Entra ID : préparer la fin des SMS et appels fournis par Microsoft en 2027
Microsoft prévoit le retrait de sa fourniture native des SMS et appels d’authentification Entra ID en deux étapes, les 1er février et 1er juillet 2027. Pour les tenants workforce du cloud public concernés, le jalon du 30 octobre — disponibilité générale de Choose Your Own Telephony Provider — est l’occasion de vérifier les dépendances et de planifier la migration vers des méthodes résistantes au phishing.
- Impact
- utilisateurs dépendant des SMS ou appels Microsoft pour MFA ou la réinitialisation libre-service du mot de passe ; les populations et échéances diffèrent.
- Action
- croiser méthodes autorisées, méthodes enregistrées et usages réels, puis valider une méthode de remplacement sur les postes et applications utilisés.
- Statut
- À planifier
Le calendrier ne commence pas aujourd’hui
La documentation de transition décrit déjà l’activation automatique des passkeys pour les utilisateurs autorisés à utiliser SMS ou voix à partir du 1er septembre 2026. Il ne s’agit pas d’une annonce du 31 octobre.
Le point d’actualité est explicite dans la FAQ CYOT : disponibilité générale depuis le 30 octobre 2026, pour les tenants Microsoft Entra ID workforce dans Azure global. Les anciennes mentions de private preview de la documentation de retrait ne doivent pas être prises pour le statut actuel de CYOT.
Pour le retrait natif, Microsoft distingue :
- 1er février 2027 : utilisateurs autres que les administrateurs généraux et utilisateurs externes ; les invités internes restent dans cette première échéance.
- 1er juillet 2027 : administrateurs généraux et utilisateurs externes.
La FAQ limite ce calendrier au cloud public. Elle exclut Azure AD B2C et ne transpose pas cette annonce aux tenants Microsoft Entra External ID.
Le retrait concerne aussi SSPR. Un utilisateur dont la seule méthode MFA disponible reste SMS/voix Microsoft, sans migration vers un fournisseur, devra enregistrer une passkey dans un parcours bloquant à son échéance. L’opt-out temporaire de la campagne d’enregistrement ne reporte pas le retrait.
Vérifier les dépendances avant de retirer une méthode
Avec l’équipe identité, examiner Entra ID > Authentication methods > Activity. Les onglets Registration et Usage distinguent les méthodes enregistrées de celles réellement utilisées pour les connexions et réinitialisations. Ce tableau nécessite Entra ID P1 ou P2 et les droits de lecture correspondants.
Comparer ces résultats aux populations autorisées dans les stratégies de méthodes d’authentification. Le rapport n’est pas temps réel — jusqu’à 36 heures de latence pour la plupart des utilisateurs, parfois davantage — et ne remplace pas l’examen des politiques. Classer à part les utilisateurs dépendant exclusivement du téléphone et les invités internes.
Sur un groupe représentatif, valider l’enregistrement puis une connexion effective avec la méthode de remplacement, sur les appareils, navigateurs et applications habituels. Les utilisateurs déjà équipés de Windows Hello for Business peuvent continuer à l’utiliser ; vérifier néanmoins les autres parcours, notamment SSPR et récupération de compte. Ne pas présumer qu’une passkey rend tous les scénarios SSPR disponibles.
Poursuivre la migration lorsque l’accès et la récupération sont validés. En cas d’échec, conserver une voie de récupération maîtrisée et résoudre l’écart avant de retirer SMS/voix des populations concernées.
CYOT est une exception à évaluer, pas le choix par défaut
Microsoft recommande les méthodes résistantes au phishing. CYOT permet de conserver un canal téléphonique lorsqu’un besoin métier, réglementaire ou technique le justifie, mais introduit un fournisseur et une intégration Azure à exploiter, avec des coûts distincts.
La disponibilité de CYOT ne concerne pas SMS comme méthode de connexion principale. Elle ne transforme pas non plus les SMS en méthode résistante au phishing.