# Fin du SMS et de l’appel pour le MFA Microsoft : ce qui change le 1er février 2027 et comment s’y préparer

> Microsoft arrête le SMS et l’appel vocal dans Entra ID le 1er février 2027 (MFA et SSPR). Calendrier, utilisateurs concernés, passkeys, opérateurs tiers et plan de migration.

- URL: https://benjamintestart.fr/fr/fin-sms-appel-mfa-microsoft-entra-passkeys/
- Auteur: Benjamin Testart (Practice Leader Périphériques & consultant Microsoft Intune)
- Publié: 2026-10-16
- Mis à jour: 2026-10-16
- Catégorie: Microsoft Entra ID
- Langue: fr
- Tags: Microsoft Entra ID, MFA, Passkeys, SMS, SSPR, Microsoft Authenticator, Windows Hello for Business
- English version: https://benjamintestart.fr/en/end-sms-voice-mfa-microsoft-entra-passkeys/

## En bref

Avec le message MC1426371, Microsoft arrête de fournir lui-même l’envoi des codes SMS et les appels vocaux dans Entra ID. Depuis le 1er septembre 2026, les utilisateurs autorisés au SMS ou à l’appel sont activés pour les passkeys et invités à en créer une. Le 1er février 2027, le SMS et l’appel fournis par Microsoft disparaissent pour tous les utilisateurs, MFA et SSPR compris, sauf les administrateurs généraux et les utilisateurs externes, qui ont jusqu’au 1er juillet 2027. Un utilisateur dont la seule méthode est le SMS ou l’appel devra alors créer une passkey pour se connecter, sans possibilité de reporter. Il n’y a pas d’opt-out pour cette échéance : il faut migrer vers les passkeys, Windows Hello ou une clé FIDO2, ou souscrire un opérateur tiers via Microsoft Security Store.

C’est sans doute le changement d’identité le plus important depuis le MFA obligatoire pour les portails d’administration : **Microsoft arrête le SMS et l’appel vocal dans Entra ID**. Annoncé le 13 juillet 2026 dans le message **MC1426371**, il prend effet le **1er février 2027** et concerne le MFA comme la réinitialisation de mot de passe en libre-service (SSPR).

Si une partie de vos utilisateurs valide encore ses connexions avec un code reçu par SMS, il reste un peu plus de trois mois. Dans cet article, je fais le point sur le calendrier, sur ce qui se passe concrètement le jour J et sur le plan de migration que je recommande.

## Pourquoi Microsoft abandonne le SMS

La raison est la sécurité. Le SMS et l’appel sont parmi les méthodes d’authentification les plus faibles :

- **hameçonnage** : un code SMS se saisit aussi bien sur une fausse page de connexion que sur la vraie ;
- **SIM swapping** : un attaquant qui obtient une nouvelle carte SIM à votre nom reçoit vos codes ;
- **interception et réattribution** : messages détournés, numéros réattribués à quelqu’un d’autre ;
- **ingénierie sociale** : « Pouvez-vous me lire le code que vous venez de recevoir ? ».

Microsoft fait des **passkeys** l’expérience d’authentification par défaut d’Entra ID. Une passkey repose sur une paire de clés cryptographiques liée au site légitime : elle résiste à l’hameçonnage, au SIM swapping et au rejeu. Et le levier est réel : selon Microsoft, le SMS et l’appel représentaient encore **44 % des réponses MFA en 2024**.

## Le calendrier

| Date | Ce qui se passe |
|---|---|
| **13 juillet 2026** | Annonce (MC1426371) |
| **1er septembre 2026** | Les utilisateurs autorisés au SMS ou à l’appel sont activés pour les passkeys ; la campagne d’inscription passe en mode « géré par Microsoft » et les invite à créer une passkey, invite qu’ils peuvent reporter sans limite |
| **30 octobre 2026** | Configuration possible d’un opérateur de téléphonie tiers via Microsoft Security Store |
| **1er février 2027** | Fin du SMS et de l’appel fournis par Microsoft pour tous les utilisateurs, **sauf** les administrateurs généraux et les utilisateurs externes |
| **1er juillet 2027** | Fin pour les **administrateurs généraux** et les **utilisateurs externes** |

Quelques précisions importantes :

- les **invités internes** (comptes invités créés dans votre annuaire) ne profitent pas du sursis de juillet : ils suivent la date du **1er février 2027** ;
- ce calendrier concerne le **cloud public**. Les clouds souverains et gouvernementaux suivront plus tard ;
- **Azure AD B2C** n’est pas concerné. Pour **Microsoft Entra External ID**, le changement arrivera l’an prochain avec une annonce séparée.

