Microsoft 365 abandonne le MFA par SMS : ce que les PME doivent faire avant le 1er février 2027

À retenir : ce que Microsoft confirme officiellement

Selon la documentation Microsoft Learn, l'authentification par SMS et par appel vocal fournie par Microsoft dans Entra ID prend fin le 1er février 2027 pour tous les utilisateurs, sauf les administrateurs généraux et les utilisateurs externes, dont la date est le 1er juillet 2027. Après la date, toute personne dont le seul moyen de vérification est un texto ou un appel devra enregistrer une clé d'accès (passkey) pour continuer à se connecter. Si vos employés reçoivent leur code Microsoft 365 par texto, vous êtes concerné.

Plusieurs blogues de revendeurs citent la date du 1er février 2027. Nous l'avons donc validée à la source : l'article Microsoft Learn intitulé « Passkeys by default and retirement of Microsoft-provided SMS and voice authentication » (dernière mise à jour du 23 septembre 2026 sur la copie consultée) et sa foire aux questions donnent ces dates noir sur blanc. La date n'est donc pas une rumeur de revendeur : elle vient de Microsoft.

L'autre source que tout le monde mélange est l'avis du Centre de messages MC1450133. Il décrit un changement distinct : les utilisateurs pourront enregistrer une clé d'accès comme première méthode d'authentification multifacteur, sans d'abord configurer un SMS ou un appel. Cet avis précise « aucune action requise », ce qui est vrai pour cette fonction précise. Cela ne veut pas dire qu'on peut ignorer la fin du SMS. Ce guide garde les deux dossiers bien séparés.

Qui est touché : propriétaire, administrateurs, employés et invités

Ce changement se passe dans Microsoft Entra ID, le système de connexion derrière tous les abonnements Microsoft 365 d'entreprise (Business Basic, Standard, Premium et les plans Entreprise). Pas besoin d'être une grande société : si vous payez Microsoft 365 pour votre PME, vous avez déjà un locataire (tenant) Entra.

Le piège pour les propriétaires : la portée est déterminée par la politique du locataire, pas par les habitudes. Un employé qui accepte une notification Authenticator chaque matin peut être invité à créer une clé d'accès si le SMS ou l'appel reste activé pour lui. D'après les résumés de l'aide de Microsoft que nous avons consultés, les utilisateurs qui ont une autre méthode disponible (Authenticator, application de codes) ne sont pas visés par l'invite bloquante.

Le côté administrateur compte encore plus pour une PME sans service informatique. Dans beaucoup de petits locataires, le seul administrateur général est le propriétaire, et il se connecte souvent avec un code par texto. Microsoft lui laisse jusqu'au 1er juillet 2027, ce qui donne envie de repousser. Ne le faites pas : le compte du propriétaire est la cible la plus précieuse de l'entreprise. Le migrer en premier, c'est 15 minutes bien investies cette semaine.

Le calendrier de septembre 2026 à juillet 2027

Deux avis Microsoft se chevauchent, d'où la confusion. Les voici côte à côte.

Petite précision d'honnêteté : le texte du Centre de messages que nous avons lu indique le début de la phase 2 en « janvier 2026 », ce qui est de toute évidence une coquille pour 2027, puisque la phase 1 ne commence qu'en novembre 2026. Nous présentons les dates comme le calendrier de Microsoft le laisse entendre et nous vous invitons à les confirmer dans votre propre centre d'administration, car l'archive communautaire de cet élément affiche une mise à jour datée du 26 octobre 2026 : les dates du Centre de messages peuvent changer.

Pourquoi Microsoft fait ce changement

La foire aux questions de Microsoft est directe : le SMS et l'appel vocal font partie des méthodes les plus vulnérables, avec une protection nettement plus faible contre l'hameçonnage et la prise de contrôle de compte que les clés d'accès. Ça correspond à ce que nous voyons sur le terrain. Un code par texto peut être volé par une fausse page de connexion qui le réclame et le retransmet en temps réel. Un échange de carte SIM (SIM swap), où un fraudeur convainc l'opérateur de transférer votre numéro, livre tous vos codes. Une clé d'accès ne fonctionne pas ainsi : c'est une clé cryptographique liée à un vrai appareil (ou à un gestionnaire d'identifiants) et au vrai site, donc une fausse page n'a rien à voler.

