Septembre 2026 marque une étape importante dans la stratégie sans mot de passe de Microsoft.
L’authentification sans mot de passe n’est pas nouvelle.
Microsoft en pose les bases depuis des années avec Microsoft Entra ID, Windows Hello for Business, FIDO2, Microsoft Authenticator et l’accès conditionnel (Conditional Access).
Mais la stratégie évolue désormais : on passe d’un « sans mot de passe en option » à un « sans mot de passe comme expérience d’authentification privilégiée ».
Et Microsoft a fixé des jalons concrets en 2026.
1er septembre 2026 : les passkeys deviennent l’expérience par défaut pour davantage d’utilisateurs
C’est le changement clé à surveiller.
À partir du 1er septembre 2026, Microsoft active automatiquement les passkeys pour les utilisateurs encore autorisés à s’authentifier par SMS ou appel vocal.
Ces utilisateurs sont également invités à enregistrer une passkey lorsqu’ils se connectent avec la MFA sur un appareil compatible.
L’objectif de Microsoft est clair :
Éloigner les utilisateurs de l’authentification par SMS et appel vocal, au profit de méthodes d’authentification résistantes au phishing.
Il ne s’agit pas simplement d’une nouvelle option d’authentification ajoutée à Microsoft Entra ID.
Cela change l’orientation de l’expérience utilisateur par défaut.
Qu’est-ce qu’une passkey, exactement ?
Une passkey est un identifiant sans mot de passe basé sur la cryptographie à clé publique, qui s’appuie sur des standards comme FIDO2/WebAuthn.
Au lieu de saisir un mot de passe pouvant être volé ou hameçonné, l’utilisateur s’authentifie à l’aide d’un identifiant protégé par son appareil ou son authentificateur.
Selon le scénario, l’utilisateur peut s’authentifier via :
- Windows Hello
- La biométrie
- Le code PIN de l’appareil
- Une clé de sécurité
- Une passkey stockée sur un appareil ou un gestionnaire d’identifiants compatible
La clé privée reste protégée par l’authentificateur.
Le résultat ?
Il n’existe aucun mot de passe qu’un attaquant pourrait simplement intercepter et réutiliser.
La documentation Microsoft d’avril 2026 souligne également l’avantage des passkeys synchronisées en matière de performance : selon Microsoft, elles offrent une connexion nettement plus rapide qu’un mot de passe associé à une MFA traditionnelle.
Authentication Strengths : la MFA n’est plus simplement « de la MFA »
C’est un autre volet important de la stratégie de Microsoft.
Avec l’accès conditionnel Microsoft Entra, les organisations peuvent définir une Authentication Strength (force d’authentification) qui précise quelles méthodes d’authentification sont acceptées pour accéder à une ressource.
Microsoft propose trois Authentication Strengths intégrées :
- Authentification multifacteur (MFA)
- MFA sans mot de passe
- MFA résistante au phishing
La troisième est la plus restrictive et particulièrement pertinente pour les rôles à privilèges élevés.
La question n’est donc plus :
« L’utilisateur dispose-t-il de la MFA ? »
mais :
« Quelle méthode d’authentification l’utilisateur a-t-il utilisée ? »
Par exemple, une organisation pourrait exiger :
- Applications standard → Authentification multifacteur
- Applications sensibles → MFA sans mot de passe
- Rôles d’administrateurs à privilèges → MFA résistante au phishing
C’est là que l’accès conditionnel devient bien plus qu’un simple interrupteur MFA.
L’accès conditionnel devient le moteur de politiques
L’accès conditionnel Microsoft Entra peut évaluer la méthode d’authentification avec d’autres conditions avant d’accorder l’accès.
Par exemple :
Utilisateur → Application → Appareil → Localisation → Risque → Authentication Strength → Décision d’accès
L’organisation peut ainsi passer d’un modèle simple :
Mot de passe + MFA = Accès
à un modèle :
Identité + Appareil + Risque + Authentication Strength + Politique = Accès
La documentation Microsoft décrit précisément les Authentication Strengths comme un contrôle de l’accès conditionnel qui détermine les méthodes d’authentification autorisées pour accéder à une ressource.
