Vous avez déjà activé le MFA dans Microsoft 365, mais vos utilisateurs voient désormais apparaître un écran « Sécurisons votre compte » après leur connexion ?
L’écran « Sécurisons votre compte » affiché après la connexion
Ce comportement n’est pas une anomalie.
Microsoft fait progressivement évoluer l’authentification de Microsoft 365 vers des méthodes plus résistantes au phishing, notamment les passkeys, ou « clés d’accès » dans l’interface française.
Depuis le 1er septembre 2026, Microsoft active automatiquement les passkeys pour les utilisateurs qui s’authentifient par SMS ou appel vocal et fait évoluer la campagne d’inscription d’Entra ID vers le mode « Managé par Microsoft ».
Concrètement, après avoir validé leur MFA habituel, certains utilisateurs sont désormais invités à enregistrer une passkey. Derrière cet écran se cache un changement plus important qu’une simple évolution de l’expérience de connexion. Microsoft prépare progressivement la sortie des méthodes MFA les plus faibles, en particulier le SMS et l’appel vocal.
Et pour les entreprises, la question n’est donc plus seulement :
« Avons-nous activé le MFA ? »
Elle devient :
« Les méthodes d’authentification utilisées dans notre tenant Microsoft 365 résistent-elles réellement aux attaques actuelles ? »
Points clés
· Tous les mécanismes MFA n’offrent pas le même niveau de protection.
· Les codes SMS, les appels vocaux et certains codes temporaires peuvent être contournés par des attaques de phishing en temps réel.
· Les passkeys reposent sur FIDO2 / WebAuthn et sont conçues pour résister au phishing.
· Activer les passkeys ne suffit pas : il faut également adapter les stratégies d’accès conditionnel.
· Les administrateurs et comptes sensibles doivent bénéficier de politiques d’authentification plus strictes.
· La transition doit être préparée pour éviter incompréhensions, blocages utilisateurs et multiplication des tickets support.
Pourquoi Microsoft fait évoluer le MFA dans Microsoft 365
Le MFA a profondément amélioré la sécurité des comptes Microsoft 365.
Lorsqu’un attaquant récupère uniquement le mot de passe d’un utilisateur, une seconde méthode d’authentification constitue une barrière supplémentaire particulièrement efficace.
Mais les attaquants se sont adaptés.
Le problème vient notamment du fait que plusieurs méthodes MFA courantes reposent encore sur une information que l’utilisateur peut recevoir, saisir, recopier ou valider.
C’est le cas du SMS, de l’appel vocal ou de certains codes temporaires.
Or, dès qu’une information peut être transmise par l’utilisateur, un attaquant peut chercher à la lui faire transmettre.
Le SMS reste une méthode d’authentification fragile#
Un code envoyé par SMS dépend du réseau téléphonique et du contrôle du numéro de téléphone de l’utilisateur. Des attaques peuvent notamment chercher à détourner une ligne ou une carte SIM afin de récupérer les messages destinés à la victime. Le SMS constitue donc une deuxième étape d’authentification, mais pas une méthode résistante au phishing.
Le phishing peut contourner certains MFA#
Les attaques de phishing modernes ne cherchent plus nécessairement à voler un mot de passe pour l’utiliser plusieurs heures plus tard. Certaines fonctionnent en temps réel. L’attaquant place une fausse page entre l’utilisateur et le véritable service Microsoft. L’utilisateur saisit son identifiant, son mot de passe puis son code MFA. L’attaquant relaie immédiatement ces informations vers le véritable service et peut récupérer la session authentifiée. Le MFA a bien été utilisé. Mais il a authentifié la mauvaise personne.
La fatigue MFA reste également exploitable#
Autre scénario : multiplier les demandes de validation jusqu’à ce que l’utilisateur en accepte une. Un collaborateur qui reçoit de nombreuses notifications peut finir par approuver une demande qu’il n’a pas initiée, par erreur ou simplement pour faire disparaître les notifications. Ces attaques montrent une limite importante : activer le MFA ne signifie pas automatiquement disposer d’une authentification résistante au phishing. C’est précisément ce que les passkeys cherchent à améliorer.
Passkey Microsoft 365 : comment fonctionne une clé d’accès ?
Une passkey repose sur les standards FIDO2 et WebAuthn. Son fonctionnement est très différent d’un mot de passe ou d’un code reçu par SMS. Au lieu de partager un secret entre l’utilisateur et le service, le système utilise une paire de clés cryptographiques.
Lors de l’enregistrement, l’appareil crée :
· une clé privée, qui reste sur l’appareil ou dans le gestionnaire de passkeys ;
· une clé publique, enregistrée dans Microsoft Entra ID.
Lors de la connexion, Entra ID envoie une demande cryptographique que seule la clé privée correspondante peut valider. Aucun mot de passe ou code MFA n’a besoin d’être transmis. L’utilisateur confirme simplement son identité localement avec son empreinte, son visage ou le code PIN de son appareil. La biométrie reste sur l’appareil : elle n’est pas transmise à Microsoft.
