Passkeys par défaut dans Entra ID : ce qui change dès maintenant

Le 1^er septembre 2026, sans qu’aucun administrateur Entra ID n’ait eu à cliquer sur quoi que ce soit, Microsoft a commencé à basculer automatiquement les utilisateurs inscrits en SMS ou en appel vocal vers l’enregistrement d’une passkey. Pas une annonce vague sur une roadmap lointaine : une bascule qui tourne déjà, avec une date de coupure ferme cinq mois plus tard.

Le 1^er février 2027, Microsoft retire purement et simplement la livraison SMS/voix qu’elle opère elle-même, pour la quasi-totalité des comptes. Passé cette date, un utilisateur qui n’a que le SMS comme second facteur ne pourra plus se connecter tant qu’il n’aura pas enregistré une passkey — sans option pour repousser indéfiniment. Si ton tenant a encore des comptes qui dépendent du SMS ou de la voix, voici le calendrier exact, la commande pour savoir qui est concerné, et la checklist pour basculer avant que ce soit Microsoft qui décide à ta place.

Le calendrier complet, sans arrondi

Trois dates comptent vraiment, et elles ne concernent pas tout le monde de la même façon :

• 1er septembre 2026 : activation automatique des profils de passkeys pour les utilisateurs qui utilisent déjà le SMS ou la voix, avec une campagne d’enregistrement (« nudge ») déclenchée à la prochaine authentification multifacteur.
• 1er février 2027 : retrait du SMS/voix géré par Microsoft pour tous les utilisateurs, sauf les administrateurs généraux et les comptes externes.
• 1er juillet 2027 : même retrait, mais cette fois pour les administrateurs généraux et les utilisateurs externes — dix mois de sursis pour les comptes les plus sensibles, pas moins.

Après chacune de ces deux échéances, un utilisateur sans autre méthode MFA que le SMS ou la voix est bloqué à la connexion tant qu’il n’a pas enregistré une passkey. Aucune exemption n’existe passé ces dates — l’annonce officielle sur Microsoft Learn est explicite là-dessus.

Une nuance qui compte si tu gères des comptes B2B : les invités internes suivent la date de février, pas celle de juillet. Seuls les comptes externes proprement dits (B2B collaboration) bénéficient du délai supplémentaire.

Pourquoi maintenant, et pourquoi sans mode « je désactive et j’oublie »

Le SMS et la voix comme second facteur ont un défaut connu depuis des années : ils transitent par le réseau télécom, vulnérable au SIM swap et à l’interception. Les passkeys reposent sur de la cryptographie à clé publique — la clé privée ne quitte jamais l’appareil, donc rien à intercepter côté réseau. Ce n’est pas une nuance marketing, c’est la raison technique pour laquelle Microsoft qualifie les passkeys de méthode « phishing-resistant » quand le SMS ne l’est pas, comme le détaille le billet du Microsoft Security Blog qui a lancé cette annonce.

Ce qui change la donne par rapport aux précédentes campagnes de dépréciation Microsoft, c’est l’absence de porte de sortie après la date butoir. Tu peux repousser l’activation automatique via un opt-out temporaire — voir plus bas — mais l’échéance de blocage, elle, ne se négocie pas.

Savoir qui, dans ton tenant, dépend encore du SMS ou de la voix

Avant de basculer qui que ce soit, identifie les comptes concernés. Microsoft publie un script PowerShell dédié à cet usage exact :

# https://github.com/microsoft/entra-sms-voice-usage-analyzer
# Rôles nécessaires : Global Reader, Authentication Policy Administrator, Security Reader
.\Get-SmsVoiceUsageReport.ps1 -TenantId "<ton-tenant-id>"

Pour un contrôle ponctuel sans script, un appel Graph direct sur la politique d’authentification donne déjà une bonne partie de la réponse :

GET https://graph.microsoft.com/beta/policies/authenticationmethodspolicy

Configurer les passkeys avant que Microsoft ne s’en charge

L’activation se fait aujourd’hui exclusivement depuis le portail — il n’existe pas encore de cmdlet PowerShell native pour l’activation de base, seul le provisioning avancé passe par Microsoft Graph, en preview. Le chemin : Entra ID → Security → Authentication methods → Policies → Passkey (FIDO2), puis l’opt-in aux profils de passkeys depuis la bannière — une action irréversible, à garder en tête avant de cliquer.

