Le SMS a longtemps constitué la porte d’entrée la plus simple vers l’authentification à deux facteurs. Microsoft estime désormais que cette simplicité est devenue une faiblesse : face à des campagnes de phishing toujours plus automatisées par l’IA, Entra ID va progressivement privilégier les passkeys avant de mettre fin, en février 2027, à la fourniture native des codes SMS et vocaux par Microsoft.
Microsoft veut sortir de l’ère du code reçu par SMS
Microsoft accélère sa transition vers une authentification résistante au phishing. À compter du 1er septembre 2026, les utilisateurs de Microsoft Entra ID actuellement autorisés à s’authentifier par SMS ou appel vocal seront automatiquement rendus éligibles aux passkeys et pourront être invités à en enregistrer une lors de leur connexion.
Le changement deviendra beaucoup plus important le 1er février 2027. À cette date, Microsoft cessera de fournir nativement l’acheminement des SMS et appels vocaux utilisés pour l’authentification multifacteur dans Entra ID. Les utilisateurs qui ne disposent alors que de ces méthodes devront enregistrer une passkey avant de pouvoir poursuivre leur connexion.
Pour Microsoft, le constat est désormais clair : SMS et appels vocaux ne doivent plus être considérés comme des méthodes suffisamment sûres pour protéger les identités professionnelles. Le groupe pousse à la place des technologies reposant sur la cryptographie, comme les passkeys, Windows Hello ou les clés de sécurité FIDO2.
Ce n’est donc pas simplement une nouvelle option ajoutée dans Entra. Microsoft cherche progressivement à déplacer le standard de sécurité lui-même.
L’IA donne une nouvelle dimension au phishing
La décision intervient alors que l’intelligence artificielle facilite considérablement la création et l’automatisation de campagnes de phishing. Microsoft explique que les cyberattaques deviennent plus automatisées et davantage alimentées par l’IA. Selon les données citées par l’entreprise dans son Security Blog, certaines campagnes de phishing utilisant l’IA peuvent atteindre des taux de clic allant jusqu’à 54 %.
L’IA ne « pirate » évidemment pas directement un SMS. Elle réduit plutôt le coût et la difficulté des opérations qui précèdent le vol d’un compte.
Des attaquants peuvent générer plus rapidement des e-mails crédibles, adapter leurs messages à une cible particulière, automatiser certaines interactions ou reproduire le ton d’un service légitime. Lorsqu’un utilisateur finit par communiquer son mot de passe ou un code à usage unique, l’efficacité de la seconde couche de sécurité s’effondre.
À cela s’ajoute le risque du SIM swapping, où un attaquant parvient à transférer le numéro de téléphone d’une victime vers une carte SIM qu’il contrôle.
Microsoft souligne précisément que les passkeys sont conçues pour résister au phishing, au SIM swapping et aux attaques par rejeu. Contrairement à un code que l’utilisateur peut recopier sur une fausse page, elles utilisent des clés cryptographiques associées au service légitime.
Les passkeys changent profondément le modèle de sécurité
Le principe d’une passkey est relativement simple pour l’utilisateur. Au lieu de saisir un mot de passe puis un code reçu par téléphone, l’authentification peut s’effectuer avec le mécanisme déjà utilisé pour déverrouiller un appareil : reconnaissance faciale, empreinte digitale ou code PIN local.
Sous cette interface familière fonctionne cependant une architecture très différente.
La passkey utilise une paire de clés cryptographiques. La clé privée reste protégée sur l’appareil ou dans un gestionnaire d’identifiants synchronisé, tandis que le service conserve la partie publique nécessaire à la vérification. Cette architecture permet surtout d’éliminer l’un des ressorts fondamentaux du phishing : un utilisateur ne possède plus de secret réutilisable qu’il peut accidentellement transmettre à un attaquant.
Microsoft Entra ID prend désormais en charge aussi bien les passkeys synchronisées entre plusieurs appareils que les passkeys liées à un appareil, notamment via Microsoft Authenticator, Windows ou certaines clés de sécurité FIDO2.
Un calendrier en deux étapes pour les entreprises
Pour les administrateurs informatiques, la première date importante est donc le 1er septembre 2026. Les utilisateurs autorisés à employer SMS ou appels vocaux dans la politique des méthodes d’authentification d’Entra seront automatiquement activés pour les passkeys. Microsoft placera également les campagnes d’enregistrement concernées dans un mode géré par ses soins afin d’encourager progressivement les utilisateurs à migrer.
Microsoft prévoit toutefois une possibilité de désactiver temporairement cette migration automatique entre septembre 2026 et février 2027, afin de laisser aux organisations le temps d’adapter leur infrastructure.
Le véritable point de rupture interviendra le 1er février 2027. À partir de cette date, le service d’envoi SMS et vocal fourni directement par Microsoft disparaîtra d’Entra ID. Il n’existera pas d’option permettant de repousser cette échéance pour continuer à utiliser le service de télécommunication natif de Microsoft.
Toutefois, une nuance importante s’impose : cela ne signifie pas que tout usage professionnel du SMS deviendra techniquement impossible. Microsoft prévoit une solution pour les organisations disposant d’exigences réglementaires ou opérationnelles spécifiques. Celles-ci pourront s’appuyer sur un fournisseur télécom géré par le client via le Microsoft Security Store afin de continuer à utiliser SMS ou voix dans certains scénarios.
Autrement dit, Microsoft ne bannit pas totalement le canal téléphonique : il cesse d’en faire une méthode native et recommandée dans Entra ID.
Les comptes Microsoft personnels suivent la même direction
La stratégie ne concerne pas uniquement les entreprises. Microsoft a également commencé à retirer progressivement les codes SMS de l’authentification et de la récupération des comptes Microsoft personnels. Le groupe présente désormais le SMS comme une source importante de fraude et oriente ses utilisateurs vers les passkeys et les adresses e-mail vérifiées.
Cela concerne potentiellement les comptes utilisés pour des services comme Outlook, Xbox ou certaines connexions à Windows.
Microsoft ne communique toutefois pas, dans sa documentation publique actuelle, une échéance générale équivalente au 1er février 2027 pour tous les comptes personnels. La transition est donc bien engagée, mais son calendrier ne doit pas être confondu avec celui de Microsoft Entra ID.
Microsoft ne veut plus sécuriser les mots de passe : il veut les contourner
Derrière cette évolution se dessine une transformation beaucoup plus large de l’identité numérique. Pendant des années, l’industrie a tenté de renforcer le mot de passe en lui ajoutant une seconde vérification : code SMS, notification sur smartphone ou application d’authentification.
L’arrivée des passkeys inverse la logique.
Plutôt que de multiplier les barrières autour d’un secret que l’on peut voler, les acteurs du secteur cherchent à supprimer progressivement ce secret lui-même. Microsoft explique d’ailleurs avoir déjà éliminé les méthodes d’authentification les plus faibles dans son propre environnement interne et déployé des solutions résistantes au phishing pour la quasi-totalité de ses utilisateurs et appareils.
L’essor de l’IA accélère cette transition. À mesure qu’un attaquant peut produire des messages plus crédibles, automatiser ses campagnes et personnaliser ses techniques d’ingénierie sociale, la sécurité ne peut plus reposer uniquement sur la capacité d’un utilisateur à reconnaître une tentative de fraude.
La réponse de Microsoft consiste donc à rendre certains secrets impossibles à divulguer, même lorsque l’utilisateur est trompé. Et, c’est peut-être là le véritable changement : dans un monde où le phishing devient plus convaincant, la meilleure authentification pourrait être celle qui ne demande plus à l’utilisateur de distinguer le vrai du faux.