Pour comprendre comment fonctionnent les clés d'accès, notre guide en anglais est ici : Passkeys explained: passwordless login for business. Pour le portrait général de l'authentification multifacteur, lisez notre guide MFA pour PME. Cette page reste centrée sur une question : que faire avant la date de fin?

Deux changements qui ressemblent à un seul

Les propriétaires demandent souvent s'il y a « une échéance ou deux ». Il y a deux changements Microsoft distincts qui travaillent ensemble.

1. La fin du SMS et de l'appel (Microsoft Learn). Microsoft cesse d'envoyer les codes. C'est celui qui a une date ferme et une invite bloquante.
2. La clé d'accès comme première méthode (MC1450133). Les utilisateurs sans MFA peuvent aller directement à une clé d'accès, et ceux activés pour les clés d'accès sont invités par défaut à en enregistrer une lors des parcours d'enregistrement déclenchés par l'application de la MFA ou par les forces d'authentification de l'accès conditionnel. C'est un confort, et Microsoft écrit « aucune action requise ».

L'effet pratique des deux : le chemin le plus facile dans un écran de connexion Microsoft sera de plus en plus la clé d'accès, et l'option par texto disparaîtra sauf si vous payez un fournisseur tiers. Les recommandations de Microsoft pour l'avis MC1450133 : examiner les politiques d'accès conditionnel liées à l'enregistrement des informations de sécurité, envisager d'exiger la MFA pour enregistrer ces informations, et mettre à jour vos consignes d'intégration pour indiquer que les utilisateurs admissibles peuvent se faire proposer une clé d'accès par défaut.

Comment vérifier quelles méthodes votre locataire autorise

Avant de changer quoi que ce soit, vous devez savoir trois choses : quelles méthodes sont activées, qui utilise vraiment le SMS ou l'appel, et si votre locataire dépend encore des anciens paramètres MFA par utilisateur. Il faut un rôle d'administrateur approprié (par exemple administrateur des stratégies d'authentification, lecteur de sécurité ou lecteur général pour consulter).

Étape 1 : lire la politique des méthodes d'authentification

1. Allez au centre d'administration Microsoft Entra (entra.microsoft.com) et connectez-vous en tant qu'administrateur.
2. Ouvrez Entra ID, puis Authentication methods (Méthodes d'authentification), puis Policies (Stratégies).
3. Repérez les lignes SMS, Voice call, Microsoft Authenticator et Passkey (FIDO2). Notez si chacune est activée et pour qui (tous les utilisateurs ou des groupes).

Étape 2 : voir qui a enregistré quoi

1. Au même endroit, ouvrez Activity, puis Registration (rapport d'activité des méthodes d'authentification).
2. Lisez les totaux pour le téléphone mobile, Microsoft Authenticator, FIDO2, les jetons OATH logiciels et Windows Hello Entreprise.
3. Les personnes qui n'ont que le téléphone sont votre liste prioritaire.

Microsoft publie aussi un script PowerShell pour repérer les utilisateurs SMS et appel (rôle de lecteur général, d'administrateur des stratégies d'authentification ou de lecteur de sécurité requis). Pour une PME de 5 à 25 personnes, les écrans ci-dessus vont plus vite.

Étape 3 : vérifier aussi les anciens paramètres

Microsoft précise que l'activation automatique du 1er septembre vise les utilisateurs activés pour le SMS ou l'appel dans la politique des méthodes ou dans les anciens paramètres MFA. Si votre locataire date de quelques années, la MFA par utilisateur peut encore être activée dans l'ancienne page des paramètres multifacteur. Ouvrez-la aussi et notez qui y figure. Ne désactivez rien pour l'instant.

