Microsoft retire les codes SMS de connexion. Voici ce qui change.

Dès le 1er septembre 2026, certains utilisateurs de Microsoft 365 qui se connectent avec un code SMS ou vocal seront invités à enregistrer une clé d'accès. Microsoft prévoit cesser de fournir ces codes le 1er février 2027. Si votre entreprise en dépend encore, c'est le moment de préparer la transition.

Ce qui change

Si votre entreprise utilise Microsoft 365, vos employés utilisent Microsoft Entra ID chaque fois qu'ils se connectent à Outlook, Teams ou SharePoint. Entra ID gère l'authentification pour ces services.

Beaucoup d'entreprises exigent une deuxième étape de connexion en plus du mot de passe. Les méthodes courantes sont le code SMS, l'appel automatisé ou l'approbation dans une application d'authentification. Cette deuxième étape est l'authentification multifacteur, ou MFA. Un mot de passe volé ne suffit donc pas à lui seul.

Microsoft dirige maintenant les utilisateurs vers les clés d'accès comme méthode par défaut pour cette deuxième étape dans Entra ID. Dès le 1er septembre 2026, les employés qui utilisent encore les codes SMS ou vocaux seront invités à enregistrer une clé d'accès lors de leur connexion. Le 1er février 2027, Microsoft cessera de fournir ces codes. Après cette date, les utilisateurs qui en dépendaient devront enregistrer une clé d'accès avant de pouvoir se connecter. Microsoft ne prévoit pas d'option de retrait pour ce changement.

Deux dates comptent : le 1er septembre 2026 pour le début des invites, puis le 1er février 2027 pour la fin des codes fournis par Microsoft. D'ici là, il faut repérer les utilisateurs touchés, choisir la bonne méthode de clé d'accès et préparer l'équipe.

Pourquoi Microsoft retire les codes SMS et vocaux

Les codes SMS ont été une nette amélioration par rapport au mot de passe seul, mais ils ont une faiblesse simple : un utilisateur peut les copier et les transmettre. Une fausse page de connexion peut demander à l'employé d'entrer le code. Une attaque par échange de carte SIM peut aussi rediriger les textos vers l'appareil d'un attaquant. Les codes transmis par appel vocal ont le même problème, puisqu'il s'agit toujours d'un code réutilisable reçu par l'utilisateur.

La plupart des attaques d'hameçonnage visant les codes SMS ne cassent pas le code. Elles amènent l'utilisateur à le fournir. Un courriel crédible dirige l'employé vers une fausse page Microsoft. L'employé entre son mot de passe, puis le code SMS demandé par la page. L'attaquant peut alors utiliser les deux pour se connecter à son compte.

Le Digital Defense Report 2025 de Microsoft rapporte des campagnes d'hameçonnage assistées par l'IA avec des taux de clic allant jusqu'à 54 %, contre environ 12 % pour les campagnes traditionnelles. Des messages mieux rédigés rendent les vieux signaux d'alerte, comme les fautes d'orthographe, beaucoup moins utiles. L'échange de carte SIM pose un autre problème, puisqu'un attaquant peut rediriger les textos sans demander le code à l'employé. Le SMS n'a pas changé. Les attaquants ont simplement de meilleures façons de récupérer ou de détourner le code.

Ce qu'une clé d'accès fait réellement

Une clé d'accès utilise une paire de clés cryptographiques. Microsoft conserve la clé publique. La clé privée reste protégée sur le téléphone, l'ordinateur ou la clé de sécurité de l'utilisateur et se déverrouille avec la reconnaissance faciale, une empreinte digitale ou le NIP de l'appareil. Lors de la connexion, l'appareil prouve qu'il possède la clé privée sans jamais la transmettre.

Cette méthode élimine le problème du code partagé. Il n'y a aucun code SMS à entrer dans une fausse page et aucun code qui circule sur le réseau cellulaire. Une clé d'accès est aussi liée au service légitime pour lequel elle a été créée. Une fausse page de connexion Microsoft ne peut donc pas l'utiliser pour accéder au vrai service Microsoft.

