Le mot de passe est mort : bienvenue aux passkeys
Microsoft vient de fixer la date : à partir du 1er septembre 2026, les passkeys deviennent la méthode d'authentification par défaut dans Entra ID, et les codes par SMS disparaissent en février 2027. Ce n'est plus une tendance, c'est un calendrier. Voici ce qu'est une passkey, pourquoi elle résiste à l'hameçonnage — et comment préparer la transition sans chaos.
Le 1er septembre 2026, Microsoft appuie sur un bouton qui va toucher chaque entreprise utilisant Microsoft 365 : les passkeys deviennent la méthode d'authentification par défaut dans Entra ID. Vos employés qui reçoivent encore leurs codes par SMS seront invités, à leur prochaine connexion, à enregistrer une passkey. Et le 1er février 2027, les codes par SMS et par appel vocal disparaissent tout simplement de la plateforme.
Ce n'est pas une rumeur de blogue techno : c'est le calendrier officiel, annoncé le 13 juillet. Le mot de passe — cette invention des années 60 qu'on traîne comme une vieille habitude — vient de recevoir son avis de départ. La bonne nouvelle : ce qui le remplace est à la fois plus simple pour vos employés et radicalement plus sécuritaire pour votre entreprise. À condition de préparer la transition au lieu de la subir.
Pourquoi le mot de passe ne suffit plus — même avec le MFA
Le problème du mot de passe n'a jamais été sa complexité. C'est qu'il se partage, se devine, se revend et, surtout, se hameçonne. Une fausse page de connexion Microsoft bien imitée, un employé pressé, et le tour est joué — mot de passe et code MFA inclus, car les trousses d'hameçonnage modernes relaient les deux en temps réel.
Le SMS n'est pas mieux loti : Microsoft le classe, avec l'appel vocal, parmi les méthodes d'authentification les plus vulnérables qui soient — hameçonnage, détournement de carte SIM (SIM swap), attaques par rejeu. Et la machine s'est accélérée : selon le rapport de défense numérique de Microsoft, les campagnes d'hameçonnage assistées par intelligence artificielle atteignent des taux de clic allant jusqu'à 54 %, contre environ 12 % pour les campagnes traditionnelles. Quatre fois plus efficaces. On l'a vu avec la fraude au président version deepfake : l'attaquant de 2026 ne force plus la serrure, il convainc quelqu'un de lui ouvrir la porte. Tant que la clé est quelque chose que l'employé connaît et peut taper quelque part, elle peut être volée.
Une passkey, c'est quoi au juste?
Une passkey, c'est une clé numérique unique, créée pour un site ou un service précis, et verrouillée dans votre appareil — votre ordinateur, votre téléphone ou une clé de sécurité physique. Pour l'utiliser, vous déverrouillez l'appareil comme d'habitude : empreinte, visage ou NIP. C'est tout. Pas de mot de passe à retenir, à réinitialiser, à coller sous le clavier.
La magie est dans ce qui ne se passe pas. Rien n'est tapé, donc rien ne peut être intercepté. La clé ne fonctionne que sur le vrai site pour lequel elle a été créée : une fausse page Microsoft, aussi parfaite soit-elle, ne recevra jamais rien. Et la clé ne quitte jamais votre appareil : il n'existe aucune base de données de passkeys à voler chez le fournisseur. L'hameçonnage classique ne devient pas plus difficile — il devient structurellement impossible. C'est exactement la logique du Zero Trust appliquée à l'identité : on ne fait plus confiance à ce qui peut être copié.
Le calendrier Microsoft, en trois dates
1er septembre 2026 : les utilisateurs qui s'authentifient encore par SMS ou par appel vocal sont automatiquement activés pour les passkeys et invités à en enregistrer une à leur prochaine connexion. Votre TI peut devancer le mouvement — ou l'encadrer — mais pas l'ignorer : pour éviter l'activation automatique, il faut avoir retiré ces utilisateurs du SMS/voix dans la politique des méthodes d'authentification avant cette date.
1er février 2027 : les SMS et les appels vocaux fournis par Microsoft sont complètement retirés. Après cette date, tout utilisateur dont c'était la seule méthode MFA frappe une invite bloquante : impossible de se connecter sans enregistrer une passkey. Aucune exemption, pour aucun tenant.