## Ce qui disparaît, ce qui reste

| Méthode | Après l’échéance |
|---|---|
| Code par SMS (MFA et SSPR) | ❌ Arrêté, sauf opérateur tiers |
| Appel vocal (MFA et SSPR) | ❌ Arrêté, sauf opérateur tiers |
| Passkey dans Microsoft Authenticator | ✅ Méthode recommandée |
| Passkey synchronisée (trousseau iCloud, gestionnaire de mots de passe Google) | ✅ |
| Windows Hello for Business, passkey Entra sur Windows | ✅ |
| Clé de sécurité FIDO2 | ✅ |
| Notification Microsoft Authenticator, codes TOTP, jetons OATH | ✅ Inchangés |
| Méthodes MFA externes | ✅ Hors du périmètre, sauf si l’utilisateur est aussi autorisé au SMS ou à l’appel |

L’arrêt vise le SMS et l’appel **fournis par Microsoft** dans la stratégie des méthodes d’authentification, ainsi que les anciennes stratégies MFA et SSPR.

## Que se passe-t-il le 1er février 2027 ?

Microsoft le dit clairement : **personne ne perd l’accès à son compte**. En revanche :

1. un utilisateur concerné ne peut plus utiliser le SMS ou l’appel pour répondre au MFA ;
2. si c’était sa **seule méthode**, il doit **créer une passkey pendant sa connexion**. L’invite est **bloquante** : il n’est plus possible de la reporter.

Imaginez le lundi 1er février au matin : tous vos utilisateurs « SMS uniquement » qui doivent créer une passkey en même temps, dont certains sur un vieux téléphone ou sans smartphone professionnel. C’est un appel au support assuré. Tout l’enjeu est de faire cette migration **avant**, à votre rythme.

> **Pas d’opt-out pour l’échéance.** Microsoft le répète dans sa documentation : il n’existe aucun moyen de repousser la date du 1er février 2027 (ou du 1er juillet pour les administrateurs généraux et les externes). Seul un opérateur de téléphonie tiers permet de garder le SMS.

## Étape 1 : savoir qui est concerné

### Le script de Microsoft

Microsoft publie un script PowerShell, [entra-sms-voice-usage-analyzer](https://github.com/microsoft/entra-sms-voice-usage-analyzer), qui recense les utilisateurs autorisés et actifs sur le SMS ou l’appel. Il demande l’un des rôles **Lecteur général**, **Administrateur de la stratégie d’authentification** ou **Lecteur de sécurité**. Tout résultat non nul signifie que votre locataire est concerné.

### Les utilisateurs qui n’ont que le téléphone

Les utilisateurs à traiter en priorité sont ceux dont **toutes les méthodes inscrites sont téléphoniques** : ce sont eux qui seront bloqués par l’invite. Le rapport d’inscription des méthodes d’authentification permet de les isoler :

```powershell
Connect-MgGraph -Scopes "AuditLog.Read.All"

$phone = 'mobilePhone', 'alternateMobilePhone', 'officePhone'
$details = Get-MgReportAuthenticationMethodUserRegistrationDetail -All

# Utilisateurs dont toutes les méthodes inscrites sont téléphoniques
$phoneOnly = $details | Where-Object {
    $_.MethodsRegistered.Count -gt 0 -and
    -not ($_.MethodsRegistered | Where-Object { $_ -notin $phone })
}

$phoneOnly | Select-Object UserPrincipalName, UserDisplayName, IsAdmin,
    @{ n = 'Methods'; e = { $_.MethodsRegistered -join ', ' } } |
    Export-Csv .\Utilisateurs-SMS-uniquement.csv -NoTypeInformation -Encoding UTF8

"{0} utilisateurs n'ont que le SMS ou l'appel" -f $phoneOnly.Count
```

Dans le centre d’administration, **Entra ID > Méthodes d’authentification > Activité** donne aussi la répartition des méthodes inscrites et utilisées. Créez un **groupe de sécurité** avec ces utilisateurs : il servira pour la campagne d’inscription et la communication.