Étape 4 : noter votre protection de base

Demandez-vous ce qui protège le locataire aujourd'hui : paramètres de sécurité par défaut (Security Defaults), accès conditionnel (licences Premium) ou MFA par utilisateur. L'avis MC1450133 indique que les invites d'enregistrement des paramètres de sécurité par défaut adopteront l'expérience « clé d'accès d'abord » en janvier-février 2027. Une petite PME sur les paramètres par défaut verra donc le changement sans rien configurer.

Inscrivez le résultat sur une feuille : nom, rôle, méthode actuelle, type de téléphone, et si la personne a un téléphone fourni par l'entreprise. Cette feuille est la base de tout le reste.

Vos options de remplacement, comparées

Microsoft recommande les clés d'accès, mais une PME de cinq personnes a des contraintes réelles : téléphones personnels, vieux appareils, postes partagés. Voici la comparaison.

Notre recommandation par défaut pour une PME sans service informatique : Authenticator sur chaque téléphone d'abord, clés d'accès ensuite, deux clés FIDO2 pour le propriétaire et pour tout compte partagé. Chaque étape retire une faiblesse sans imposer un grand bouleversement un lundi matin.

Pas à pas : sortir votre locataire du SMS et de l'appel

Voici le parcours de 20 minutes pour un propriétaire ou une adjointe administrative. Nous le séparons en deux : la partie administrateur (une fois) et la partie employé (par personne).

Partie A : l'administrateur fait ceci une seule fois (environ 15 minutes)

1. Protégez d'abord votre propre accès d'administrateur. Assurez-vous d'avoir au moins deux moyens d'entrer et un deuxième administrateur ou un compte d'urgence documenté, avant de resserrer quoi que ce soit.
2. Activez les clés d'accès dans la politique. Dans le centre d'administration Entra, allez à Authentication methods, Policies, puis Passkey (FIDO2). Mettez-le à Activé pour tous ou pour un groupe pilote. Selon Microsoft, les clés d'accès (FIDO2) sont prises en charge dans toutes les éditions d'Entra ID, sans licence supplémentaire. Dans le profil de clé d'accès, autorisez les types que vous prévoyez d'utiliser. Pour la clé d'accès dans Microsoft Authenticator, activez l'option correspondante dans le profil, comme le décrit l'article Microsoft Learn sur les clés d'accès Authenticator.
3. Activez Microsoft Authenticator. Même page, ligne Microsoft Authenticator, Activé pour le même groupe. C'est votre étape intermédiaire pour les employés pas encore prêts pour les clés d'accès.
4. Configurez une campagne d'enregistrement. Sous Authentication methods, ouvrez Registration campaign. Choisissez la méthode à promouvoir (clé d'accès ou Authenticator, une à la fois), incluez votre groupe et fixez le nombre de reports permis. Microsoft indique que la campagne automatique du 1er septembre permet des reports illimités par défaut, donc personne n'est forcé avant le 1er février. Pour une petite équipe, limitez les reports afin que le rappel devienne une action en quelques semaines.
5. Ne désactivez pas encore le SMS ni l'appel. Retirez le SMS de la portée d'une personne seulement après qu'elle a enregistré et testé la méthode de remplacement. La FAQ de Microsoft le conseille aussi, pour éviter d'autres rappels.
6. Informez les gens. Utilisez le message en langage clair plus bas. Microsoft publie aussi des modèles de communication pour les utilisateurs (aka.ms/mfatemplates).

Partie B : chaque personne s'enregistre (environ 5 minutes)

Voie 1 : clé d'accès dans Microsoft Authenticator (recommandée pour la plupart des téléphones)

1. Installez Microsoft Authenticator depuis la fiche officielle de l'App Store ou de Google Play.
2. Ajoutez le compte de travail dans l'application, ou connectez-vous à mysignins.microsoft.com/security-info depuis un portable.
3. Choisissez Add sign-in method (Ajouter une méthode de connexion), puis la clé d'accès dans Microsoft Authenticator (le libellé peut varier légèrement selon le locataire et la version de l'application).
4. Suivez les invites, confirmez avec le visage, l'empreinte ou le NIP du téléphone, et nommez la clé d'après le téléphone, par exemple « iPhone d'Alex ».
5. Fermez la session et reconnectez-vous pour tester avec la nouvelle clé.

