mieux au phishing ?

Une passkey ne transmet pas un code réutilisable : elle signe un défi cryptographique pour le domaine auquel elle a été enregistrée. Cette liaison à l’origine empêche un faux site de récupérer un secret utilisable sur le véritable service.

Lors de l’inscription, l’appareil ou l’authentificateur génère une paire de clés. La clé publique est enregistrée auprès de Microsoft Entra ID. La clé privée reste dans l’authentificateur : téléphone, ordinateur, gestionnaire de passkeys ou clé de sécurité. À la connexion, Entra envoie un défi unique. L’utilisateur déverrouille localement sa passkey par biométrie ou PIN ; l’authentificateur signe le défi, puis Entra vérifie la signature avec la clé publique.

Un SMS peut être saisi dans un faux portail ou intercepté ; une notification push peut être approuvée par fatigue. La passkey ne répond qu’au service légitime. Microsoft la décrit comme une méthode FIDO2 résistante au phishing, fondée sur WebAuthn et CTAP. Le fonctionnement détaillé est expliqué dans la présentation officielle des passkeys FIDO2 dans Entra ID.

« Résistant au phishing » ne veut toutefois pas dire « invulnérable à toute attaque ». Une session déjà compromise, un appareil non maîtrisé, une procédure de récupération faible, un administrateur trompé ou des droits excessifs restent des risques. La bonne architecture combine passkeys, gestion des appareils, accès conditionnel, limitation des privilèges, journalisation et procédures d’assistance vérifiables.

Passkey, Authenticator, SMS ou clé FIDO2 : quel choix ?

Le meilleur choix dépend du risque, du type d’utilisateur, du parc d’appareils et de la capacité de support. Une organisation peut employer plusieurs méthodes, à condition que chaque exception soit justifiée et que les comptes sensibles reçoivent le niveau de protection le plus élevé.

Comment choisir entre passkey synchronisé et passkey lié à l’appareil ?

Le passkey synchronisé privilégie l’adoption et la récupération ; le passkey lié à l’appareil privilégie le contrôle et la preuve sur l’authentificateur. Il faut donc segmenter les utilisateurs plutôt que d’imposer une seule méthode à tous.

Passkeys synchronisés pour la population générale

Un passkey synchronisé est enregistré dans un gestionnaire de crédentials compatible et devient disponible sur les appareils de l’utilisateur. Cette option réduit le besoin de fournir une clé physique à chaque personne et limite l’impact de la perte d’un seul appareil. Microsoft la positionne comme une solution adaptée à de nombreux utilisateurs ne manipulant pas de systèmes hautement sensibles.

Le choix du fournisseur, les appareils personnels, le départ d’un collaborateur et la séparation entre vie privée et professionnelle doivent néanmoins être décidés. Une école, une ASBL ou un groupe de services peut privilégier la simplicité, tandis qu’un établissement de santé doit vérifier plus strictement les appareils autorisés et les procédures de récupération.

Passkeys liés à l’appareil et clés FIDO2 pour les fonctions sensibles

Les administrateurs, responsables financiers, direction, équipes sécurité et personnes exposées peuvent recevoir des passkeys liés à un appareil maîtrisé ou des clés FIDO2. Cette approche facilite l’application de restrictions et, selon la configuration, l’attestation. Elle exige en contrepartie un inventaire des clés, un modèle de remise, une solution de secours et une procédure rapide en cas de perte.

Une règle simple consiste à associer la méthode au risque : plus le compte peut modifier la sécurité, transférer de l’argent, accéder à des données sensibles ou interrompre un service, plus l’authentificateur doit être contrôlé. La politique ne devrait pas être définie seulement par la licence ou le département.

Plan de migration en cinq étapes sans bloquer les utilisateurs

Une migration sûre commence par les preuves d’usage, passe par un pilote représentatif et se termine par une réduction contrôlée des anciennes méthodes. Activer un réglage global sans connaître les dépendances crée des tickets, des contournements et parfois des comptes impossibles à récupérer.

1. Inventorier les méthodes actives

Listez les utilisateurs autorisés pour SMS ou voix, puis vérifiez leur usage réel. Séparez employés, administrateurs, comptes de service, invités, travailleurs sans smartphone, équipes de terrain et comptes d’urgence. Examinez aussi les stratégies héritées, les campagnes d’inscription, l’authentification combinée et les accès conditionnels. Le but est de produire une population de migration, pas seulement une capture d’écran du portail.

2. Définir des profils par risque et par appareil

Créez au minimum un profil général, un profil privilégié et un profil d’exception. Pour chacun, précisez le type de passkey permis, les appareils compatibles, l’attestation éventuelle, le moyen de secours et le propriétaire de la décision. Vérifiez aussi les versions iOS, Android, Windows et navigateurs réellement utilisées ; une compatibilité théorique ne garantit pas un parcours fluide sur un parc hétérogène.

3. Piloter le parcours complet

Le pilote doit couvrir l’inscription, la connexion quotidienne, le changement de téléphone, la perte d’une clé, le travail hors site, le remplacement d’un appareil et l’arrivée d’un nouveau collaborateur. Incluez des personnes non techniques et plusieurs implantations. Microsoft documente notamment des boucles possibles lorsque des règles d’accès conditionnel exigent déjà une authentification résistante au phishing au moment même où l’utilisateur tente d’enregistrer sa passkey.

