Microsoft 365 : le code par SMS disparaît en 2027, êtes-vous prêt ?

Chaque matin, votre employée ouvre Outlook et reçoit un code par SMS pour se connecter. Ce geste a une date de fin. Le 1er février 2027, Microsoft arrête d’envoyer lui-même ces SMS et ces appels de vérification. Les comptes professionnels qui en dépendent encore devront passer à une autre méthode. Commerce, club ou PME, vous êtes concerné dès que vous utilisez Outlook, Teams ou OneDrive avec une adresse professionnelle.

Ce qui change, et à quelle date

Microsoft retire les SMS et les appels vocaux qu’il fournit pour vérifier votre identité dans Entra ID, le système de comptes de Microsoft 365. Le changement touche la double authentification et la réinitialisation du mot de passe en libre-service. Pour Microsoft, le SMS et l’appel vocal ne comptent plus parmi les méthodes sûres.

Le calendrier tient en trois dates :

• 1er septembre 2026 : les clés d’accès (passkeys) deviennent la méthode par défaut, et les utilisateurs du SMS sont invités à en créer une à la connexion.
• 1er février 2027 : fin des SMS et appels fournis par Microsoft pour tous les utilisateurs, sauf les administrateurs généraux et les comptes externes.
• 1er juillet 2027 : même fin pour les administrateurs généraux et les comptes externes.

Microsoft ne prévoit aucune dérogation à ces échéances.

Après l’échéance, un écran bloque la connexion

Après le 1er février 2027, un utilisateur qui n’a que le SMS comme seconde méthode verra un écran lui demander de créer une clé d’accès. Impossible de passer cette étape. Tant que la clé n’existe pas, la personne ne peut plus se connecter normalement.

Prenez la vendeuse d’un magasin ou le secrétaire d’un club, un lundi matin, sans personne pour l’aider. Sa messagerie et ses fichiers partagés restent inaccessibles. Réglez la question maintenant, au calme, plutôt que le jour où l’écran apparaît.

Jusqu’au 1er février, l’invitation de Microsoft peut être reportée. Par défaut, l’utilisateur peut la repousser sans limite. Chaque report rapproche l’échéance.

Trois méthodes remplacent le SMS

Microsoft recommande les clés d’accès. Au lieu de recopier un code, vous validez la connexion sur votre appareil, avec votre empreinte, votre visage ou un code PIN. Trois options existent :

• L’application gratuite Microsoft Authenticator, qui enregistre une clé d’accès sur votre smartphone.
• Windows Hello, sur un PC Windows équipé d’un lecteur d’empreinte ou d’une caméra compatible.
• Une clé de sécurité FIDO2, un petit objet USB adapté aux postes partagés et aux employés sans smartphone professionnel.

Les clés d’accès enregistrées dans le trousseau iCloud ou le gestionnaire de mots de passe de Google fonctionnent aussi.

Autre solution : les codes temporaires affichés dans Authenticator restent acceptés après le 1er février 2027. Un utilisateur qui s’en sert déjà ne verra pas l’écran bloquant. Microsoft précise toutefois que ces codes ne protègent pas contre l’hameçonnage, contrairement aux clés d’accès.

Le rôle de l’administrateur de votre compte Microsoft 365

Dans une petite structure, l’administrateur peut être le gérant lui-même ou son prestataire informatique. Trois tâches l’attendent :

• Repérer les comptes qui utilisent encore le SMS, avec le script « entra-sms-voice-usage-analyzer » publié par Microsoft sur GitHub.
• Lancer une campagne d’inscription dans le centre d’administration Entra, rubrique Méthodes d’authentification, pour guider ces comptes vers une clé d’accès.
• Retirer le SMS des méthodes autorisées pour ces comptes, une fois la nouvelle méthode testée.

Garder le SMS reste possible, en passant par un opérateur téléphonique tiers configuré dans le Microsoft Security Store. Ce service est payant, et son tarif dépend du fournisseur et du pays. Le passage aux clés d’accès se fait sans frais supplémentaires.

Source : Microsoft Learn, « Passkeys by default and retirement of Microsoft-provided SMS and voice authentication », mis à jour le 23 septembre 2026