Clés d’accès Microsoft : la fin des SMS et où les installer

Sécurité Microsoft 365 · Appelez le tech

Le code reçu par texto pour se connecter à Microsoft 365 tire à sa fin. Microsoft fait des clés d’accès (passkeys) la méthode par défaut et cessera de fournir les codes par SMS et par appel vocal au début de 2027. Bonne nouvelle : c’est plus simple et beaucoup plus sûr. Encore faut-il savoir où installer ses clés, et où elles sont sauvegardées.

1er sept. 2026les clés d’accès deviennent la méthode par défaut : Microsoft invite les employés à en créer une à la connexion

1er févr. 2027fin des codes par SMS et des appels vocaux fournis par Microsoft pour la plupart des utilisateurs

0 $les clés d’accès sont incluses dans toutes les licences Microsoft, sans frais supplémentaires

Ce qui change chez Microsoft

1^er septembre 2026Les clés d’accès sont activées par défaut pour les utilisateurs qui se servaient du SMS ou de l’appel vocal. À la connexion, Microsoft leur propose d’en créer une. On peut reporter, mais pas indéfiniment.

1^er février 2027Les codes par SMS et les appels vocaux fournis par Microsoft ne fonctionnent plus pour la plupart des utilisateurs. Un employé qui n’a que le SMS ne pourra plus répondre à la vérification et risque d’être bloqué.

1^er juillet 2027Même chose pour les administrateurs globaux et les utilisateurs invités.

Les entreprises qui tiennent absolument au SMS pourront passer par un fournisseur de télécommunications tiers, à leurs frais. Pour la grande majorité des PME, la bonne décision est de passer aux clés d’accès dès maintenant, à son rythme, plutôt que dans l’urgence en février.

Pourquoi le SMS ne suffit plus

Le code se fait voler. Une fausse page de connexion demande votre mot de passe, puis votre code SMS, et les transmet en direct au vrai site Microsoft. Le fraudeur entre avec vous.
Le numéro se fait détourner. Par l’échange de carte SIM, un fraudeur convainc l’opérateur de transférer votre numéro sur sa propre carte et reçoit vos codes.
Les fraudes deviennent plus convaincantes. Avec l’IA, les faux courriels et les fausses pages sont presque parfaits. Une méthode qui repose sur la vigilance de l’employé ne suffit plus.

Une clé d’accès règle ces trois problèmes, parce qu’il n’y a plus de code à recopier. Pour un exemple concret d’attaque qui contourne la MFA classique, lisez notre article sur l’hameçonnage par code d’appareil.

Une clé d’accès, c’est quoi ?

C’est une paire de clés numériques créée pour votre compte. La clé publique est remise à Microsoft. La clé privée reste dans votre appareil et ne le quitte jamais. Pour vous connecter, vous la déverrouillez avec votre visage, votre empreinte ou votre NIP, exactement comme pour déverrouiller votre téléphone.

Pourquoi c’est plus sûr

La clé ne fonctionne que sur le vrai site de Microsoft. Sur une fausse page, elle refuse tout simplement de répondre : il n’y a rien à voler, rien à recopier, rien à intercepter.

Pourquoi c’est plus simple

Plus de code à attendre ni à taper. Un regard ou un doigt sur le capteur, et c’est fait. Votre visage et votre empreinte restent dans l’appareil : ils ne sont jamais envoyés à Microsoft.

Deux familles de clés d’accès

Les clés liées à un appareil

Elles sont créées dans un seul appareil et n’en sortent jamais : Microsoft Authenticator sur le téléphone, Windows Hello sur l’ordinateur, ou une clé de sécurité physique (USB ou NFC). L’entreprise peut vérifier d’où elles viennent. C’est le choix recommandé pour un compte de travail.

Les clés synchronisées

Elles sont copiées dans le nuage d’un gestionnaire de mots de passe (celui d’Apple, de Google ou d’un fournisseur tiers) et suivent l’utilisateur sur tous ses appareils. C’est pratique, mais la clé se retrouve partout où ce compte est ouvert, et l’entreprise ne peut pas savoir où elle a été copiée.

Sur l’ordinateur ou sur le téléphone ?

Notre recommandation : les deux, avec des rôles différents. Avoir au moins deux clés, c’est aussi ce qui vous évite d’être bloqué le jour où un appareil est perdu ou remplacé.

Clé principale : le téléphone

Une clé d’accès dans Microsoft Authenticator. Elle vous suit partout et permet de vous connecter sur n’importe quel ordinateur : l’écran affiche un code QR, vous le balayez avec votre téléphone, et la connexion se confirme par Bluetooth.