4. Préparer la communication et le support

Annoncez ce qui change, pourquoi, à quelle date et quel appareil sera nécessaire. Fournissez un guide d’une page, une courte vidéo ou une session accompagnée. Le helpdesk doit disposer d’un script de vérification d’identité, d’une procédure de Temporary Access Pass, de critères d’escalade et d’une réponse pour les appareils perdus. GVISION peut intégrer ce chantier dans une démarche cohérente d’authentification multifacteur et d’accès conditionnel, afin que la migration ne reste pas un simple exercice de communication.

5. Étendre par vagues et mesurer

Déployez d’abord les équipes volontaires, puis les fonctions standard, les profils sensibles et enfin les exceptions. Suivez le taux d’inscription, les échecs, les appels au support, les utilisateurs encore dépendants du SMS ou de la voix et les méthodes de secours. Une vague ne doit être clôturée que lorsque l’organisation sait rétablir l’accès sans revenir à une procédure faible.

Quels scénarios prévoir dans les organisations belges ?

Les mêmes passkeys ne conviennent pas forcément à un cabinet, une école, un hôpital et un groupe industriel multi-sites. Le modèle doit tenir compte des appareils, de la mobilité, de la criticité et de l’organisation du support.

Établissements de santé et cabinets

Les postes partagés, les gardes, l’urgence et l’accès à des données sensibles imposent un parcours rapide mais encadré. Testez les changements d’équipe, les appareils partagés, les comptes nominaux et la récupération en dehors des heures de bureau. Les comptes privilégiés et les fonctions cliniques sensibles peuvent justifier des authentificateurs liés à l’appareil ou des clés physiques de secours.

Écoles, administrations et organisations publiques

La diversité des publics et des équipements rend l’accompagnement déterminant. Segmentez personnel permanent, vacataires, étudiants, invités et administrateurs. Les périodes de rentrée, d’examens ou de clôture administrative sont de mauvaises fenêtres pour une bascule massive. Un calendrier par groupe et un comptoir d’assistance temporaire réduisent le risque d’exclusion numérique.

Groupes multi-sites, industrie et logistique

Les équipes de terrain peuvent disposer d’un accès mobile irrégulier, de terminaux durcis ou de postes partagés. Testez le fonctionnement sur les réseaux réellement utilisés et prévoyez la distribution des clés physiques lorsque le smartphone personnel n’est pas approprié. Chaque site doit connaître le canal d’escalade et la procédure de vérification d’identité.

Associations, TPE, PME, ETI et grandes entreprises

La taille ne détermine pas à elle seule le niveau de risque. Une petite structure peut gérer des données très sensibles ; un grand groupe peut disposer d’une équipe IAM mature. Adaptez le nombre de profils et la gouvernance, mais conservez les mêmes invariants : comptes nominatifs, pilote, récupération forte, mesure et suppression progressive des méthodes faibles.

Sept erreurs fréquentes à éviter

Les échecs de déploiement viennent plus souvent du parcours et des exceptions que de la cryptographie. Voici les pièges qui génèrent le plus de friction ou de risque.

1. Confondre activation et adoption : autoriser les passkeys dans Entra ne signifie pas que les utilisateurs les ont enregistrées.
2. Cibler tous les utilisateurs d’un coup : une politique globale masque les incompatibilités et surcharge le support.
3. Oublier les méthodes héritées : les anciens paramètres MFA peuvent encore inclure des populations inattendues.
4. Ne pas tester l’accès conditionnel : une règle trop stricte peut bloquer l’enregistrement du nouveau facteur.
5. Prévoir une seule passkey : la perte d’un téléphone ou d’une clé devient alors un incident d’accès.
6. Utiliser une vérification d’identité faible au helpdesk : un attaquant contournera la passkey par la récupération.
7. Présenter le temporaire comme permanent : l’option de report de septembre ne supprime pas l’échéance de février 2027.

La récupération est-elle le vrai point critique ?

Oui : une authentification forte n’est durable que si la récupération reste à la fois disponible et difficile à détourner. Le scénario de perte doit donc être testé avant la généralisation.

Pour les utilisateurs standard, une passkey synchronisée peut réduire l’impact de la perte d’un appareil, mais elle transfère une partie de la confiance au fournisseur de synchronisation et au compte qui le protège. Pour les comptes privilégiés, une seconde clé FIDO2 conservée séparément est souvent plus prévisible. Les comptes d’urgence doivent respecter une procédure documentée, surveillée et périodiquement testée.

Microsoft propose aussi le Temporary Access Pass, un code limité dans le temps qui permet d’amorcer l’inscription d’une méthode sans mot de passe. Son émission doit être réservée à des rôles définis, précédée d’une vérification d’identité robuste et journalisée. La documentation Microsoft sur le passe d’accès temporaire décrit son usage et ses limites.

Distinguez enfin trois incidents : appareil indisponible, authentificateur compromis et compte administrateur inaccessible. Mesurez le rétablissement pendant le pilote et corrigez la procédure jusqu’à retrouver l’accès sans canal aisément manipulable.