Le contexte : la fin annoncée de SMS comme méthode d'authentification
Microsoft avance sur son calendrier de dépréciation de SMS comme méthode d'authentification dans Microsoft Entra ID, au profit des Passkeys en méthode par défaut. Ce n'est pas une surprise : la feuille de route officielle est publiée depuis un moment, avec le détail des actions prévues côté Microsoft et les notifications ('nudges') poussées aux utilisateurs finaux.
SMS ne disparaît pas totalement du jour au lendemain. Il reste utilisable après la dépréciation, mais uniquement si l'organisation dispose de son propre opérateur télécom pour gérer l'envoi des messages — une option qui implique un coût direct, à la charge du tenant.
Le plan de retrait de SMS comme méthode d'authentification, le déclenchement des invites utilisateur, et un mécanisme de déploiement contrôlé de Passkey pour les organisations qui veulent anticiper plutôt que subir le changement.
Le piège opérationnel : la Passkey prend le pas sur Microsoft Authenticator
Le scénario classique : vous lancez une campagne d'enregistrement de Passkey, l'utilisateur reçoit la notification, il enregistre sa Passkey. Rien d'anormal jusque-là.
Ce qui surprend les équipes support : dès la connexion suivante, l'utilisateur est invité à utiliser la Passkey en priorité — et non plus la méthode qu'il utilisait auparavant. Ce comportement s'applique même si Microsoft Authenticator était configuré comme méthode par défaut dans son profil. La Passkey devient prioritaire, sans action explicite de l'administrateur au niveau du compte individuel.
Sans communication préalable, ce changement génère des tickets support inutiles : l'utilisateur ne comprend pas pourquoi son application habituelle n'est plus proposée en premier.
System-Preferred Authentication : le mécanisme derrière le changement
Le comportement observé n'est pas un bug : il est piloté par le paramètre System-preferred Authentication dans Entra ID. Ce paramètre détermine quelle méthode est proposée en priorité à l'utilisateur pour compléter une demande d'authentification.
Il existe trois états possibles pour ce paramètre :
En mode Microsoft managed, la Passkey s'impose automatiquement comme méthode d'authentification prioritaire dès son enregistrement, sans intervention manuelle sur le profil utilisateur. C'est ce comportement qui explique la surprise côté helpdesk.
Le passage en mode Microsoft managed n'est pas symétrique : il n'attend pas que l'administrateur ajuste la méthode par défaut de chaque utilisateur. La priorité change automatiquement dès l'enregistrement de la Passkey.
Capture des méthodes d'authentification enregistrées pour un utilisateur dans Entra ID.
Ce que l'utilisateur peut encore faire
La bascule vers Passkey n'est pas irréversible à chaque connexion. L'utilisateur conserve une porte de sortie : il peut annuler l'invite Passkey, sélectionner « se connecter avec une autre méthode », puis choisir une méthode déjà enregistrée — typiquement Microsoft Authenticator.
Cette option existe, mais elle repose entièrement sur la connaissance de l'utilisateur. Sans communication claire en amont, peu de collaborateurs sauront qu'elle existe au moment où l'invite Passkey apparaît à l'écran.
Scoper le déploiement par groupe plutôt que par tenant entier
Bonne nouvelle pour les déploiements progressifs : les modes Microsoft managed et Enabled ne sont pas obligatoirement appliqués à l'ensemble du tenant. Il est possible de les scoper à tous les utilisateurs ou à un groupe spécifique.
- Les utilisateurs inclus dans le groupe ciblé basculent sur le comportement System-preferred choisi.
- Les utilisateurs hors périmètre continuent d'utiliser leur méthode par défaut habituelle, sans changement de comportement.
Cette granularité permet de mener un vrai pilote avant généralisation, plutôt que de basculer l'ensemble de l'organisation en une seule fois.
Ciblez d'abord un groupe pilote (IT, early adopters) avec System-preferred en mode Microsoft managed. Mesurez le volume de tickets support avant d'étendre à l'ensemble des utilisateurs.
Plan d'action avant l'échéance du 1er septembre
La date du 1er septembre constitue le point de bascule à anticiper. Les organisations qui n'ont pas encore structuré leur approche ont intérêt à cadrer les actions suivantes sans attendre :
- Lancer un pilote restreint sur un groupe test avant tout déploiement large.
- Documenter le comportement exact des trois états System-preferred pour les équipes support de niveau 1.
- Communiquer en amont auprès des utilisateurs sur le changement d'invite après enregistrement de Passkey, et sur l'option de basculer vers une autre méthode.
- Planifier le rollout complet avant le 1er septembre, ou à défaut, préparer explicitement les équipes au changement de comportement qui interviendra à cette date.
Sans action, le comportement par défaut évoluera à la date de bascule. Les organisations qui ne pilotent pas activement System-preferred Authentication subiront le changement plutôt que de le maîtriser.
Points clés à retenir
- SMS est en cours de dépréciation comme méthode d'authentification dans Entra ID, avec une possibilité de maintien payant via opérateur télécom propre.
- System-preferred Authentication pilote la méthode proposée en priorité, avec trois états : Microsoft managed, Enabled, Disabled.
- En mode Microsoft managed, la Passkey surclasse automatiquement Microsoft Authenticator dès son enregistrement, même si ce dernier est configuré par défaut.
- L'utilisateur peut toujours revenir à une méthode enregistrée via « se connecter avec une autre méthode », mais cela nécessite d'être informé au préalable.
- Le scoping par groupe permet un déploiement pilote avant généralisation à tout le tenant.
- L'échéance du 1er septembre impose de choisir entre un rollout complet maîtrisé ou une préparation active au changement automatique.