Des Authentication Strengths personnalisées de plus en plus granulaires
Microsoft donne aussi aux administrateurs un contrôle plus fin sur les identifiants exacts permettant de satisfaire une politique.
En juin 2026, Microsoft a documenté des options avancées pour les Authentication Strengths personnalisées.
Par exemple, les organisations peuvent restreindre les passkeys (FIDO2) en fonction d’un Authenticator Attestation GUID (AAGUID).
Une organisation peut ainsi définir une politique exigeant une passkey provenant d’un fabricant de clés de sécurité approuvé ou d’un authentificateur spécifique.
C’est particulièrement pertinent pour :
- Les administrateurs à privilèges
- Les applications à forte valeur
- Les données sensibles
- Les environnements réglementés
- Les identités à haut risque
Le sans mot de passe ne signifie donc pas :
« Autoriser n’importe quelle méthode sans mot de passe. »
Il peut signifier :
« N’autoriser que les méthodes d’authentification qui répondent à nos exigences de sécurité. »
Que doivent faire les organisations dès maintenant ?
L’orientation de Microsoft offre aux organisations une feuille de route claire.
1. Identifier les utilisateurs qui dépendent encore du SMS et de l’appel vocal
Savoir précisément qui utilise encore des méthodes d’authentification héritées.
2. Activer et tester les passkeys
Commencer par un groupe pilote avant d’étendre le déploiement.
3. Revoir la politique des méthodes d’authentification
Déterminer quelles méthodes d’authentification doivent rester disponibles et lesquelles doivent être progressivement supprimées.
4. Revoir l’accès conditionnel
Aller au-delà des exigences MFA génériques et évaluer les Authentication Strengths.
5. Protéger les identités à privilèges
Microsoft recommande la MFA résistante au phishing pour les rôles à privilèges élevés.
6. Revoir l’enregistrement et la récupération
Le déploiement du sans mot de passe ne concerne pas uniquement la connexion.
Les organisations doivent également sécuriser les processus d’enregistrement, de remplacement et de récupération des méthodes d’authentification.
7. Tester avant d’imposer
Procéder à des déploiements maîtrisés et à des tests adaptés de l’accès conditionnel avant d’appliquer les politiques à grande échelle.
La feuille de route identité de Microsoft
L’évolution peut se résumer en trois étapes :
- Hier : Mot de passe → MFA
- Aujourd’hui : Mot de passe / Sans mot de passe → Accès conditionnel → Authentication Strength → Accès basé sur le risque
- Demain : Passkeys / Windows Hello / FIDO2 → Authentification résistante au phishing → Accès conditionnel → Identité + Appareil + Risque → Accès Zero Trust
Le point essentiel : Microsoft ne se contente pas de remplacer les mots de passe par des passkeys.
Microsoft change la manière dont l’identité est évaluée avant que l’accès ne soit accordé.
Ce qu’il faut retenir pour les responsables IT
La question n’est plus :
« Devons-nous mettre en place l’authentification sans mot de passe ? »
La question la plus pertinente est :
« Quels utilisateurs, applications et identités à privilèges doivent passer en priorité à une authentification résistante au phishing — et comment l’imposer via l’accès conditionnel Microsoft Entra ? »
Alors que le 1er septembre 2026 marque déjà une transition importante vers les passkeys et que le 1er février 2027 approche avec la fin de l’envoi des SMS et appels vocaux fournis par Microsoft, les organisations qui dépendent encore fortement des méthodes d’authentification traditionnelles doivent planifier leur migration dès maintenant.
Le sans mot de passe n’est plus une simple vision d’avenir dans l’écosystème Microsoft.
C’est en train de devenir l’orientation par défaut de Microsoft Entra ID.
Votre organisation est-elle prête pour la transition sans mot de passe ?
Passer à l’authentification sans mot de passe ne se limite pas à activer les passkeys.
Cela commence par comprendre votre environnement d’identité actuel, identifier les méthodes d’authentification héritées, revoir vos politiques d’accès conditionnel Microsoft Entra et définir les bonnes Authentication Strengths pour vos utilisateurs et vos identités à privilèges.
Consultim-IT peut vous aider à évaluer votre environnement d’identité Microsoft et à préparer une feuille de route sécurisée vers une authentification sans mot de passe et résistante au phishing.