Fin du SMS et de l’appel pour le MFA Microsoft : ce qui change le 1er février 2027 et comment s’y préparer

C’est sans doute le changement d’identité le plus important depuis le MFA obligatoire pour les portails d’administration : Microsoft arrête le SMS et l’appel vocal dans Entra ID. Annoncé le 13 juillet 2026 dans le message MC1426371, il prend effet le 1er février 2027 et concerne le MFA comme la réinitialisation de mot de passe en libre-service (SSPR).

Si une partie de vos utilisateurs valide encore ses connexions avec un code reçu par SMS, il reste un peu plus de trois mois. Dans cet article, je fais le point sur le calendrier, sur ce qui se passe concrètement le jour J et sur le plan de migration que je recommande.

Pourquoi Microsoft abandonne le SMS

La raison est la sécurité. Le SMS et l’appel sont parmi les méthodes d’authentification les plus faibles :

• hameçonnage : un code SMS se saisit aussi bien sur une fausse page de connexion que sur la vraie ;
• SIM swapping : un attaquant qui obtient une nouvelle carte SIM à votre nom reçoit vos codes ;
• interception et réattribution : messages détournés, numéros réattribués à quelqu’un d’autre ;
• ingénierie sociale : « Pouvez-vous me lire le code que vous venez de recevoir ? ».

Microsoft fait des passkeys l’expérience d’authentification par défaut d’Entra ID. Une passkey repose sur une paire de clés cryptographiques liée au site légitime : elle résiste à l’hameçonnage, au SIM swapping et au rejeu. Et le levier est réel : selon Microsoft, le SMS et l’appel représentaient encore 44 % des réponses MFA en 2024.

Le calendrier

Date	Ce qui se passe
13 juillet 2026	Annonce (MC1426371)
1er septembre 2026	Les utilisateurs autorisés au SMS ou à l’appel sont activés pour les passkeys ; la campagne d’inscription passe en mode « géré par Microsoft » et les invite à créer une passkey, invite qu’ils peuvent reporter sans limite
30 octobre 2026	Configuration possible d’un opérateur de téléphonie tiers via Microsoft Security Store
1er février 2027	Fin du SMS et de l’appel fournis par Microsoft pour tous les utilisateurs, sauf les administrateurs généraux et les utilisateurs externes
1er juillet 2027	Fin pour les administrateurs généraux et les utilisateurs externes

Quelques précisions importantes :

• les invités internes (comptes invités créés dans votre annuaire) ne profitent pas du sursis de juillet : ils suivent la date du 1er février 2027 ;
• ce calendrier concerne le cloud public. Les clouds souverains et gouvernementaux suivront plus tard ;
• Azure AD B2C n’est pas concerné. Pour Microsoft Entra External ID, le changement arrivera l’an prochain avec une annonce séparée.

Ce qui disparaît, ce qui reste

Méthode	Après l’échéance
Code par SMS (MFA et SSPR)	❌ Arrêté, sauf opérateur tiers
Appel vocal (MFA et SSPR)	❌ Arrêté, sauf opérateur tiers
Passkey dans Microsoft Authenticator	✅ Méthode recommandée
Passkey synchronisée (trousseau iCloud, gestionnaire de mots de passe Google)	✅
Windows Hello for Business, passkey Entra sur Windows	✅
Clé de sécurité FIDO2	✅
Notification Microsoft Authenticator, codes TOTP, jetons OATH	✅ Inchangés
Méthodes MFA externes	✅ Hors du périmètre, sauf si l’utilisateur est aussi autorisé au SMS ou à l’appel

L’arrêt vise le SMS et l’appel fournis par Microsoft dans la stratégie des méthodes d’authentification, ainsi que les anciennes stratégies MFA et SSPR.

Que se passe-t-il le 1er février 2027 ?

Microsoft le dit clairement : personne ne perd l’accès à son compte. En revanche :

1. un utilisateur concerné ne peut plus utiliser le SMS ou l’appel pour répondre au MFA ;
2. si c’était sa seule méthode, il doit créer une passkey pendant sa connexion. L’invite est bloquante : il n’est plus possible de la reporter.

Imaginez le lundi 1er février au matin : tous vos utilisateurs « SMS uniquement » qui doivent créer une passkey en même temps, dont certains sur un vieux téléphone ou sans smartphone professionnel. C’est un appel au support assuré. Tout l’enjeu est de faire cette migration avant, à votre rythme.

Pas d’opt-out pour l’échéance. Microsoft le répète dans sa documentation : il n’existe aucun moyen de repousser la date du 1er février 2027 (ou du 1er juillet pour les administrateurs généraux et les externes). Seul un opérateur de téléphonie tiers permet de garder le SMS.