D'après les indications de Microsoft, les clés d'accès Authenticator sont liées à l'appareil (la clé reste sur cet appareil et ne se synchronise pas), avec iOS 17 et Android 14 comme versions minimales. Sur Android, l'appareil doit avoir du matériel sécurisé, sinon l'enregistrement échoue. Pour un téléphone plus ancien, la voie 2 ou 3 convient mieux.

Voie 2 : clé d'accès synchronisée (trousseau iCloud ou gestionnaire de mots de passe Google)

1. Sur iPhone, ouvrez Réglages, Général, Saisie automatique et mots de passe, et réglez « Configurer les codes dans » sur Mots de passe. Sur Android, ouvrez Paramètres, Sécurité et confidentialité, Autres paramètres de sécurité, Mots de passe, clés d'accès et saisie automatique, et choisissez un fournisseur. (Ce sont les prérequis de Microsoft Learn.)
2. Dans un navigateur, ouvrez mysignins.microsoft.com/security-info et terminez la MFA.
3. Touchez Add sign-in method, puis Passkey, puis Next.
4. Confirmez par biométrie, nommez la clé, touchez Done et vérifiez qu'elle figure dans Security info.

L'avantage : la clé suit la personne sur ses autres appareils grâce au compte Apple ou Google. Le risque à gérer : si ce compte personnel est perdu ou partagé, la clé l'est aussi. Pour les employés, c'est acceptable. Pour le propriétaire et les administrateurs, privilégiez une clé liée à l'appareil ou une clé matérielle.

Voie 3 : Windows Hello ou clé de sécurité FIDO2

1. Sur un portable Windows 11 de travail muni d'un lecteur d'empreintes ou d'une caméra, configurez Windows Hello dans Paramètres, Comptes, Options de connexion.
2. Pour une clé de sécurité, branchez-la ou approchez-la (NFC), ouvrez Security info, choisissez Add sign-in method, puis Security key, et suivez les invites pour définir un NIP et toucher la clé.
3. Enregistrez une deuxième clé et rangez-la ailleurs. Une seule clé est un point de défaillance unique.

Windows Hello Entreprise et Platform SSO sur macOS font partie de la phase 2 du changement d'enregistrement; ce que vous verrez à l'écran peut donc varier selon le moment où votre locataire reçoit la mise à jour.

Testez avant de retirer quoi que ce soit

Après l'enregistrement de chaque personne, faites le test en trois points : fermer complètement la session, se reconnecter dans une fenêtre de navigation privée avec la nouvelle méthode, et confirmer qu'Outlook et Teams s'ouvrent sur le téléphone. Seulement ensuite, retirez le SMS ou l'appel de sa portée. Si une étape échoue, laissez le SMS activé et corrigez l'enregistrement d'abord.

Attention à la fausse version de ce processus. Des fraudeurs envoient des courriels qui imitent des avis « enregistrez votre clé d'accès ». Un vrai enregistrement se fait depuis vos favoris habituels ou depuis mysignins.microsoft.com, jamais depuis un lien dans un courriel inattendu. Nous décrivons les signaux d'alerte dans fake passkey prompts and Microsoft 365 phishing (en anglais), et notre guide sur les courriels d'hameçonnage générés par IA aide à garder les bons réflexes.

Un plan de déploiement pour une PME (6 semaines)

Vous avez jusqu'au 1er février 2027 pour la plupart des employés, ce qui représente environ douze semaines au moment d'écrire. Les Fêtes tombent au milieu, donc visez de terminer l'essentiel avant. Voici un échéancier qui fonctionne pour 5 à 30 personnes.

Un message à copier pour vos employés

Gardez le message court, avec une vraie date et une vraie personne. Microsoft elle-même écrit que la communication coordonnée est le meilleur prédicteur d'un déploiement réussi.

