Microsoft active les passkeys par défaut dans Entra ID

Ce qui s'est passé

Ce 1er septembre 2026 marque une date charnière dans l'histoire de l'authentification d'entreprise. Microsoft lance aujourd'hui le déploiement automatique des passkeys comme méthode d'authentification par défaut dans Microsoft Entra ID. Annoncé le 13 juillet 2026 via le Microsoft Security Blog, ce changement structurel affecte potentiellement des centaines de millions d'utilisateurs professionnels dans le monde et redessine fondamentalement le modèle d'authentification de la suite Microsoft 365 et des services Azure associés.

Concrètement, dès ce jour, tous les utilisateurs des locataires (tenants) Entra ID dans le cloud public pour lesquels l'authentification par SMS ou par appel vocal est activée seront automatiquement éligibles à l'enregistrement d'une passkey. Lors de leur prochaine authentification multi-facteurs (MFA), ces utilisateurs verront apparaître une invite les invitant à enregistrer une passkey — qu'il s'agisse d'une clé matérielle compatible FIDO2 (YubiKey, clé NFC) ou d'une authentification biométrique intégrée à leur appareil (Windows Hello, Face ID sur iOS, Touch ID sur macOS). Les organisations ne peuvent pas désactiver cette invite.

Microsoft a également annoncé un mécanisme d'enregistrement automatique des passkeys pour l'ensemble des utilisateurs, tous locataires confondus. Cette double approche — invite à l'enregistrement lors du prochain MFA et enregistrement automatique — vise à maximiser le taux d'adoption et à réduire au minimum la friction pour les utilisateurs. L'objectif déclaré de Microsoft est d'éliminer progressivement les facteurs d'authentification les plus vulnérables aux attaques de phishing et de SIM swapping, qui représentent encore aujourd'hui les deux vecteurs de compromission d'identité les plus courants en entreprise.

Le calendrier de suppression progressive du SMS et de la voix est désormais officiel et non négociable. Le 30 octobre 2026 constitue une première étape intermédiaire importante : les passkeys deviendront la méthode d'authentification par défaut proposée à tous les locataires utilisant encore le SMS ou la voix, même sans action administrative de leur part. Puis, à partir du 1er février 2027, les utilisateurs qui s'appuient encore sur le SMS ou la voix comme unique facteur MFA devront enregistrer une passkey avant même de pouvoir accéder à leur session. Il ne s'agit plus d'une option mais d'une condition préalable à la connexion.

Pour les organisations qui, pour des raisons réglementaires, techniques ou opérationnelles, ont une dépendance structurelle au SMS ou à la voix — secteurs de la santé, environnements industriels avec des appareils partagés, obligations légales locales imposant la vérification téléphonique — Microsoft a prévu une solution de continuité. Le 18 septembre 2026, la compagnie publiera via le Microsoft Security Store la liste des fournisseurs tiers de télécommunications pris en charge, avec la documentation de déploiement, les tarifs et les conditions commerciales. Ces fournisseurs tiers permettront de maintenir le SMS/voix comme facteur MFA, mais en dehors de l'infrastructure native Microsoft.

Cette décision repose sur des données concrètes et des statistiques robustes. Microsoft a rappelé dans son annonce que les passkeys sont résistantes par conception aux attaques de phishing — contrairement aux mots de passe, aux codes SMS et même aux applications d'authentification TOTP. Selon les propres statistiques internes de Microsoft, les comptes protégés par des passkeys voient leur risque de compromission réduit de plus de 99 % par rapport à ceux protégés uniquement par un mot de passe, et de plus de 80 % par rapport à ceux utilisant le MFA par SMS.

Microsoft Entra ID gère l'identité et l'accès pour la très grande majorité des entreprises utilisant Microsoft 365 dans le monde. En France, selon les estimations sectorielles, plus de 70 % des grandes entreprises et des administrations s'appuient sur Entra ID pour leur gestion des identités numériques. Ce déploiement forcé des passkeys représente donc un changement opérationnel majeur pour les équipes IT et sécurité françaises, qui doivent anticiper les problématiques de gestion des appareils, de compatibilité des navigateurs et de formation des utilisateurs finaux.