## Étape 2 : choisir la méthode cible

Pour la grande majorité des utilisateurs, la cible est la **passkey**. Deux familles existent dans Entra ID :

- **les passkeys liées à un appareil** : passkey dans **Microsoft Authenticator**, passkey Entra sur Windows, **Windows Hello for Business**, clé **FIDO2**. C’est ce que je recommande en entreprise : la clé ne quitte pas l’appareil ;
- **les passkeys synchronisées** (trousseau iCloud, gestionnaire de mots de passe Google) : très simples pour l’utilisateur, mais la clé vit dans un compte personnel. À réserver aux populations pour lesquelles c’est acceptable.

Mes recommandations par population :

| Population | Méthode cible |
|---|---|
| Utilisateurs avec smartphone professionnel ou BYOD géré | Passkey dans Microsoft Authenticator |
| Postes Windows gérés | Windows Hello for Business, déployé avec Intune |
| Administrateurs, comptes à privilèges | Clé FIDO2, au minimum deux par personne |
| Utilisateurs sans smartphone (production, magasins, postes partagés) | Clé FIDO2, ou opérateur tiers si aucune autre option n’est possible |

Les **profils de passkey** de la stratégie des méthodes d’authentification permettent de limiter les types acceptés, par exemple uniquement Authenticator et les clés FIDO2, en filtrant par AAGUID. Notez que l’activation automatique du 1er septembre place les utilisateurs concernés dans un profil qui **accepte tous les types de passkeys**, passkeys synchronisées comprises : vérifiez que cela vous convient.

## Étape 3 : lancer la campagne d’inscription

C’est l’outil le plus efficace pour migrer en masse sans surcharger le support : à la connexion suivante, l’utilisateur est invité à créer une passkey.

1. Vérifiez que **Passkey (FIDO2)** est activé dans **Entra ID > Méthodes d’authentification > Stratégies** pour le groupe ciblé.
2. Allez dans **Entra ID > Méthodes d’authentification > Campagne d’inscription**.
3. Passez l’**état** à **Géré par Microsoft** (ou **Activé** pour maîtriser vous-même le nombre de reports autorisés) et ciblez le groupe des utilisateurs SMS.

Depuis le 1er septembre, Microsoft a déjà activé cette campagne pour les utilisateurs concernés, avec des reports illimités. Je conseille de **reprendre la main** : limitez le nombre de reports à mesure que l’échéance approche, pour que la migration se fasse en janvier plutôt que le 1er février.

Côté **accès conditionnel**, profitez de la migration pour exiger la **force d’authentification « MFA résistant à l’hameçonnage »** sur les administrateurs et les applications sensibles, une fois les passkeys en place.

## Étape 4 : ne pas oublier le SSPR

La réinitialisation de mot de passe en libre-service perd elle aussi le SMS et l’appel. Si vos utilisateurs réinitialisent leur mot de passe avec un code SMS, prévoyez d’autres méthodes de vérification : notification ou code **Microsoft Authenticator**, adresse e-mail, ou un parcours via le support. Microsoft annonce aussi la possibilité de changer de mot de passe pour les utilisateurs qui se connectent sans mot de passe, sans date pour l’instant.

## Étape 5 : l’opérateur tiers, pour les vrais cas particuliers

Si vous avez un **besoin réglementaire ou opérationnel** de garder le SMS ou l’appel (populations sans smartphone ni possibilité de clé FIDO2, exigences de conformité), vous pouvez souscrire un **opérateur de téléphonie tiers** via **Microsoft Security Store** :

- les premiers opérateurs disponibles sont **Soprano** et **Telesign**, d’autres suivront à la disponibilité générale ;
- la configuration dans Entra est possible **à partir du 30 octobre 2026** ;
- le service est **payant**, selon l’opérateur, le volume et les pays ;
- Microsoft recommande de l’avoir en place **au moins quatre semaines avant l’échéance** et de tester avec un groupe pilote.

