Le code par SMS a ses jours comptés : Microsoft bascule vers les passkeys
Depuis le 1er septembre 2026, Microsoft a changé la méthode de connexion par défaut de Microsoft 365. Le code reçu par SMS, que beaucoup d'entreprises utilisent encore comme deuxième facteur, vit ses derniers mois : il sera retiré le 1er février 2027 pour la grande majorité des utilisateurs. Si un de vos collaborateurs n'a que le SMS pour valider sa connexion, il sera bloqué devant son écran ce jour-là. Voici ce qui change et ce qu'il faut préparer maintenant plutôt qu'en catastrophe.
Trois dates à noter dans votre agenda
Microsoft a annoncé la bascule le 13 juillet 2026 dans son centre de messages d'administration (référence MC1426371). Le calendrier tient en trois échéances.
1er septembre 2026 : les passkeys deviennent l'expérience d'authentification par défaut. Les utilisateurs encore configurés en SMS ou en appel vocal sont automatiquement activés pour les passkeys et reçoivent une invitation à en enregistrer un lors de leur prochaine connexion à double facteur.
1er février 2027 : le SMS et l'appel vocal fournis par Microsoft sont retirés pour la grande majorité des utilisateurs, invités internes compris.
1er juillet 2027 : même retrait pour les administrateurs généraux et les utilisateurs externes.
Une porte de sortie subsiste : continuer à envoyer des SMS via un fournisseur de téléphonie tiers, configurable dans le Microsoft Security Store à partir du 30 octobre 2026. Pour une PME classique, ce n'est pas la bonne réponse : un contrat et un coût de plus pour conserver une méthode que Microsoft abandonne précisément parce qu'elle protège mal.
Pourquoi le code par SMS n'est plus une protection
Le SMS a rendu un vrai service. Il y a dix ans, un code à six chiffres derrière un mot de passe décourageait l'immense majorité des attaques automatisées. Le problème, c'est que les attaques ont changé et pas le SMS.
Le scénario le plus courant n'est plus le vol de mot de passe isolé mais l'hameçonnage en temps réel. Votre collaborateur clique sur un lien, arrive sur une copie parfaite de la page de connexion Microsoft, saisit ses identifiants. En coulisses, le faux site les rejoue immédiatement sur le vrai service, qui envoie un SMS. La page demande alors poliment le code reçu, et le relaie à son tour. L'attaquant récupère une session ouverte. Le code a fait exactement ce qu'on lui demandait, et il n'a rien empêché, parce qu'il ne vérifie jamais sur quel site il est tapé.
Un passkey fonctionne différemment. La clé est liée cryptographiquement au domaine officiel de Microsoft et stockée dans votre téléphone, votre ordinateur ou une clé physique. Sur une page contrefaite, elle ne se déclenche tout simplement pas. Plus de code à recopier, donc plus rien à intercepter ni à se faire soutirer au téléphone. C'est une méthode résistante à l'hameçonnage, et c'est la raison de fond derrière la décision de Microsoft.
Ce que cela va changer concrètement chez vous
Le point sensible est l'invite bloquante. À partir de la date de retrait qui le concerne, un utilisateur dont la seule méthode disponible est le SMS ou l'appel vocal devra enregistrer un passkey pendant sa connexion pour pouvoir continuer. Pas de report possible. Si la personne est en déplacement ou chez un client à ce moment, la journée commence mal.
Les cas à repérer sont toujours les mêmes : le collaborateur sans smartphone professionnel, celui qui refuse une application d'entreprise sur son téléphone privé, la boîte partagée de l'accueil, et le compte administrateur de secours que personne n'utilise au quotidien.
Les alternatives couvrent tous ces profils : Microsoft Authenticator sur mobile, Windows Hello Entreprise directement sur les postes Dell, clés FIDO2 physiques pour les comptes sans téléphone, certificats, et le Temporary Access Pass pour dépanner un enrôlement. Un parc géré sous Intune simplifie énormément l'exercice : Windows Hello Entreprise se déploie par stratégie et l'inscription se fait au premier démarrage.
Les trois erreurs qui font déraper la bascule
La première est d'attendre janvier 2027. Une migration d'authentification se mesure en semaines, parce qu'elle dépend des utilisateurs, de leurs téléphones et de leurs déplacements. Lancée en octobre, elle se fait au rythme des gens. Lancée en janvier, elle se fait au rythme des blocages.
La deuxième est de tout miser sur le téléphone personnel. Une partie de vos collaborateurs refusera, et c'est leur droit. Prévoyez dès le départ une clé FIDO2 physique ou Windows Hello Entreprise pour ceux-là, plutôt que de découvrir le problème en pleine bascule.
La troisième est d'oublier les comptes qui ne se connectent jamais : le compte administrateur de secours, la boîte de l'accueil, le compte de service d'une application métier. Ce sont ceux dont on a le plus besoin le jour où quelque chose va mal, et ce sont exactement ceux que personne ne pense à migrer.
Si un de vos collaborateurs ne peut valider sa connexion Microsoft 365 qu'avec un code SMS, il sera bloqué le 1er février 2027, et le seul moyen d'éviter cela est de lui donner une autre méthode avant cette date.
Votre plan d'action en 6 étapes
- Faites l'inventaire des utilisateurs encore en SMS ou en appel vocal dans votre tenant. Microsoft met à disposition un script d'analyse qui tourne avec un simple rôle en lecture.
- Activez les passkeys dans la stratégie des méthodes d'authentification, puis lancez une campagne d'enregistrement progressive plutôt qu'une bascule en bloc.
- Choisissez la méthode par profil : Authenticator pour les utilisateurs mobiles, Windows Hello Entreprise pour les postes, clé FIDO2 physique pour l'atelier, l'entrepôt et les comptes sans smartphone.
- Traitez les comptes à privilèges en premier : deux méthodes par administrateur et une clé de secours rangée au coffre, avant de toucher aux comptes standards.
- Préparez la récupération en cas de perte ou de remplacement de téléphone, Temporary Access Pass compris, et dites clairement qui appeler.
- Communiquez avant, pas pendant : un courriel simple, une date et trois lignes de marche à suivre évitent la moitié des appels au support le jour J.
SabiSys prend la bascule en charge
Nous faisons ce travail tous les jours sur les tenants Microsoft 365 que nous gérons : inventaire des méthodes en place, activation des passkeys, déploiement de Windows Hello Entreprise par stratégie Intune sur le parc Dell, clés FIDO2 pour les postes partagés, et accompagnement des utilisateurs qui bloquent. Pour nos clients sous contrat, cela fait partie de la maintenance courante.
Vous ne savez pas combien de vos utilisateurs dépendent encore du SMS ? Notre check-up sécurité gratuit vous situe en trois minutes, et un audit gratuit et sans engagement fait le tour de votre environnement Microsoft 365 et de votre sécurité, chez vous, en une heure. Contactez SabiSys, votre partenaire informatique dans la région de Liège.
Trois minutes suffisent pour faire le point.