Microsoft s’apprête à retirer les méthodes d’authentification par SMS et appel vocal de son service Entra ID (ex-Azure Active Directory), le gestionnaire d’identité au cœur de Microsoft 365. Ce changement va toucher directement toutes les PME qui utilisent encore ces méthodes pour sécuriser l’accès à leurs applications cloud. Bonne nouvelle : la migration vers les passkeys est plus simple qu’il n’y paraît.

Pourquoi Microsoft tire la prise sur le SMS ?

Le SMS comme facteur d’AMF (authentification multifacteur) est devenu une passoire. Les attaquants disposent aujourd’hui de techniques rodées pour le contourner : le SIM swapping (prise de contrôle de votre numéro de téléphone auprès de l’opérateur), l’interception de messages via des failles de l’infrastructure télécom, ou encore les attaques par ingénierie sociale qui poussent vos collaborateurs à communiquer leur code SMS à un escroc.

Microsoft a donc décidé d’aller au-delà des simples recommandations. La société va désactiver progressivement ses services natifs d’authentification par SMS et voix dans Entra ID. L’objectif : généraliser des méthodes résistantes au phishing — et les passkeys en sont le fer de lance.

Passkeys : une technologie sûre et simple à adopter

Un passkey est une clé cryptographique unique, générée et stockée directement sur l’appareil de l’utilisateur (PC, smartphone, clé de sécurité physique de type YubiKey). Contrairement à un mot de passe ou à un code SMS, un passkey ne transite jamais sur le réseau : il ne peut donc pas être intercepté ni recopié par un attaquant.

Côté utilisateur, l’expérience est souvent plus rapide qu’un SMS : un scan d’empreinte digitale, une reconnaissance faciale via Windows Hello, ou un simple appui sur une clé USB sécurisée. Microsoft Authenticator et Windows Hello Entreprise supportent déjà les passkeys nativement, sans installation d’outil supplémentaire pour vos utilisateurs Microsoft 365.

Quelle feuille de route pour votre PME ?

Microsoft n’a pas encore communiqué de date ferme pour la désactivation définitive du SMS. Mais le signal est sans ambiguïté : les organisations qui n’auront pas migré seront contraintes de le faire en urgence, avec les risques opérationnels que cela comporte.

Pour une PME de 10 à 100 utilisateurs, voici les étapes clés :

1. Activer les passkeys dans le Microsoft Entra admin center (centre d’administration Entra).
2. Former vos utilisateurs à configurer Microsoft Authenticator ou Windows Hello sur leurs appareils professionnels.
3. Identifier les comptes encore protégés uniquement par SMS et les migrer en priorité, en commençant par les comptes à hauts droits (administrateurs, direction, RH, finance).

Ce que ça change pour votre PME

• Auditez vos méthodes d’AMF dès maintenant : connectez-vous au centre d’administration Entra ID et identifiez qui utilise encore le SMS — la liste est accessible en quelques clics dans le rapport d’activité d’authentification.
• Migrez vos comptes à privilèges en premier : administrateurs IT, direction et finance sont les cibles prioritaires des attaquants. Les sécuriser avec un passkey réduit drastiquement le risque de compromission.
• Coupler passkeys et accès conditionnel : profitez de cette migration pour renforcer vos règles d’accès conditionnel dans Entra ID — exiger un passkey pour accéder aux données sensibles est désormais possible sans complexité excessive.

Vous souhaitez en discuter ? Contactez nos experts Axentys.