Les utilisateurs migrés vers un opérateur tiers avant l’échéance ne reçoivent pas l’invite bloquante. Mais gardez en tête que vous payez pour conserver la méthode la moins sûre : documentez le besoin et limitez-la aux populations qui n’ont vraiment pas d’alternative.

## L’opt-out temporaire : à quoi il sert, et à quoi il ne sert pas

Si vous ne voulez pas que Microsoft active automatiquement les passkeys et la campagne d’inscription, par exemple parce que vous préparez un opérateur tiers ou une autre méthode, un **opt-out temporaire** existe. Il se règle avec Microsoft Graph (permission `Policy.ReadWrite.AuthenticationMethod`) :

```powershell
Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"

Invoke-MgGraphRequest -Method PATCH `
    -Uri "https://graph.microsoft.com/beta/policies/authenticationmethodspolicy" `
    -Body @{ optOutSettings = @{ passkeyDynamicMigration = $true } }
```

Il exclut votre locataire de l’activation automatique des passkeys et de la campagne jusqu’au **1er février 2027**. Il ne repousse **pas** l’arrêt du SMS : à cette date, les règles normales s’appliquent quel que soit ce réglage. Je le déconseille dans la plupart des cas : il retarde l’inscription des utilisateurs sans rien régler sur le fond.

## Étape 6 : communiquer

Microsoft insiste sur ce point, et je suis d’accord : la communication est ce qui fait réussir un déploiement de passkeys. Un plan en trois temps, ciblé sur le groupe des utilisateurs SMS :

1. **Annonce** : le SMS s’arrête, pourquoi, et quelle méthode le remplace ;
2. **Action** : comment créer sa passkey, avec un pas-à-pas par type d’appareil (Windows, iPhone, Android) ;
3. **Relance** : rappels aux utilisateurs qui n’ont toujours pas de méthode résistante à l’hameçonnage.

Microsoft fournit des [modèles de communication](https://aka.ms/mfatemplates) pour les e-mails, Teams et l’intranet. Briefez aussi le **support** : ce sont eux qui recevront les appels le 1er février si la migration n’est pas terminée.

## Côté licences

Les **passkeys sont incluses dans tous les plans Entra ID**, sans surcoût. L’accès conditionnel et les forces d’authentification demandent **Entra ID P1**. Seul l’opérateur de téléphonie tiers est un coût supplémentaire.

## Ma check-list

- [ ] Inventaire avec le script `entra-sms-voice-usage-analyzer`
- [ ] Liste des utilisateurs « SMS uniquement » et groupe de sécurité dédié
- [ ] Méthode cible par population : Authenticator, Windows Hello for Business, FIDO2
- [ ] Profils de passkey vérifiés (passkeys synchronisées acceptées ou non)
- [ ] Campagne d’inscription aux passkeys active, avec reports limités à l’approche de l’échéance
- [ ] Méthodes SSPR revues sans SMS ni appel
- [ ] Clés FIDO2 pour les administrateurs généraux avant le 1er juillet 2027
- [ ] Invités internes traités avant le 1er février 2027
- [ ] Opérateur tiers évalué uniquement pour les cas justifiés, configuré au moins quatre semaines avant l’échéance
- [ ] Communication aux utilisateurs et briefing du support
- [ ] Force d’authentification résistante à l’hameçonnage dans l’accès conditionnel

## Ce que je vous conseille de faire cette semaine

1. **Lancez l’inventaire** : combien d’utilisateurs n’ont que le SMS ou l’appel ? C’est ce chiffre qui détermine l’ampleur du chantier.
2. **Choisissez la méthode cible** par population et commandez dès maintenant les clés FIDO2 pour ceux qui n’ont pas de smartphone : les délais d’approvisionnement comptent.
3. **Reprenez la main sur la campagne d’inscription** et envoyez la première communication : chaque passkey créée en novembre est un appel de moins au support le 1er février.

