Passkeys Entra ID : auditer et migrer les utilisateurs SMS

Le 1er février 2027, Microsoft Entra ID cesse de fournir le SMS et la voix comme méthodes d'authentification pour la majorité des comptes. Dès cette date, un utilisateur dont l'unique méthode MFA est le SMS ou la voix reçoit une invite bloquante d'enregistrement d'une passkey. Cet article vous donne le calendrier à jour, un script Microsoft Graph pour repérer les comptes exposés, une méthode de pilote et le contrôle à faire avant le changement SSPR du 9 novembre 2026.

Calendrier : trois dates à ne pas confondre

La date du 1er février 2027 ne vaut plus pour tout le monde. Selon la documentation Microsoft Learn, la fin du SMS et de la voix fournis par Microsoft touche tous les utilisateurs, sauf les administrateurs généraux et les utilisateurs externes. Pour ces deux populations, l'échéance est repoussée au 1er juillet 2027. Les invités internes restent soumis au 1er février.

La chronologie complète, y compris le changement SSPR (Self-Service Password Reset, réinitialisation de mot de passe en libre-service), tient en cinq jalons.

Le TOTP reste pris en charge après le 1er février 2027. Les questions de sécurité SSPR sont retirées en mars 2027, d'après la réponse de Marcin Policht, MVP, citée dans la FAQ de Microsoft Learn.

Qui devra réellement créer une passkey

Tous les comptes ne seront pas forcés. Après la date applicable, seuls les utilisateurs dont l'unique méthode MFA est le SMS ou la voix reçoivent l'invite bloquante. Un utilisateur qui a aussi Microsoft Authenticator (notification push) ou un TOTP logiciel n'est pas obligé de créer une passkey.

Une exception change la donne : une politique d'accès conditionnel exigeant une MFA résistante au phishing l'y contraindra, d'après la réponse publiée sur Microsoft Learn Q&A. Si vous avez déjà ce type de politique, vos utilisateurs Authenticator sans passkey seront aussi concernés.

Un scénario d'illustration : une organisation de plusieurs centaines de postes compte des comptes de service humains, des utilisateurs de terrain et des administrateurs. Les terrains n'ont souvent que le SMS. Ce sont eux, pas les administrateurs, qui constituent la file de migration prioritaire.

Passkeys par défaut depuis le 1er septembre 2026

Depuis le 1er septembre 2026, les passkeys sont activées automatiquement pour les utilisateurs SMS/voix. La campagne d'enregistrement est passée en « Microsoft Managed », avec un nombre de reports illimité par défaut.

Une désactivation temporaire reste possible jusqu'au 1er février 2027. Elle passe par Microsoft Graph, avec la permission Policy.ReadWrite.AuthenticationMethod et la propriété passkeyDynamicMigration à true. Elle ne protège pas de l'application finale du 1er février. Consultez la page Microsoft Learn dédiée pour la requête exacte avant tout changement. Notre article sur le report du déploiement automatique des passkeys détaille cette option, et celui sur le changement Passkey de septembre en explique le contexte.

Côté coût, Microsoft recommande aux organisations de passer aux passkeys, incluses dans tous les plans Entra sans coût supplémentaire. Le Security Store, ouvert le 30 octobre 2026, reste une voie payante auprès d'un opérateur tiers pour ceux qui doivent conserver SMS ou voix.

Mise en œuvre : auditer les méthodes d'authentification avec Microsoft Graph

Le script ci-dessous parcourt vos utilisateurs, lit leurs méthodes d'authentification et classe chaque compte. Il est en lecture seule : aucune simulation n'est nécessaire.

• Module requis : Microsoft Graph PowerShell. Installation : Install-Module Microsoft.Graph -Scope CurrentUser.
• Permissions : User.Read.All et UserAuthenticationMethod.Read.All en délégué. Le compte doit aussi détenir un rôle Microsoft Entra autorisé à lire les méthodes, comme Global Reader.
• Sortie : un fichier CSV par utilisateur et un récapitulatif par statut dans la console.