Récupération après un verrouillage : que faire quand quelqu'un est bloqué

C'est la partie qui casse en premier dans les petites entreprises. Passer aux clés d'accès est facile tant que tout le monde a encore son ancien téléphone. Ça devient pénible quand quelqu'un perd son téléphone, en achète un nouveau ou quitte l'entreprise. Prévoyez la récupération avant d'en avoir besoin.

Prévenir les verrouillages

• Deux méthodes par personne. Chaque employé devrait en avoir au moins deux : par exemple Authenticator sur le téléphone et Windows Hello sur le portable.
• Deux méthodes pour le propriétaire, plus une clé de rechange. Le propriétaire enregistre une clé d'accès dans Authenticator et deux clés FIDO2, dont une dans un coffre ou un coffret de sûreté.
• Un deuxième administrateur. Ne laissez jamais un locataire avec un seul administrateur général qui n'a qu'un téléphone. Ajoutez une personne de confiance, même un fournisseur TI externe.
• Un compte d'urgence (break-glass). Un compte administrateur infonuagique uniquement, avec un long mot de passe aléatoire conservé hors ligne, exclu des politiques qui pourraient le verrouiller et surveillé à chaque connexion. Microsoft documente ce modèle dans ses consignes d'accès d'urgence.

Récupérer un employé verrouillé

1. Un administrateur vérifie l'identité de la personne en dehors du courriel, par exemple en appel vidéo ou en personne. N'acceptez jamais une demande de réinitialisation uniquement par texto ou courriel : les fraudeurs utilisent exactement ce truc.
2. Dans le centre d'administration Entra, ouvrez l'utilisateur, puis Authentication methods, et supprimez les méthodes de l'appareil perdu. Utilisez « Require re-register multifactor authentication » si l'option est affichée.
3. L'administrateur peut aussi émettre un accès temporaire limité dans le temps (Temporary Access Pass), un code à durée limitée qui permet d'enregistrer de nouvelles clés d'accès.
4. L'utilisateur se connecte avec ce code temporaire, enregistre une nouvelle clé d'accès et une deuxième méthode, et l'administrateur confirme dans le rapport d'enregistrement.

Le Temporary Access Pass en un paragraphe

C'est un code émis par un administrateur, à durée limitée, qui prouve l'identité pour qu'on puisse configurer une clé d'accès sans ancienne méthode. Il doit d'abord être autorisé dans la politique des méthodes. Choisissez une durée courte (une heure ou moins) et un usage unique. Si vous ne savez pas s'il est activé chez vous, vérifiez la ligne Temporary Access Pass dans le même écran Policies avant le jour où vous en aurez besoin.

Liste de contrôle en cas de téléphone perdu

• Effacer à distance ou fermer la session de l'appareil perdu (Intune ou compte du téléphone), et révoquer les sessions dans Entra.
• Retirer la clé d'accès et l'enregistrement Authenticator du téléphone perdu dans les méthodes de l'utilisateur.
• Émettre un Temporary Access Pass, enregistrer le nouveau téléphone et ajouter une deuxième méthode.
• Changer le mot de passe s'il y a un risque que le téléphone ait été utilisé déverrouillé.

Comptes partagés, boîtes partagées et postes en libre-service

Une clé d'accès appartient à une personne. C'est excellent pour les individus et délicat pour les trois cas de partage fréquents dans les PME.

Boîtes aux lettres partagées (info@, facturation@)

Une boîte partagée n'a normalement pas besoin de sa propre connexion : le personnel y accède avec ses propres comptes, et le compte de la boîte partagée a généralement la connexion bloquée. Si votre adresse « partagée » est en fait un utilisateur licencié ordinaire dans lequel trois personnes se connectent avec un seul mot de passe et un seul téléphone, c'est ce modèle qu'il faut retirer. Convertissez-la en boîte partagée et donnez un accès délégué à chacun. Vérifiez les règles de conversion (taille de la boîte, licences) dans le centre d'administration Microsoft 365 avant de procéder.

Une connexion utilisée par plusieurs personnes

Partager un compte rend impossible de savoir qui a fait quoi et va à l'encontre d'une clé d'accès personnelle. La solution : un compte nommé par personne. Une licence supplémentaire coûte de l'argent, mais bien moins qu'une boîte courriel compromise.