Et les organisations qui doivent garder le SMS? Pour un besoin réglementaire ou opérationnel réel, il restera possible de passer par un fournisseur télécom tiers via le Microsoft Security Store — options et tarifs publiés dès le 18 septembre 2026, configuration disponible à partir du 30 octobre 2026, à compléter avant le 1er février 2027. Avec les coûts supplémentaires qui viennent avec.
Traduction pour une PME : d'ici quelques semaines, vos employés vont commencer à voir des invitations à « créer une passkey » — avec ou sans votre préparation. La seule vraie décision, c'est de savoir si cette transition sera encadrée ou improvisée.
Ce que les entreprises qui ont fait le saut constatent
La transition n'est pas qu'une contrainte de conformité. Selon le rapport 2026 de la FIDO Alliance — l'organisme derrière le standard — environ 5 milliards de passkeys sont déjà en usage dans le monde, et 68 % des organisations ont déployé ou déploient des passkeys pour leurs employés. Celles qui l'ont fait mesurent des gains concrets : 45 % rapportent des connexions plus rapides, 35 % voient fondre les billets de réinitialisation de mot de passe — la demande la plus banale et la plus chronophage de tout service TI — et 32 % constatent une baisse des incidents liés à l'hameçonnage.
Autrement dit : plus de sécurité et moins de friction, en même temps. C'est rare. Et si vous payez déjà Microsoft 365, l'infrastructure est déjà là : Windows Hello, l'application Authenticator et les clés de sécurité physiques sont des outils inclus dans ce que vous payez déjà .
Les pièges que la transition vous réserve
Un article honnête doit aussi nommer les frictions, parce qu'il y en a.
Les comptes partagés — la boîte info@, le poste de la réception, la tablette de l'entrepôt — ne cadrent pas naturellement avec une clé liée à une personne et un appareil. Il faudra les inventorier et leur trouver une solution propre, comme des clés de sécurité physiques partagées ou, mieux, la fin du partage de comptes.
Les appareils personnels posent la question qui fâche : si l'employé enregistre sa passkey d'entreprise sur son téléphone personnel, qu'arrive-t-il à son départ? La réponse se prépare d'avance — c'est le même réflexe que pour la révocation des accès lors des départs , mais il faut l'avoir écrit avant, pas après.
La récupération de compte devient le nouveau maillon faible. Quand il n'y a plus de mot de passe à réinitialiser, la procédure « j'ai perdu mon téléphone » doit être solide — sinon, c'est elle que les fraudeurs vont cibler en se faisant passer pour vos employés auprès de votre TI.
Rien d'insurmontable. Mais chacun de ces points se règle en quelques décisions calmes en août, ou en urgence en février.
Par où commencer?
D'abord, l'inventaire : qui, dans votre organisation, s'authentifie encore par SMS ou par appel vocal? Ce sont eux que le calendrier Microsoft touche en premier. Ensuite, un projet pilote : activez les passkeys pour un petit groupe — idéalement la direction et les comptes les plus ciblés — et testez les scénarios réels, y compris la perte d'appareil. Enfin, la communication : un message clair à l'équipe avant septembre, pour que l'invitation de Microsoft soit une étape attendue et non un courriel suspect de plus. L'ironie serait qu'une transition de sécurité mal annoncée passe elle-même pour de l'hameçonnage.
Reste la question d'échéancier : entre aujourd'hui et le 1er septembre, il reste quelques semaines. Assez pour faire les choses en ordre — inventaire, pilote, communication. Pas assez pour remettre ça à l'automne.
Chez MMO Techno, on accompagne les PME dans exactement ce genre de transition : inventorier les méthodes d'authentification en place, configurer les passkeys dans votre environnement Microsoft 365, prévoir les cas particuliers — comptes partagés, appareils personnels, procédures de récupération — et former vos équipes sans jargon. L'objectif : que le 1er septembre soit un non-événement. Si vos employés reçoivent encore leurs codes par texto, parlons-en avant que Microsoft ne le fasse à notre place .