Microsoft Entra : changer un mot de passe sans mot de passe actuel

Introduction

Microsoft Entra ID (anciennement Azure AD) introduit une nouvelle fonctionnalité permettant aux utilisateurs sans mot de passe actuel d'en définir un nouveau directement via My Sign-Ins. Cette avancée cible les organisations adoptant des méthodes d'authentification modernes tout en continuant à utiliser des applications nécessitant un mot de passe.

Cette capacité sera disponible à partir d'octobre 2026 et s'appliquera à tout le tenant une fois activée. Passons en revue les détails, les implications et les étapes essentielles pour vous préparer.

Objectif de cette nouveauté

Les systèmes passwordless se généralisent grâce à des technologies telles que Windows Hello for Business ou les clés de sécurité FIDO2. Pourtant, certaines applications héritées ou comptes de service nécessitent encore un mot de passe, plongeant les utilisateurs dans des situations inconfortables lors d'un oubli.

Actuellement, pour créer un nouveau mot de passe :

• L'utilisateur doit se souvenir de l'ancien.
• Ou utiliser la fonctionnalité de réinitialisation de mot de passe en libre-service (SSPR).

Si un utilisateur ne s'est pas inscrit à la SSPR avant de passer à une solution sans mot de passe, le dépannage se termine souvent par un appel au support IT. En permettant à un utilisateur authentifié via une méthode modernauth de créer un mot de passe sans avoir à passer par la SSPR, Microsoft cherche à réduire ce type de demandes au helpdesk.

Détails et calendrier

Cette fonctionnalité entrera en disponibilité générale (GA) fin octobre 2026. Le déploiement initial inclura également les environnements GCC. À noter :

• Paramètre désactivé par défaut : l'administrateur doit activer la fonctionnalité manuellement.
• Une fois activée, elle s'appliquera à tous les utilisateurs éligibles dans le tenant.
• Les contrôles d'administration, ainsi que les API associées, seront disponibles dès le lancement.
• La documentation officielle sur Microsoft Learn sera publiée parallèlement.

Ce qui ne change pas

Cette évolution ne remplace pas les mots de passe dans les scénarios où ils sont nécessaires. Elle vise uniquement à simplifier leur gestion pour les utilisateurs passwordless rencontrant un besoin ponctuel.

Fonctionnement : changement de mot de passe sans SSPR

Un utilisateur éligible peut désormais, via My Sign-Ins, cliquer sur l'option Changer le mot de passe. Pour valider cette opération, il devra s'authentifier avec :

• Une clé de sécurité FIDO2,
• Une méthode Windows Hello for Business,
• Ou un passkey.

Une fois l'identité vérifiée, il sera possible de créer un nouveau mot de passe sans avoir à renseigner l'ancien. Microsoft qualifie ces méthodes d'authentification de résistantes au phishing, ce qui renforce leur sécurité.

Combien d'utilisateurs sont concernés ?

Avant d'activer cette option, il est crucial d'évaluer combien de vos utilisateurs actuels se trouvent dans cette situation hybride : authentification passwordless mais besoin ponctuel d'un mot de passe.

Pour cela, utilisez un script PowerShell afin de générer un rapport interactif des méthodes d'authentification dans votre tenant. Un exemple typique pourrait inclure ce type de commande :

1# Exemple : rapport sur les méthodes d'authentification d'Entra ID
2Connect-AzureAD
3Get-AzureADUserAuthenticationMethod | Export-CSV -Path "EntraAuthReport.csv" -NoTypeInformation

Le rapport enrichi permet de filtrer les utilisateurs "passwordless capable" et de mieux préparer les communications ou formations nécessaires avant une activation globale de la fonctionnalité.

Activation à l'échelle du tenant

Le principal défi de cette mise à jour est son application tenant-wide. Microsoft n'a pas encore prévu de déploiement graduel pour des groupes pilotes ou des utilisateurs spécifiques. Une fois activé, tous les utilisateurs éligibles voient automatiquement cette capacité dans leur interface My Sign-Ins.

Étapes pour la mise en œuvre

Avant de prendre votre décision :

1. Identifiez vos dépendances legacy : quelles applications, services ou comptes nécessitent encore un mot de passe ?
2. Analysez les impacts potentiels : évaluez si vos politiques actuelles de mot de passe et d'authentification nécessitent des ajustements.
3. Formation et communication : préparez vos utilisateurs à cette nouvelle capacité. Une documentation claire peut réduire les interruptions.

Conclusion

En introduisant un chemin simplifié pour les utilisateurs sans mot de passe actuel, Microsoft Entra ID harmonise les expériences passwordless et legacy. Cette fonctionnalité, bien que secondaire au quotidien, permet de réduire les tickets liés à des oublis et de renforcer l'adoption des méthodes modernes d'authentification.

Préparez dès maintenant votre tenant pour ce déploiement d'octobre 2026 afin de tirer le meilleur de cette nouveauté et minimiser les frictions dans votre environnement hybride.