Réception, atelier et postes en libre-service

Pour un poste partagé où plusieurs personnes se succèdent, une clé de sécurité FIDO2 par personne (toucher et NIP) fonctionne bien, sans téléphone. Variante moins chère : Windows Hello avec le compte de chacun sur le poste. Évitez un compte unique avec une clé collée sur l'écran.

Comptes de service, numériseurs et vieux logiciels

Les numériseurs qui envoient par courriel, les logiciels de comptabilité et les vieilles applications de courriel utilisent souvent des mots de passe sans MFA ou d'anciennes méthodes de connexion. Une clé d'accès ne règle pas ces cas : elle vise la connexion interactive des utilisateurs. Inscrivez ces appareils dans votre inventaire, mettez à jour ou remplacez ceux qui dépendent de l'authentification de base, et déplacez l'envoi par numériseur vers une méthode prise en charge. Si vous ne savez pas quelles applications utilisent encore l'ancienne connexion, c'est un bon mandat pour une révision externe.

Employés avec un vieux téléphone, sans téléphone intelligent ou qui refusent d'installer une application

Toutes les PME en ont au moins un : l'employé de longue date avec un téléphone à clapet, le travailleur à temps partiel qui refuse d'installer des applications de travail sur son cellulaire personnel, ou le travailleur de terrain dont le téléphone a six ans. Les clés d'accès Authenticator exigent iOS 17 ou Android 14 et plus (selon les sources que nous avons consultées), donc un très vieil appareil est exclu. Vous avez quand même des options propres qui n'exigent aucun téléphone intelligent.

Objection fréquente : « Je ne veux pas que mon employeur soit sur mon cellulaire personnel. » Une clé d'accès dans Authenticator ne donne pas à l'entreprise accès à vos photos ni à vos messages. Elle stocke une clé de connexion pour le compte de travail. Reste que certaines personnes préfèrent une clé physique, et leur en fournir une coûte moins cher qu'une longue discussion. Prévoyez environ 30 à 70 $ CA par clé (notre estimation, vérifiez les prix courants), et deux clés pour toute personne qui en dépend.

Le SMS et l'appel ne disparaissent pas complètement : Microsoft indique que les organisations qui en ont besoin peuvent configurer un fournisseur de téléphonie via Microsoft Security Store, Soprano et Telesign étant les premiers fournisseurs nommés en aperçu privé, et que cela entraîne un coût. Nous ne recommandons pas de bâtir un plan de PME là-dessus : c'est prévu pour des situations réglementées ou contraintes, et cela garde en vie une méthode plus faible. Pour tous les autres, les clés d'accès sont la voie par défaut, et Microsoft précise que la migration des utilisateurs SMS et appel fournis par Microsoft vers les clés d'accès n'entraîne aucun coût supplémentaire.

Cas particuliers et pièges

Réinitialisation de mot de passe en libre-service

La FAQ de Microsoft indique que la fin du SMS et de l'appel natifs s'applique à tout Microsoft Entra, y compris la réinitialisation de mot de passe en libre-service (SSPR), et que les utilisateurs peuvent encore utiliser le SMS et l'appel pour la SSPR via un fournisseur de téléphonie. Microsoft prévoit aussi d'ajouter la possibilité de changer le mot de passe pour les utilisateurs connectés sans mot de passe. Une analyse de revendeur que nous avons lue soutient que les clés d'accès et Windows Hello ne satisfont pas encore la SSPR, de sorte que retirer le SMS peut affaiblir la récupération de compte pendant que la connexion se renforce. Nous n'avons pas pu le confirmer à une source primaire : traitez-le comme une question à tester. Avant de retirer le SMS à quelqu'un, vérifiez comment cette personne réinitialiserait un mot de passe oublié, et gardez une réinitialisation assistée par administrateur comme solution de repli.

