Les dates que Microsoft a déjà fixées
Microsoft a publié le changement le 13 juillet dans un billet de son blog sécurité qui ressemble à une mise à jour d'identité de routine et qui comporte quatre dates. À partir du 1er septembre 2026, chaque utilisateur Entra ID aujourd'hui activé pour le SMS ou l'appel vocal est automatiquement activé pour les passkeys et invité à en enregistrer une lors de sa prochaine authentification multifacteur. Le 18 septembre, Microsoft indique qu'elle nommera les opérateurs télécoms pris en charge, leurs tarifs et leurs conditions commerciales dans le Microsoft Security Store. À partir du 30 octobre, les administrateurs pourront en choisir et en configurer un.
La date qui clôt le débat est le 1er février 2027. Ce jour-là, Microsoft cesse de délivrer les SMS et les appels vocaux en tant que fonction native d'Entra ID. Les locataires qui n'auront pas contracté leur propre opérateur d'ici là ne pourront plus utiliser de code envoyé par message ou par appel comme second facteur, et ceux qui en dépendaient devront enregistrer une passkey avant de pouvoir se connecter. Microsoft l'écrit sans détour : après cette date, il n'y a plus d'exclusion possible.
L'échéance tombe avant le prix
Lisez ces dates dans l'ordre et l'ordre devient l'information. Le retrait est fixé au 1er février 2027. Le prix de la seule voie prise en charge pour conserver le SMS et l'appel n'est publié que le 18 septembre 2026 et ne peut être configuré qu'à partir du 30 octobre. Une organisation doit donc décider comment déplacer des dizaines de milliers d'authentifications avant de pouvoir chiffrer l'alternative à ce déplacement.
Ce n'est pas une décision de sécurité déguisée en question de facturation. C'est les deux à la fois. Une fonction incluse dans la licence Entra devient, pour ceux qui en ont encore besoin, un achat contractualisé auprès d'un opérateur tiers via la place de marché de Microsoft. La méthode vulnérable au hameçonnage disparaît, ce qui se défend, et le chemin pris en charge pour la garder devient un dossier d'achat avec un fournisseur, un contrat et un prix que personne, hors de Microsoft, ne peut encore citer.
Les comptes qui cassent n'ont pas de téléphone
Une passkey suppose que la personne dispose d'un appareil qu'elle contrôle et sur lequel elle peut s'authentifier par biométrie ou par code PIN. La plupart des salariés de bureau en ont un. Les comptes qui reposaient sur un code par SMS sont souvent les autres : entrepôt et atelier sur des terminaux partagés, équipes postées sans mobile professionnel, saisonniers et prestataires, techniciens itinérants dont le téléphone personnel n'a jamais été enrôlé nulle part. Le SMS était le plus petit dénominateur commun justement parce qu'il ne demandait ni enrôlement ni appareil géré.
Le remplacer pour ces personnes suppose de leur remettre quelque chose, un mobile géré ou une clé FIDO2 par tête, et cela relève de l'investissement et de la logistique, pas du paramétrage. En France, l'ANSSI recommande depuis des années des méthodes résistantes au hameçonnage : la direction ne surprend personne. La facture du dernier kilomètre, si. Et ce n'est pas un arbitrage qu'un administrateur d'identités peut rendre seul dans la dernière semaine de janvier 2027.
Ce qu'il faut trancher avant le 1er août
L'échéance utile n'est pas février. La documentation de Microsoft place l'exclusion temporaire pour la fenêtre de septembre à février, ainsi que l'interface nécessaire pour l'activer, au 1er août 2026. Cela laisse environ deux semaines, et c'est le moment où une organisation doit avoir répondu à une seule question : laissons-nous le déploiement des passkeys démarrer le 1er septembre, ou le retenons-nous le temps de savoir qui ne pourra pas être enrôlé ?
Y répondre exige un décompte, pas un avis. Sortez la liste des comptes dont la seule méthode enregistrée est le SMS ou l'appel, séparez ceux qui possèdent un appareil enrôlable de ceux qui n'en ont pas, puis chiffrez le second groupe. Si le nombre est faible, prenez le déploiement et terminez tôt. S'il ne l'est pas, activez l'exclusion en août, consacrez l'automne à acheter des clés ou des téléphones, et considérez le 18 septembre comme le jour où vous apprendrez ce que le repli aurait coûté.
À lire ensuite: Renouvelez tous les secrets vus par Grok Build | Ouvrir un seul courriel peut livrer votre boîte Zimbra