En pratique, une connexion avec une clé d'accès ressemble souvent au déverrouillage d'un téléphone. La clé d'accès peut être stockée sur un téléphone, un PC Windows ou une clé de sécurité physique. Les clés physiques sont utiles pour les postes partagés, les comptoirs d'accueil et les autres situations où un téléphone personnel n'est pas le bon endroit pour conserver l'identifiant.

Les dates à prévoir

Microsoft prévoit la transition en plusieurs étapes. Voici les dates qui comptent pour votre planification.

1. 1er septembre 2026. Les invites commencent. Les employés qui utilisent des codes SMS ou vocaux commencent à recevoir une invite pour enregistrer une clé d'accès. L'invite peut être reportée au début. Si l'équipe sait qu'elle est légitime et quel appareil utiliser, l'inscription est simple. Sinon, attendez-vous à des demandes de soutien.
2. 30 octobre 2026. L'option d'exception devient disponible. Les entreprises qui ont une raison réglementaire ou technique de conserver les codes SMS ou vocaux pourront faire affaire avec un fournisseur de télécommunications tiers dans le Microsoft Security Store, à leurs frais. Microsoft indique que l'information sur les fournisseurs et les prix sera publiée plus tôt, le 18 septembre.
3. 1er février 2027. Les codes SMS et vocaux fournis par Microsoft prennent fin. À partir de cette date, les codes SMS et vocaux ne fonctionneront que pour les entreprises qui auront configuré un fournisseur tiers à l'avance. Les autres devront utiliser une autre méthode d'authentification prise en charge.
4. Après le 1er février 2027. L'enregistrement d'une clé d'accès devient obligatoire pour les utilisateurs touchés. Les utilisateurs dont la seule deuxième méthode d'authentification était un code SMS ou vocal devront enregistrer une clé d'accès avant d'accéder à leur compte. Il ne sera plus possible de reporter l'inscription.

Ces dates s'appliquent à l'environnement cloud Microsoft standard utilisé par la plupart des PME québécoises. Les environnements gouvernementaux spécialisés suivent un autre calendrier.

Quoi faire avant l'arrivée des invites

Pour la plupart des PME, passer des codes SMS ou vocaux fournis par Microsoft aux clés d'accès n'ajoute pas de coût de licence Microsoft. Le travail consiste surtout à repérer les utilisateurs touchés, choisir où stocker les clés d'accès et communiquer le changement.

1. Repérez les utilisateurs qui utilisent encore les codes SMS ou vocaux. Votre fournisseur TI peut obtenir cette liste dans l'environnement d'administration Microsoft 365. Vérifiez particulièrement les propriétaires et les employés de longue date, puisque les comptes plus anciens utilisent plus souvent d'anciennes méthodes d'authentification.
2. Choisissez où stocker les clés d'accès. Pour la plupart des employés, un téléphone ou un PC Windows attitré conviendra. Pour les postes partagés, les caisses, les planchers d'atelier et les autres environnements communs, envisagez une clé de sécurité physique.
3. Prévenez votre équipe avant Microsoft. Une invite de connexion qui demande de changer la façon de s'authentifier ressemble exactement au genre de demande que la formation en cybersécurité apprend aux employés à traiter avec prudence. Prévenez-les que l'invite est légitime, à partir de quand elle apparaîtra et quel appareil ou quelle clé de sécurité ils doivent utiliser.
4. Gardez l'exception SMS pour les vrais cas d'exception. Si un système ou un règlement exige l'authentification par SMS ou appel vocal, documentez cette exigence et prévoyez le coût du fournisseur tiers. Ne payez pas pour conserver une méthode plus faible simplement parce qu'elle est familière.

La date pratique à retenir est le 1er septembre 2026, quand les utilisateurs commenceront à voir les invites. Si JC Logic gère votre environnement Microsoft 365, nous pouvons repérer les comptes qui utilisent encore les codes SMS ou vocaux, choisir la bonne méthode de clé d'accès selon chaque usage et préparer le déploiement avant le début des invites.