Voyages et autres pays

La FAQ de Microsoft suggère les codes de vérification Authenticator (codes temporels qui ne dépendent ni du SMS ni des notifications) dans des cas comme les utilisateurs en Chine, en précisant qu'ils ne résistent pas à l'hameçonnage. En voyage dans un endroit à mauvaise réception, les codes et les clés fonctionnent hors ligne. Le SMS, jamais.

Accès conditionnel qui exige une MFA résistante à l'hameçonnage

Si vous avez Entra ID P1 ou Premium et utilisez les forces d'authentification, une notification ou un code Authenticator ne satisfera pas une politique qui exige des méthodes résistantes à l'hameçonnage. Testez avec un utilisateur pilote avant de généraliser.

Invités et clients qui accèdent à votre locataire

Si vous invitez des clients, un comptable ou des sous-traitants dans SharePoint ou Teams, rappelez-vous que les utilisateurs externes sont dans le groupe du 1er juillet 2027 et les invités internes dans celui du 1er février, selon la définition de Microsoft. Prévenez vos collaborateurs externes tôt : ils ne peuvent pas vous appeler à 8 h le jour même.

Le report est temporaire et limité

Microsoft offre un report temporaire, via le paramètre Graph passkeyDynamicMigration de la politique des méthodes, de l'activation automatique des clés d'accès et de la campagne d'enregistrement entre le 1er septembre 2026 et le 1er février 2027. Il ne repousse pas la fin du SMS. À compter du 1er février 2027, les échéances normales s'appliquent peu importe ce réglage. Pour la plupart des PME, l'effort n'en vaut pas la peine : faites le travail plutôt que de le retarder.

Scénarios réalistes (illustratifs)

Scénario 1 : cabinet comptable de huit personnes, tous aux codes par texto

Scénario réaliste (illustratif), chiffres inventés pour l'exemple. Un cabinet comptable de Laval compte huit employés qui utilisent tous le SMS, avec la propriétaire comme seule administratrice. Semaine un : elle lit le rapport d'enregistrement et constate que 8 personnes sur 8 n'ont que le téléphone. Elle enregistre une clé d'accès dans Authenticator sur son iPhone et achète deux clés FIDO2 (environ 120 $ au total), dont une rangée à la maison. Semaine deux : deux employés font le pilote. Semaine trois : séance de 30 minutes au bureau où chacun enregistre Authenticator et une clé d'accès sur son téléphone. À la semaine cinq, 7 sur 8 sont prêts, et une employée à temps partiel avec un vieux téléphone reçoit une clé. Temps total de la propriétaire : environ six heures. Argent déboursé : environ 170 $ pour trois clés. Résultat : le cabinet est prêt des semaines avant le 1er février.

Scénario 2 : entreprise de construction avec des tablettes partagées

Scénario réaliste (illustratif). Un entrepreneur de 15 employés a des contremaîtres qui partagent deux tablettes pour Outlook et SharePoint, avec un compte commun et le téléphone du gestionnaire pour les codes. La solution : un compte nommé par contremaître (quatre licences de plus), une clé FIDO2 NFC par contremaître, et l'enregistrement de clés d'accès sur leurs propres téléphones quand c'est possible. Le compte partagé disparaît. Le téléphone du gestionnaire cesse d'être l'étranglement de chaque matin.

Scénario 3 : verrouillage un lundi matin

Scénario réaliste (illustratif). Une vendeuse échappe son téléphone dans un lac le samedi. Le lundi, elle ne peut plus se connecter parce que sa seule méthode était la clé d'accès sur ce téléphone. Comme l'entreprise avait enregistré Windows Hello sur son portable comme deuxième méthode, elle se connecte au portable, retire le téléphone détruit de Security info et enregistre le nouveau. Sans deuxième méthode, la propriétaire l'aurait vérifiée par appel vidéo, émis un Temporary Access Pass, et elle serait revenue en 30 minutes. La différence entre 5 minutes et une demi-journée, c'est la deuxième méthode.