Une fois l’opt-in fait, le profil par défaut se configure avec trois réglages qui ont un vrai impact opérationnel :

• Passkey types : device-bound, synced, ou les deux — les passkeys synchronisées (iCloud Keychain, Google Password Manager, gestionnaires comme 1Password) simplifient l’adoption mais sortent la clé privée de l’appareil physique unique.
• Enforce attestation : vérifie que l’authentificateur est un modèle reconnu, désactivé par défaut, à activer sur les profils sensibles.
• Enforce key restrictions : limite les modèles acceptés par AAGUID, l’identifiant unique de chaque fabricant/modèle FIDO2 — utile pour n’autoriser que Microsoft Authenticator ou des clés YubiKey précises sur les comptes à privilèges. Le détail de la procédure est dans le guide Microsoft Learn sur l’activation des passkeys FIDO2.

Tu peux créer jusqu’à trois profils au total, profil par défaut inclus, avec une limite de taille de 20 Ko pour l’ensemble de la politique — largement suffisant, sauf à lister des dizaines d’AAGUID par profil. Un exemple raisonnable pour une entreprise avec des comptes à privilèges : un profil « Admin » en device-bound uniquement avec attestation forcée, ciblé sur le groupe IT/Exécutifs, et un profil par défaut plus permissif (device-bound + synced, sans attestation) pour le reste des utilisateurs.

L’opt-out temporaire : un sursis, pas une exemption

Si tu n’es pas prêt pour la bascule automatique du 1er septembre, un appel Graph permet de sortir ton tenant de l’activation automatique et des campagnes d’enregistrement :

PATCH https://graph.microsoft.com/beta/policies/authenticationmethodspolicy
Content-Type: application/json

{
   "optOutSettings": {
     "passkeyDynamicMigration": true
   }
}

Permission requise : Policy.ReadWrite.AuthenticationMethod. Mais ne t’y trompe pas : ce réglage suspend l’activation automatique et les nudges, il ne touche pas à l’échéance de blocage du 1er février 2027 (ou du 1er juillet pour les admins/externes). Passé cette date, l’enregistrement d’une passkey redevient obligatoire, opt-out ou pas. Autant utiliser ce sursis pour préparer la bascule dans de bonnes conditions plutôt que pour la repousser indéfiniment — il n’existe pas de version « je ne fais rien » qui survit à l’échéance.

Et si tu dois vraiment garder du SMS ou de la voix

Pour des contraintes réglementaires ou des populations d’utilisateurs qui ne peuvent techniquement pas passer aux passkeys — téléphones basiques, zones sans app store —, Microsoft ouvre à partir du 30 octobre 2026 un marché de fournisseurs télécom tiers via le Microsoft Security Store. Soprano et Telesign sont les deux premiers annoncés, avec d’autres providers attendus en disponibilité générale. Ce n’est pas gratuit, et ça reste un pis-aller : la dépendance au réseau télécom ne disparaît pas, elle change juste de facturation.

FAQ

Mon tenant peut-il éviter complètement cette migration ?

Non, pas au-delà des échéances de blocage. L’opt-out ne fait que retarder l’activation automatique et les campagnes d’enregistrement ; il n’annule pas la retraite du SMS/voix géré par Microsoft.

Les passkeys synchronisées sont-elles aussi sûres que les passkeys liées à l’appareil ?

Elles restent phishing-resistant, mais la clé privée est répliquée dans le coffre du fournisseur (iCloud Keychain, Google Password Manager…), donc le modèle de menace n’est pas identique à une clé bound à un seul appareil ou à une security key physique. Pour des comptes à privilèges, le device-bound avec attestation forcée reste le choix le plus prudent.

Faut-il une licence Entra ID P1 ou P2 pour activer les passkeys ?

Non. Les méthodes d’authentification de base, passkeys incluses, sont disponibles avec Microsoft Entra ID Free — ce sont certains contrôles avancés (Conditional Access, authentication strengths personnalisées) qui nécessitent P1 ou P2.

Que tu aies déjà mis en place du Conditional Access pour sécuriser tes accès — voir notre article sur la sécurisation des identités d’agents IA dans Entra ID — ou que tu prépares encore ta politique d’enforcement — voir notre suivi du changement d’enforcement de juin 2026 —, la fenêtre entre maintenant et février 2027 est le bon moment pour traiter les passkeys comme un projet plutôt que comme une notification à ignorer. Lance le script de détection cette semaine : tu sauras exactement combien de comptes sont concernés avant que Microsoft ne bascule pour toi.