1# Connexion avec les permissions minimales en lecture
2Connect-MgGraph -Scopes 'User.Read.All','UserAuthenticationMethod.Read.All' -NoWelcome
3 
4# Types de méthodes lus dans la propriété @odata.type
5$tPhone  = '#microsoft.graph.phoneAuthenticationMethod'
6$tFido   = '#microsoft.graph.fido2AuthenticationMethod'
7$tAuth   = '#microsoft.graph.microsoftAuthenticatorAuthenticationMethod'
8$tOath   = '#microsoft.graph.softwareOathAuthenticationMethod'
9$tEmail  = '#microsoft.graph.emailAuthenticationMethod'
10$tPwd    = '#microsoft.graph.passwordAuthenticationMethod'
11 
12$rapport = foreach ($u in Get-MgUser -All -Property Id,DisplayName,UserPrincipalName,AccountEnabled,UserType) {
13    try {
14        $methodes = Get-MgUserAuthenticationMethod -UserId $u.Id -ErrorAction Stop
15    }
16    catch {
17        Write-Warning "Lecture impossible pour $($u.UserPrincipalName) : $($_.Exception.Message)"
18        continue
19    }
20 
21    # Liste des types de méthodes enregistrées pour cet utilisateur
22    $types = @($methodes | ForEach-Object { $_.AdditionalProperties['@odata.type'] })
23 
24    $aPasskey = $types -contains $tFido
25    $aAuth    = $types -contains $tAuth
26    $aOath    = $types -contains $tOath
27    $aPhone   = $types -contains $tPhone
28    $aEmail   = $types -contains $tEmail
29    $autres   = @($types | Where-Object { $_ -ne $tPwd })
30 
31    # Classement : du plus avancé au plus exposé
32    if     ($aPasskey)           { $statut = 'Passkey enregistrée' }
33    elseif ($aAuth -or $aOath)   { $statut = 'Authenticator ou TOTP, sans passkey' }
34    elseif ($aPhone)             { $statut = 'SMS/voix seul : prioritaire' }
35    elseif ($autres.Count -gt 0) { $statut = 'Autre méthode uniquement' }
36    else                         { $statut = 'Aucune méthode hors mot de passe' }
37 
38    [pscustomobject]@{
39        UserPrincipalName = $u.UserPrincipalName
40        Compte_actif      = $u.AccountEnabled
41        Type_utilisateur  = $u.UserType
42        Passkey           = $aPasskey
43        Authenticator     = $aAuth
44        TOTP_logiciel     = $aOath
45        Telephone_SMS_voix = $aPhone
46        Email             = $aEmail
47        Statut            = $statut
48    }
49}
50 
51# Export et récapitulatif
52$rapport | Export-Csv -Path .\audit-methodes-auth.csv -NoTypeInformation -Encoding UTF8
53$rapport | Group-Object Statut | Select-Object Count, Name | Sort-Object Count -Descending

Trois précisions sur la lecture du résultat. Le type phoneAuthenticationMethod couvre le SMS et la voix, le script ne les distingue pas. Les passkeys sont comptées via fido2AuthenticationMethod : validez ce mapping sur quelques comptes pilotes avant d'extrapoler, notamment pour les passkeys hébergées dans Authenticator. Enfin, Microsoft Learn publie son propre script de repérage des utilisateurs SMS/voix, et Daniel Bradley (Our Cloud Network) propose un guide d'audit : croisez les trois résultats.

Sur un grand annuaire, l'exécution est longue car elle lance une requête par utilisateur. Filtrez sur les comptes actifs, ou découpez par groupe, avant de planifier l'exécution.

Piloter la migration : une politique d'inscription ciblée

Un pilote limite les mauvaises surprises. Prenez 30 à 50 comptes issus du rapport, répartis entre les statuts « SMS/voix seul » et « Authenticator ou TOTP, sans passkey ».