Étape 1 : savoir qui est concerné

Le script de Microsoft

Microsoft publie un script PowerShell, entra-sms-voice-usage-analyzer, qui recense les utilisateurs autorisés et actifs sur le SMS ou l’appel. Il demande l’un des rôles Lecteur général, Administrateur de la stratégie d’authentification ou Lecteur de sécurité. Tout résultat non nul signifie que votre locataire est concerné.

Les utilisateurs qui n’ont que le téléphone

Les utilisateurs à traiter en priorité sont ceux dont toutes les méthodes inscrites sont téléphoniques : ce sont eux qui seront bloqués par l’invite. Le rapport d’inscription des méthodes d’authentification permet de les isoler :

Connect-MgGraph -Scopes "AuditLog.Read.All"

$phone = 'mobilePhone', 'alternateMobilePhone', 'officePhone'
$details = Get-MgReportAuthenticationMethodUserRegistrationDetail -All

# Utilisateurs dont toutes les méthodes inscrites sont téléphoniques
$phoneOnly = $details | Where-Object {
    $_.MethodsRegistered.Count -gt 0 -and
    -not ($_.MethodsRegistered | Where-Object { $_ -notin $phone })
}

$phoneOnly | Select-Object UserPrincipalName, UserDisplayName, IsAdmin,
    @{ n = 'Methods'; e = { $_.MethodsRegistered -join ', ' } } |
    Export-Csv .\Utilisateurs-SMS-uniquement.csv -NoTypeInformation -Encoding UTF8

"{0} utilisateurs n'ont que le SMS ou l'appel" -f $phoneOnly.Count

Dans le centre d’administration, Entra ID > Méthodes d’authentification > Activité donne aussi la répartition des méthodes inscrites et utilisées. Créez un groupe de sécurité avec ces utilisateurs : il servira pour la campagne d’inscription et la communication.

Étape 2 : choisir la méthode cible

Pour la grande majorité des utilisateurs, la cible est la passkey. Deux familles existent dans Entra ID :

• les passkeys liées à un appareil : passkey dans Microsoft Authenticator, passkey Entra sur Windows, Windows Hello for Business, clé FIDO2. C’est ce que je recommande en entreprise : la clé ne quitte pas l’appareil ;
• les passkeys synchronisées (trousseau iCloud, gestionnaire de mots de passe Google) : très simples pour l’utilisateur, mais la clé vit dans un compte personnel. À réserver aux populations pour lesquelles c’est acceptable.

Mes recommandations par population :

Population	Méthode cible
Utilisateurs avec smartphone professionnel ou BYOD géré	Passkey dans Microsoft Authenticator
Postes Windows gérés	Windows Hello for Business, déployé avec Intune
Administrateurs, comptes à privilèges	Clé FIDO2, au minimum deux par personne
Utilisateurs sans smartphone (production, magasins, postes partagés)	Clé FIDO2, ou opérateur tiers si aucune autre option n’est possible

Les profils de passkey de la stratégie des méthodes d’authentification permettent de limiter les types acceptés, par exemple uniquement Authenticator et les clés FIDO2, en filtrant par AAGUID. Notez que l’activation automatique du 1er septembre place les utilisateurs concernés dans un profil qui accepte tous les types de passkeys, passkeys synchronisées comprises : vérifiez que cela vous convient.

Étape 3 : lancer la campagne d’inscription

C’est l’outil le plus efficace pour migrer en masse sans surcharger le support : à la connexion suivante, l’utilisateur est invité à créer une passkey.

1. Vérifiez que Passkey (FIDO2) est activé dans Entra ID > Méthodes d’authentification > Stratégies pour le groupe ciblé.
2. Allez dans Entra ID > Méthodes d’authentification > Campagne d’inscription.
3. Passez l’état à Géré par Microsoft (ou Activé pour maîtriser vous-même le nombre de reports autorisés) et ciblez le groupe des utilisateurs SMS.

Depuis le 1er septembre, Microsoft a déjà activé cette campagne pour les utilisateurs concernés, avec des reports illimités. Je conseille de reprendre la main : limitez le nombre de reports à mesure que l’échéance approche, pour que la migration se fasse en janvier plutôt que le 1er février.

Côté accès conditionnel, profitez de la migration pour exiger la force d’authentification « MFA résistant à l’hameçonnage » sur les administrateurs et les applications sensibles, une fois les passkeys en place.