Forrester Research, dans une analyse publiée peu après l'annonce initiale de Microsoft en juillet, appelle les responsables de la sécurité des identités à agir dès maintenant : inventorier les utilisateurs dépendants du SMS/voix, évaluer la compatibilité des appareils avec les passkeys (notamment les postes partagés, les kiosques et les environnements de production industriels), et démarrer des programmes de communication et de formation avant le basculement d'octobre 2026. Le temps presse : il ne reste que huit semaines avant la prochaine échéance.

Pourquoi c'est important

La décision de Microsoft de rendre les passkeys obligatoires par défaut dans Entra ID n'est pas qu'une évolution technique : c'est un signal fort envoyé à l'ensemble de l'industrie informatique mondiale. En forçant la main à des centaines de millions d'utilisateurs professionnels, Microsoft accélère de facto l'adoption globale des passkeys bien au-delà de ce que les efforts de sensibilisation volontaire auraient jamais pu accomplir. D'autres grands fournisseurs — Google, Apple, Salesforce — ont déjà amorcé des transitions similaires sur leurs plateformes grand public et professionnelles, mais l'ampleur du parc Entra ID donne à ce déploiement une résonance particulière et un effet d'entraînement sur l'ensemble de l'écosystème numérique.

Sur le plan de la sécurité, ce virage représente une avancée considérable contre deux des vecteurs d'attaque les plus courants en entreprise : le phishing de credentials et le SIM swapping. Les attaques de phishing, qui exploitent la tendance des utilisateurs à saisir leurs identifiants sur de fausses pages de connexion, deviennent inefficaces face aux passkeys : la clé cryptographique est liée au domaine légitime et ne peut pas être captée par une page frauduleuse. Le SIM swapping, qui consiste à détourner un numéro de téléphone pour intercepter les codes SMS, perd également toute efficacité puisque les passkeys n'utilisent pas la téléphonie.

Pour les équipes de sécurité des organisations françaises, le déploiement de ce mois de septembre doit déclencher une revue urgente des politiques d'identité. La réglementation NIS2, transposée en droit français, impose des exigences renforcées sur l'authentification pour les entités essentielles et importantes. Le passage aux passkeys peut être documenté comme une mesure de conformité tangible dans le cadre des politiques d'authentification forte. À l'inverse, les organisations qui laissent des utilisateurs en SMS/voix après le 1er février 2027 risquent de se retrouver en porte-à-faux avec leurs propres politiques de sécurité et leurs obligations contractuelles ou réglementaires.

La question des appareils partagés et des environnements non-standard mérite une attention particulière et urgente. Les kiosques, les appareils de production partagés entre plusieurs opérateurs, les environnements de démonstration, les terminaux hospitaliers : tous ces cas d'usage sont mal adaptés aux passkeys, qui sont par conception liées à un appareil et à un utilisateur spécifique. Les organisations opérant dans des secteurs industriels, hospitaliers ou logistiques doivent impérativement identifier ces cas limites avant octobre 2026 et définir une stratégie de mitigation adaptée — qu'il s'agisse du recours aux fournisseurs tiers de SMS annoncés pour le 18 septembre, de l'utilisation de clés de sécurité physiques partagées, ou de solutions d'identité alternatives validées par Microsoft.

Ce qu'il faut retenir

• Depuis ce 1er septembre 2026, les passkeys deviennent la méthode d'authentification par défaut dans Entra ID : les utilisateurs SMS/voix seront invités à en enregistrer une lors de leur prochain MFA.
• À partir du 1er février 2027, l'enregistrement d'une passkey sera obligatoire pour se connecter si l'utilisateur n'a pas d'autre facteur MFA compatible — sans possibilité d'opt-out.
• Les organisations doivent inventorier maintenant leurs appareils partagés et cas non-standard pour définir une stratégie avant le basculement d'octobre 2026, en anticipant les offres de fournisseurs tiers SMS/voix publiées le 18 septembre.