Clé du quotidien : l’ordinateur de travail

Une clé d’accès dans Windows Hello, sur votre propre poste. Au quotidien, vous vous connectez d’un regard ou avec votre NIP, sans sortir votre téléphone.

Ordinateur partagé ou ordinateur public : pas de clé Windows Hello dessus. Utilisez la clé de votre téléphone, par code QR.
Dirigeants et administrateurs : ajoutez une clé de sécurité physique, rangée en lieu sûr comme clé de secours.
Pas de téléphone d’entreprise : Microsoft Authenticator peut s’installer sur un téléphone personnel. La clé reste dans l’application, et l’entreprise n’a pas accès à vos données personnelles. Sinon, une clé de sécurité physique fait très bien l’affaire.

Attention à l’endroit où vos clés sont sauvegardées. Quand vous créez une clé d’accès, votre téléphone ou votre navigateur peut vous proposer de l’enregistrer dans votre gestionnaire de mots de passe personnel. Pour votre compte de travail, choisissez plutôt Microsoft Authenticator ou Windows Hello.

Une clé enregistrée dans un compte personnel est copiée sur tous les appareils de ce compte, y compris ceux de la maison. Si ce compte personnel est compromis, la clé de votre compte de travail l’est aussi. Et si vous quittez l’entreprise, la clé reste dans votre compte personnel. Si votre entreprise fournit un gestionnaire de mots de passe d’entreprise géré par les TI, suivez simplement sa politique.

À l’inverse, une clé dans Microsoft Authenticator n’est jamais synchronisée : elle reste dans le téléphone. C’est plus sûr, mais si le téléphone est perdu ou remplacé, il faut en créer une nouvelle. C’est pourquoi on recommande toujours une deuxième clé, sur l’ordinateur ou sur une clé physique.

Créer votre clé d’accès, pas à pas

1. Installez Microsoft AuthenticatorDepuis l’App Store ou Google Play, et connectez-y votre compte de travail.

2. Ouvrez vos informations de sécuritéSur un ordinateur, allez à mysignins.microsoft.com/security-info et connectez-vous.

3. Ajoutez une méthode de connexionChoisissez Clé d’accès dans Microsoft Authenticator et suivez les instructions : balayez le code QR avec votre téléphone, puis confirmez avec votre visage, votre empreinte ou votre NIP.

4. Ajoutez la clé de votre ordinateurSur votre poste de travail, répétez l’opération et choisissez l’option de clé d’accès enregistrée sur cet appareil Windows (Windows Hello).

5. TestezDéconnectez-vous, puis reconnectez-vous avec la clé d’accès. Vous pouvez ensuite retirer le SMS de vos méthodes, si votre entreprise le permet.

Les libellés exacts peuvent varier légèrement selon la version de Windows, du téléphone et de l’application.

Questions fréquentes

J’ai perdu ou changé mon téléphone.

Connectez-vous avec votre deuxième clé (celle de l’ordinateur ou une clé physique), puis supprimez l’ancien téléphone de vos méthodes et créez une nouvelle clé. Si vous n’avez plus aucune clé, votre soutien informatique peut vous remettre un accès temporaire pour en enregistrer une nouvelle.

Est-ce que ça fonctionne sur un Mac ou un iPad ?

Oui. Le plus simple est d’utiliser la clé de Microsoft Authenticator sur votre téléphone : le Mac affiche un code QR, vous le balayez, et c’est fait.

Mon visage ou mon empreinte sont-ils envoyés à Microsoft ?

Non. Ils servent seulement à déverrouiller la clé dans votre appareil. Microsoft ne reçoit qu’une signature qui prouve que la clé est la bonne.

Et Microsoft Authenticator avec les notifications « Approuver » ?

Il reste disponible, mais une notification peut être approuvée par erreur, ou à la demande d’un fraudeur au téléphone. La clé d’accès, elle, est résistante à l’hameçonnage : c’est la méthode à privilégier.

Pour les dirigeants et les responsables TI

Repérez qui dépend encore du SMS grâce au rapport des méthodes d’authentification dans Microsoft Entra.
Planifiez la transition avant février 2027. Un report temporaire est possible jusqu’au 1^er février 2027, mais pas au-delà.
Décidez quels types de clés sont permis grâce aux profils de clés d’accès : clés liées à un appareil pour les administrateurs, et éventuellement clés synchronisées pour les autres.
Prévoyez le premier enregistrement des nouveaux employés avec un accès temporaire, et une procédure claire en cas de perte d’appareil.
Communiquez avant que Microsoft le fasse : un courriel simple qui explique quoi faire évite bien des appels au soutien.

Vous voulez que la transition vers les clés d’accès se fasse sans blocage pour vos employés ?

Appelez le tech · 1 833 444-1041

Sources