Étape 4 : ne pas oublier le SSPR

La réinitialisation de mot de passe en libre-service perd elle aussi le SMS et l’appel. Si vos utilisateurs réinitialisent leur mot de passe avec un code SMS, prévoyez d’autres méthodes de vérification : notification ou code Microsoft Authenticator, adresse e-mail, ou un parcours via le support. Microsoft annonce aussi la possibilité de changer de mot de passe pour les utilisateurs qui se connectent sans mot de passe, sans date pour l’instant.

Étape 5 : l’opérateur tiers, pour les vrais cas particuliers

Si vous avez un besoin réglementaire ou opérationnel de garder le SMS ou l’appel (populations sans smartphone ni possibilité de clé FIDO2, exigences de conformité), vous pouvez souscrire un opérateur de téléphonie tiers via Microsoft Security Store :

• les premiers opérateurs disponibles sont Soprano et Telesign, d’autres suivront à la disponibilité générale ;
• la configuration dans Entra est possible à partir du 30 octobre 2026 ;
• le service est payant, selon l’opérateur, le volume et les pays ;
• Microsoft recommande de l’avoir en place au moins quatre semaines avant l’échéance et de tester avec un groupe pilote.

Les utilisateurs migrés vers un opérateur tiers avant l’échéance ne reçoivent pas l’invite bloquante. Mais gardez en tête que vous payez pour conserver la méthode la moins sûre : documentez le besoin et limitez-la aux populations qui n’ont vraiment pas d’alternative.

L’opt-out temporaire : à quoi il sert, et à quoi il ne sert pas

Si vous ne voulez pas que Microsoft active automatiquement les passkeys et la campagne d’inscription, par exemple parce que vous préparez un opérateur tiers ou une autre méthode, un opt-out temporaire existe. Il se règle avec Microsoft Graph (permission Policy.ReadWrite.AuthenticationMethod) :

Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"

Invoke-MgGraphRequest -Method PATCH `
    -Uri "https://graph.microsoft.com/beta/policies/authenticationmethodspolicy" `
    -Body @{ optOutSettings = @{ passkeyDynamicMigration = $true } }

Il exclut votre locataire de l’activation automatique des passkeys et de la campagne jusqu’au 1er février 2027. Il ne repousse pas l’arrêt du SMS : à cette date, les règles normales s’appliquent quel que soit ce réglage. Je le déconseille dans la plupart des cas : il retarde l’inscription des utilisateurs sans rien régler sur le fond.

Étape 6 : communiquer

Microsoft insiste sur ce point, et je suis d’accord : la communication est ce qui fait réussir un déploiement de passkeys. Un plan en trois temps, ciblé sur le groupe des utilisateurs SMS :

1. Annonce : le SMS s’arrête, pourquoi, et quelle méthode le remplace ;
2. Action : comment créer sa passkey, avec un pas-à-pas par type d’appareil (Windows, iPhone, Android) ;
3. Relance : rappels aux utilisateurs qui n’ont toujours pas de méthode résistante à l’hameçonnage.

Microsoft fournit des modèles de communication pour les e-mails, Teams et l’intranet. Briefez aussi le support : ce sont eux qui recevront les appels le 1er février si la migration n’est pas terminée.

Côté licences

Les passkeys sont incluses dans tous les plans Entra ID, sans surcoût. L’accès conditionnel et les forces d’authentification demandent Entra ID P1. Seul l’opérateur de téléphonie tiers est un coût supplémentaire.

Ma check-list

• Inventaire avec le script entra-sms-voice-usage-analyzer
• Liste des utilisateurs « SMS uniquement » et groupe de sécurité dédié
• Méthode cible par population : Authenticator, Windows Hello for Business, FIDO2
• Profils de passkey vérifiés (passkeys synchronisées acceptées ou non)
• Campagne d’inscription aux passkeys active, avec reports limités à l’approche de l’échéance
• Méthodes SSPR revues sans SMS ni appel
• Clés FIDO2 pour les administrateurs généraux avant le 1er juillet 2027
• Invités internes traités avant le 1er février 2027
• Opérateur tiers évalué uniquement pour les cas justifiés, configuré au moins quatre semaines avant l’échéance
• Communication aux utilisateurs et briefing du support
• Force d’authentification résistante à l’hameçonnage dans l’accès conditionnel

Ce que je vous conseille de faire cette semaine

1. Lancez l’inventaire : combien d’utilisateurs n’ont que le SMS ou l’appel ? C’est ce chiffre qui détermine l’ampleur du chantier.
2. Choisissez la méthode cible par population et commandez dès maintenant les clés FIDO2 pour ceux qui n’ont pas de smartphone : les délais d’approvisionnement comptent.
3. Reprenez la main sur la campagne d’inscription et envoyez la première communication : chaque passkey créée en novembre est un appel de moins au support le 1er février.