Le vrai obstacle est humain. Daniel Bradley relève que l'utilisateur qui refuse d'utiliser son appareil personnel pour le travail est le principal frein, avec un coût possible : l'achat de clés FIDO2. Budgétez ces clés pour les profils concernés plutôt que de les découvrir en février. Pour l'architecture et les écueils à grande échelle, voir notre article sur le déploiement d'entreprise des passkeys FIDO2 et celui sur l'enregistrement des passkeys et ses retards.

SSPR : le contrôle du 9 novembre 2026

À partir du 9 novembre 2026, la réinitialisation de mot de passe en libre-service n'accepte que des méthodes explicitement enregistrées. Les numéros de téléphone et e-mails issus de l'annuaire (mobilePhone, businessPhone, otherMails) ne sont plus valides s'ils n'ont pas été enregistrés.

Le message Center MC1325414 mentionnait initialement le 7 novembre pour le début de l'application, avec une action requise avant le 9. Le déploiement général va de début à mi-novembre 2026. Environ 86 % des vérifications SSPR utilisent déjà des méthodes enregistrées, ce qui laisse une minorité à risque.

Microsoft indique de vérifier la couverture dans le centre d'administration Entra : Méthodes d'authentification, puis Détails d'inscription des utilisateurs. Chaque utilisateur, administrateurs compris, doit avoir au moins une méthode enregistrée compatible avec votre politique SSPR. Prévoyez aussi une procédure de repli via le support.

Questions fréquentes

Un utilisateur avec Authenticator et SMS devra-t-il créer une passkey ?

Non, sauf politique contraire. Un utilisateur qui a aussi Authenticator (push) ou un TOTP logiciel n'est pas obligé de créer une passkey. Une politique d'accès conditionnel exigeant une MFA résistante au phishing l'y contraindra en revanche.

Peut-on désactiver l'invite d'enregistrement de passkey ?

Non pour l'invite bloquante qui suit la date applicable. Seule la migration automatique peut être désactivée temporairement, jusqu'au 1er février 2027, via Microsoft Graph avec la propriété passkeyDynamicMigration à true. Cette désactivation ne protège pas de l'application finale.

Les passkeys coûtent-elles une licence supplémentaire ?

Non. Les passkeys sont incluses dans tous les plans Entra sans coût supplémentaire. Le seul coût possible vient du matériel, par exemple des clés FIDO2, ou d'un fournisseur télécom payant via le Microsoft Security Store.

Que se passe-t-il pour les invités B2B ?

Ils sont dans le périmètre de la fin du SMS/voix. Le support des passkeys pour les utilisateurs B2B et les invités internes est annoncé pour fin 2026, et le TOTP reste pris en charge après le 1er février 2027.

Par où commencer

La séquence la plus sûre tient en trois mouvements : auditer, traiter le SSPR avant le 9 novembre, puis migrer par vagues.

Si votre organisation a des administrateurs généraux ou des utilisateurs externes, ne profitez pas du 1er juillet 2027 pour attendre : traitez-les dans la même campagne, avec le même rapport.

Pour aller plus loin

• Passkeys par défaut et retrait des SMS/voix fournis par Microsoft (Microsoft Learn) : calendrier officiel, script de repérage et désactivation temporaire.
• FAQ sur le retrait des SMS et de la voix (Microsoft Learn) : administrateurs, externes, invités B2B et TOTP.
• Microsoft Entra ID security updates: What organizations need to do now (Tech Community) : le détail officiel du changement SSPR du 9 novembre 2026.
• Microsoft are set to retire SMS & Voice authentication methods (Our Cloud Network) : guide d'audit et difficultés pratiques de la migration.
• No More SMS One-time Codes and Voice Calls from Entra ID (Office 365 for IT Pros) : l'analyse de Tony Redmond sur l'ampleur du changement.