## Points clés à retenir

- Le 1er février 2027, Entra ID n’envoie plus de SMS ni d’appels pour le MFA et la réinitialisation de mot de passe (SSPR).
- Les administrateurs généraux et les utilisateurs externes (B2B) ont un sursis jusqu’au 1er juillet 2027 ; les invités internes restent au 1er février.
- Après l’échéance, un utilisateur qui n’a que le SMS ou l’appel doit créer une passkey pour continuer à se connecter : l’invite ne peut plus être ignorée.
- L’opt-out passkeyDynamicMigration ne fait que retarder l’activation automatique des passkeys : il ne repousse pas la fin du SMS.
- Le SMS reste possible avec un opérateur tiers payant (Soprano, Telesign) via Microsoft Security Store, configurable à partir du 30 octobre 2026.
- La priorité : identifier les utilisateurs qui n’ont que le téléphone, puis lancer une campagne d’inscription aux passkeys.

## Questions fréquentes

### Quand le SMS et l’appel s’arrêtent-ils pour le MFA Microsoft ?

Le 1er février 2027 pour tous les utilisateurs d’Entra ID dans le cloud public, sauf les administrateurs généraux et les utilisateurs externes, pour qui l’arrêt a lieu le 1er juillet 2027. Les invités internes suivent la date du 1er février 2027. Les clouds souverains et gouvernementaux suivront un calendrier ultérieur.

### Mes utilisateurs vont-ils être bloqués le 1er février 2027 ?

Ils ne perdent pas l’accès à leur compte, mais un utilisateur dont la seule méthode MFA est le SMS ou l’appel devra créer une passkey lors de sa connexion avant de pouvoir continuer. Cette invite est bloquante et ne peut pas être reportée. Les utilisateurs qui ont déjà Microsoft Authenticator, une passkey, Windows Hello for Business ou une clé FIDO2 ne sont pas bloqués.

### La réinitialisation de mot de passe en libre-service (SSPR) est-elle concernée ?

Oui. L’arrêt du SMS et de l’appel fournis par Microsoft s’applique à tout Entra ID, SSPR compris. Il faut donc prévoir d’autres méthodes de vérification pour la réinitialisation de mot de passe.

### Peut-on continuer à utiliser le SMS après février 2027 ?

Oui, mais seulement avec un opérateur de téléphonie tiers souscrit via Microsoft Security Store (Soprano et Telesign au départ), configurable à partir du 30 octobre 2026. Ce service est payant et Microsoft le réserve aux besoins réglementaires ou opérationnels justifiés.

### Comment retarder l’activation automatique des passkeys ?

Avec Microsoft Graph, en passant optOutSettings.passkeyDynamicMigration à true dans la stratégie des méthodes d’authentification (API beta, permission Policy.ReadWrite.AuthenticationMethod). Cela retarde l’activation des passkeys et de la campagne d’inscription jusqu’au 1er février 2027, mais ne repousse pas l’arrêt du SMS.

### Les passkeys sont-elles payantes ?

Non. Les passkeys sont incluses dans tous les plans Microsoft Entra ID, sans surcoût. Seul l’opérateur tiers pour conserver le SMS ou l’appel est payant.

## Sources et documentation

- [Microsoft Learn : passkeys par défaut et retrait du SMS et de l’appel fournis par Microsoft](https://learn.microsoft.com/fr-fr/entra/identity/authentication/concept-sms-voice-retirement)
- [Microsoft Learn : FAQ sur le retrait du SMS et de l’appel fournis par Microsoft](https://learn.microsoft.com/fr-fr/entra/identity/authentication/concept-sms-voice-retirement-faq)
- [Microsoft Learn : choisir un opérateur de téléphonie pour le SMS et l’appel](https://learn.microsoft.com/fr-fr/entra/identity/authentication/concept-phone-providers)
- [Microsoft Learn : planifier un déploiement de passkeys dans Microsoft Entra ID](https://learn.microsoft.com/fr-fr/entra/identity/authentication/how-to-deploy-phishing-resistant-passwordless-authentication)
- [GitHub : entra-sms-voice-usage-analyzer (script Microsoft)](https://github.com/microsoft/entra-sms-voice-usage-analyzer)
- [Office 365 for IT Pros : No More SMS One-time Codes and Voice Calls from Entra ID](https://office365itpros.com/2026/07/14/entra-sms-one-time-code/)
- [Jan Bakker : Passkeys by default and retirement of Microsoft-provided SMS and voice authentication](https://janbakker.tech/passkeys-by-default-and-retirement-of-microsoft-provided-sms-and-voice-authentication-a-guide-to-stay-calm/)