Avis de tempête. Depuis le 1er septembre, Microsoft modifie à l’échelle globale les méthodes de double authentification autorisées sur les environnements Microsoft 365 en entreprise. Si le bien-fondé de cette modification ne peut pas être remis en cause, la méthode, elle, interroge une fois de plus. Car elle va bousculer bon nombre d’habitudes. Avec un objectif clair : supprimer à terme le recours aux mots de passe. Décryptage.

La nouvelle a fait du bruit. En tout cas chez ceux qui l’ont reçue. On peut en effet s’étonner du court délai entre l’annonce de Microsoft et son application, tout autant que de son timing, en plein été. Et particulièrement sur un sujet plus que sensible : l’authentification dans Microsoft 365. Mais de quoi parle-t-on au juste ?

Les bonnes vieilles méthodes des temps anciens

Si vous êtes un utilisateur de Microsoft 365 en entreprise, vous êtes certainement confronté à la double authentification (MFA, Multi-Factor Authentication). Chez Steel Blue, elle est en tout cas systématisée pour tous nos clients. Cela consiste à ajouter un second facteur, en plus de votre mot de passe préféré. Historiquement, Microsoft avait mis à disposition de nombreux moyens pour assurer cette vérification supplémentaire :

• Envoi d’un SMS
• Appel sur votre mobile
• Utilisation d’une application dédiée sur votre smartphone (Microsoft Authenticator, Google Authenticator)
• Clé physique au format USB (avec code PIN ou capteur biométrique)

Parmi ces méthodes, certaines sont plus fiables que d’autres. La possession d’un appareil personnel (smartphone, clé d’authentification) limite en effet les possibilités de piratage par récupération d’identifiants (phishing). Alors que l’envoi de SMS ou les appels téléphoniques sont bien plus exposés à ce risque. Non pas qu’il soit simple de pirater un opérateur mobile pour intercepter des messages ou des appels, mais envoyer des SMS ou passer des coups de fil en se faisant passer pour lui, oui.

Microsoft 365 se renforce en entreprise

Si Microsoft avait déjà dans le passé envoyé des signaux qui remettaient en cause la protection de ces méthodes, aucune décision drastique n’avait été prise à leur encontre. Jusqu’à cet été, où le géant de Redmond a annoncé la fin du support de ces méthodes comme moyen de double authentification. Avec un calendrier relativement serré :

• Dès le 1er septembre 2026, les utilisateurs se servant encore des appels ou des SMS devront créer des clés numériques pour les remplacer (les fameuses « Passkeys », nous y reviendrons), mais ces anciennes méthodes resteront opérationnelles
• Dès le 1er février 2027, SMS et appels ne seront plus supportés par Microsoft, et leurs utilisateurs auront l’obligation de passer par une « Passkey » ; en l’absence de celle-ci, l’authentification ne sera tout simplement plus possible
• Dès le 1er février 2027 toujours, les clients auront la possibilité de souscrire directement auprès d’un opérateur un abonnement pour continuer de recevoir appels et SMS, mais à leurs frais cette fois-ci

Outre l’apport sécuritaire de cette mesure, on imagine évidemment que Microsoft cherche à faire coup double. Car d’un point de vue financier, l’opération se révélera rentable. En effet, l’envoi des SMS ou l’émission des appels téléphoniques n’avait jamais été facturé au client par Microsoft, qui en supportait seul les coûts. Avec la multiplication des méthodes MFA et leur sécurisation, Microsoft fait donc des économies au prétexte — avéré — d’un renforcement de la sécurité. Malin.

Le plus amusant, c’est que les clients pourront continuer à utiliser ces méthodes risquées : cela devient acceptable si Microsoft n’en supporte pas le coût… Pour être honnête, on peut imaginer que c’est une porte de sortie, certes intéressante financièrement, laissée aux très grandes entreprises qui n’auront pas suffisamment de temps pour se préparer à ce changement.

Objectif : zéro mot de passe

On l’aura compris, Microsoft renforce donc la sécurité de Microsoft 365 tout en faisant les fonds de tiroir. Avec pour objectif de nous amener un peu plus près encore d’un monde sans mot de passe. Car le vrai but de la manœuvre est bien là. Si la société a réussi à imposer Microsoft Authenticator comme l’outil de référence pour la double authentification, puis à y ajouter des fonctions d’authentification sans mot de passe, la mise à jour qui nous préoccupe maintenant en rajoute une couche.

Ce sont les Passkeys que le leader mondial du logiciel tente maintenant de mettre en avant. Ou plutôt, sa version des Passkeys. Ces clés numériques établissent une relation entre votre appareil et un site Web ou une application, évitant après leur création toute saisie de mot de passe. Qu’elles remplacent par une authentification tierce — biométrique par exemple —. Elles reposent sur des standards logiciels qui ont été normalisés par l’alliance FIDO2, dont Microsoft fait partie. Si bien que de nombreux fournisseurs sont capables de gérer les Passkeys. Microsoft, fort de sa base de clientèle incomparable, tente de couper l’herbe sous le pied de ses concurrents, alors même qu’il n’a pas d’avantage technologique en la matière.

En surfant sur le ras-le-bol généralisé contre les mots de passe, Microsoft profite de sa position dominante avec Authenticator pour aller encore un peu plus loin. Et en contournant la contrainte des Passkeys : devoir générer sur chaque appareil une clé pour chaque application à laquelle vous vous connectez, comme avec Windows Hello sur PC par exemple. En effet, quel que soit le terminal utilisé — votre smartphone, votre PC — vous disposez dans Authenticator de la possibilité de scanner un QR code avec votre mobile et d’utiliser une seule Passkey par site.

Les Passkeys comme arme ultime ?

Pour quels avantages ? Vous utilisez votre téléphone comme clé Passkey universelle en profitant de ses capacités biométriques — reconnaissance faciale ou empreinte digitale — pour protéger l’accès à vos identifiants. En cas de remplacement de votre PC, vous n’avez alors pas à reconfigurer une Passkey pour chacun de vos sites compatibles. Microsoft pousse donc le curseur un peu plus loin et nous fait miroiter un monde sans mot de passe pour bientôt. Une analyse rapide des capacités de chaque méthode conclut en ce sens :

 

En attendant ce temps béni, vous devrez cependant remiser l’usage des SMS et des appels vocaux pour vous identifier. Et vite, car la limite imposée dès le début 2027 sera rapidement là. En espérant que votre prestataire IT aura préparé les choses correctement. C’est tout ce qu’on peut vous souhaiter pour faire face à ce changement majeur.