Combien ça coûte : faire soi-même ou payer un technicien

Le logiciel est gratuit : Microsoft indique que migrer les utilisateurs SMS et appel fournis par Microsoft vers les clés d'accès n'entraîne aucun coût supplémentaire, et que les clés d'accès (FIDO2) sont prises en charge dans toutes les éditions d'Entra ID sans licence supplémentaire. Les vrais coûts sont le temps, le matériel et l'aide externe que vous choisissez d'acheter. Ce sont nos estimations en dollars canadiens, des chiffres de planification et non des soumissions. Les taxes (TPS et TVQ) s'ajoutent sur le matériel et les services.

Pour une PME typique de 10 personnes, prévoyez une demi-journée de travail du propriétaire et quelques centaines de dollars en clés. IT Cares offre une Consultation Expert unique de 60 minutes à 119,99 $ CA si vous voulez qu'un technicien révise votre locataire avec vous, vérifie les écrans de politique et configure le compte du propriétaire en sécurité. Pour situer cette dépense dans votre budget global, consultez notre guide budget cybersécurité PME par employé. Les assureurs posent aussi des questions sur la MFA au renouvellement : la MFA résistante à l'hameçonnage renforce vos réponses.

Liste de vérification avant le changement (à imprimer ou à capturer)

Ressources officielles

• Passkeys by default and retirement of Microsoft-provided SMS and voice authentication (Microsoft Learn, en anglais)
• FAQ sur la fin du SMS et de l'appel (Microsoft Learn)
• Register a synced passkey (FIDO2) (Microsoft Learn)
• Register passkeys in Microsoft Authenticator (Microsoft Learn)
• Plan a passkey deployment in Microsoft Entra ID
• Security info (où les utilisateurs gèrent leurs méthodes de connexion)
• MC1450133 (archive communautaire de l'avis du Centre de messages)
• Centre canadien pour la cybersécurité

Sur notre site : gestionnaire de mots de passe d'entreprise, protéger les employés contre le harponnage, cybersécurité PME au Québec et, pour la partie licences, Microsoft 365 à Montréal.

Quand appeler un professionnel

Vous pouvez faire la majorité de ce travail vous-même. Appelez quelqu'un si votre locataire a des politiques d'accès conditionnel que vous ne comprenez pas, si vous dépendez de comptes partagés difficiles à retirer, si des employés sont injoignables ou à l'étranger, si vous êtes le seul administrateur sans plan de récupération, ou si vous préférez simplement passer votre samedi autrement.

IT Cares offre du soutien à distance, et sur place au Québec, depuis 2014. Un technicien peut se connecter à distance, lire avec vous la politique des méthodes d'authentification, configurer le compte du propriétaire et un plan d'urgence, puis guider chaque employé dans son enregistrement pendant que vous continuez votre journée. Vous pouvez réserver une séance en ligne ou appeler le 1 (888) 711-9428.

Dernière vérification : 5 novembre 2026. Microsoft a déjà ajusté ces échéances une fois : confirmez les dates dans le Centre de messages de votre propre centre d'administration Microsoft 365 avant d'agir.

Questions fréquentes

Guides connexes

• Guide MFA pour PME
• Passkeys explained (EN)
• Fake passkey prompts and Microsoft 365 phishing (EN)
• Courriels d'hameçonnage générés par IA
• Gestionnaire de mots de passe d'entreprise
• Cybersécurité PME au Québec

Sources et références officielles

Dernière vérification : 5 novembre 2026

• Microsoft Learn : Passkeys by default and retirement of Microsoft-provided SMS and voice authentication (consulté le 2026-11-05, mis à jour 09/23/2026)
• Microsoft Learn : FAQ for Microsoft-provided SMS and voice retirement (consulté le 2026-11-05)
• Microsoft Learn : Register a synced passkey (FIDO2) (consulté le 2026-11-05)
• Centre de messages MC1450133 via archive communautaire, mis à jour le 26 oct. 2026 (consulté le 2026-11-05)
• Microsoft Learn : Register passkeys in Microsoft Authenticator (via résumé de recherche, 2026-11-05)
• CloudCapsule : plan de migration SMS et appel (source secondaire, consultée le 2026-11-05)