Les codes SMS disparaissent de Microsoft 365 : pourquoi les passkeys deviennent la nouvelle norme

Vos collaborateurs se connectent aujourd’hui à Microsoft 365 avec un mot de passe et un code reçu par SMS ? Alors quelque chose de fondamental va changer dans l’année qui vient. À la mi-juillet, Microsoft a annoncé que les passkeys deviendront la méthode de connexion par défaut à partir du 1er septembre 2026, et que les codes par SMS et par appel vocal seront progressivement supprimés. Ce n’est pas un détail réservé au service informatique : cela concerne toutes les personnes de votre organisation qui se connectent. La bonne nouvelle, c’est que la connexion devient à la fois plus sûre et plus simple.

Une passkey, qu’est-ce que c’est ?

Une passkey remplace la combinaison du mot de passe et du code. Vous vous connectez comme vous déverrouillez votre téléphone : avec votre empreinte digitale, votre visage ou un code PIN sur votre propre appareil. Il n’y a plus de mot de passe à oublier, à réutiliser ou à se faire voler. Il n’y a plus non plus de code que vous pourriez transmettre par erreur à un escroc.

Techniquement, cela fonctionne avec des clés cryptographiques, selon les normes FIDO2 et WebAuthn. Votre appareil prouve mathématiquement que c’est bien vous, sans qu’aucun secret ne circule sur le réseau où quelqu’un pourrait l’intercepter. C’est là toute la différence avec un code SMS, qui peut être intercepté, transféré ou soutiré. Une passkey, non.

Pourquoi Microsoft abandonne-t-il les codes SMS ?

Les attaquants chassent les identifiants à très grande échelle, et les codes SMS protègent trop peu. Début juillet, une campagne a encore été révélée : en deux semaines, des attaquants ont tenté plus de 81 millions de connexions sur des environnements Microsoft 365, avec des mots de passe issus d’anciennes fuites de données. L’IA rend en outre le phishing si convaincant que beaucoup plus de personnes s’y laissent prendre qu’auparavant. Un code qu’un humain peut transmettre, un escroc peut aussi le lui soutirer. C’est pourquoi tout le secteur se tourne vers des méthodes résistantes au phishing, et Microsoft franchit maintenant le pas pour tout le monde.

Le calendrier

• 1er septembre 2026 : les passkeys deviennent la norme. Les utilisateurs qui se servent aujourd’hui de codes par SMS ou par appel vocal sont automatiquement activés pour les passkeys et seront invités à en enregistrer une lors de leur prochaine connexion.
• À partir de fin octobre 2026 : les organisations qui veulent garder le SMS pour une raison précise pourront configurer un opérateur télécom externe. Cela demande de l’argent et des efforts supplémentaires.
• 1er février 2027 : Microsoft cesse d’envoyer lui-même les codes par SMS et par appel vocal. Ceux qui n’auront pas enregistré d’alternative d’ici là ne pourront plus se connecter par SMS.

Vous utilisez déjà l’application Microsoft Authenticator, Windows Hello ou une clé de sécurité ? Vous n’avez rien à craindre, ces méthodes continuent de fonctionner.

Que faire maintenant ?

La transition se fait en grande partie automatiquement. Il vaut pourtant la peine de la piloter vous-même. Vous évitez ainsi la confusion, les appels au helpdesk et surtout des collaborateurs qui se retrouvent soudain bloqués en février 2027. Concrètement :

• Repérez qui dépend encore du SMS. Dans Entra ID, vous voyez exactement quels utilisateurs ont aujourd’hui le SMS ou l’appel vocal comme méthode. Cette liste devient votre liste d’actions.
• Lancez la transition vous-même, avant que Microsoft ne le fasse. Avec une campagne d’inscription dans Entra ID, vous invitez les utilisateurs par vagues à configurer une passkey ou l’application Authenticator, à votre rythme et avec votre propre communication.
• Informez vos équipes. Une courte explication (« bientôt, vous vous connecterez avec votre empreinte digitale, comme sur votre téléphone ») évite neuf questions sur dix.
• Pensez aux exceptions. Pour les appareils partagés, les environnements de production et les personnes sans smartphone, des solutions existent, comme les clés de sécurité physiques. Mieux vaut les avoir réglées à l’avance, et pas en janvier 2027.

Conclusion

La fin du code SMS est une amélioration. La connexion devient plus rapide et fondamentalement plus sûre. Mais automatique ne veut pas dire que tout se règle bien tout seul, surtout dans une organisation de quelques dizaines ou centaines d’utilisateurs. Vous voulez savoir qui dépend encore des codes SMS chez vous, et comment organiser le passage sans heurts ? Un audit ciblé vous le montre tout de suite.