Pourquoi une passkey résiste-t-elle au phishing ?#
Une passkey est liée au service pour lequel elle a été créée. Le navigateur vérifie le domaine avant de permettre son utilisation. Si un attaquant reproduit parfaitement la page de connexion Microsoft sur un autre domaine, la passkey associée à Microsoft ne peut pas être utilisée sur ce faux site. L’utilisateur n’a par ailleurs aucun code à recopier ou à transmettre. L’objectif n’est plus seulement de demander une deuxième preuve d’identité. Il est de rendre cette preuve beaucoup plus difficile à détourner.
Où sont stockées les passkeys Microsoft 365 ?
Toutes les passkeys ne fonctionnent pas exactement de la même manière. Deux grandes approches existent.
Passkeys liées à un appareil#
La clé privée reste associée à un appareil ou à un support précis.
· une clé de sécurité physique ;
· Microsoft Authenticator ;
· Windows Hello.
La clé ne peut pas simplement être copiée vers un autre environnement.
Cette approche offre un niveau de contrôle élevé et convient particulièrement aux administrateurs Microsoft 365, aux comptes à privilèges et aux utilisateurs accédant à des ressources sensibles.
Passkeys synchronisées#
Une passkey peut également être synchronisée via un gestionnaire compatible, comme iCloud ou Google Password Manager. L’avantage est principalement opérationnel : l’utilisateur peut retrouver sa passkey sur plusieurs appareils. Cette méthode facilite l’adoption, mais sa sécurité dépend également de la protection du compte utilisé pour assurer cette synchronisation. Le bon choix dépend donc du profil de risque.
« Sécurisons votre compte » : pourquoi cet écran apparaît-il dans Microsoft 365 ?
L’apparition de l’écran « Sécurisons votre compte » est liée à la campagne d’inscription des méthodes d’authentification dans Microsoft Entra ID. En mode « Managé par Microsoft », Microsoft pilote lui-même certains paramètres de cette campagne. Les utilisateurs concernés sont alors invités à enregistrer une méthode d’authentification plus forte. Ils peuvent reporter l’opération, mais l’invitation peut réapparaître lors de connexions ultérieures. Pour une entreprise, il est possible de reprendre davantage la main sur ce mécanisme. L’enjeu n’est cependant pas simplement de faire disparaître l’écran. Il faut surtout décider comment l’organisation souhaite organiser sa transition vers des méthodes MFA résistantes au phishing.
Comment préparer votre tenant Microsoft 365 aux passkeys ?
Microsoft a enclenché la transition. La laisser se dérouler sans vérifier la configuration du tenant risque cependant de créer des situations différentes selon les utilisateurs, les méthodes déjà enregistrées et les politiques existantes.
1. Identifier les méthodes MFA encore utilisées#
La première étape consiste à comprendre la situation actuelle.
· le SMS ;
· l’appel vocal ;
· Microsoft Authenticator ;
· Windows Hello ;
· une clé FIDO2 ;
· une passkey.
Dans le centre d’administration Entra, ces informations sont accessibles depuis : Entra ID → Méthodes d’authentification → Activité → Détails de l’inscription des utilisateurs. Microsoft met également à disposition l’outil entra-sms-voice-usage-analyzer afin d’identifier l’utilisation du SMS et de l’appel vocal dans le tenant.
Cet état des lieux permet de mesurer l’effort nécessaire avant de modifier les politiques d’authentification.
2. Vérifier la campagne d’inscription Entra ID#
Rendez-vous dans : Entra IDMéthodes d’authentificationCampagne d’inscription.
·
Managé par Microsoft : Microsoft pilote la campagne et peut faire évoluer son comportement.
· Activé : l’entreprise reprend le contrôle de la campagne : méthode ciblée, groupes concernés, délai entre les invitations ou encore nombre de reports autorisés.
· Désactivé : l’invitation n’est plus affichée aux utilisateurs.
Mais attention : désactiver la campagne ne désactive pas les passkeys et ne supprime pas la nécessité de préparer l’évolution des méthodes d’authentification. Dans la plupart des environnements, une approche contrôlée consiste plutôt à reprendre la main sur la campagne et à cibler progressivement les populations concernées.
3. Configurer les passkeys dans Microsoft Entra ID#
La configuration s’effectue depuis : Entra IDMéthodes d’authentificationStratégiesClé d’accès (FIDO2).
En mode « Managé par Microsoft », la campagne cible tous les utilisateurs et les reports sont illimités
L’administrateur peut alors activer la méthode et définir les utilisateurs ou groupes concernés.
Entra ID permet également de créer différents profils de clés d’accès.
· les types de passkeys autorisés ;
· l’utilisation de passkeys liées à l’appareil ou synchronisées ;
· les exigences d’attestation ;
· les restrictions appliquées aux équipements ou fournisseurs autorisés.
Onglet « Activer et cibler » : activez la méthode et choisissez les groupes concernés. Pour chaque groupe, vous associez un ou plusieurs profils de clé d’accès.
Activation de la méthode et ciblage des groupes
Onglet « Configurer » : c’est ici que vous créez les profils (jusqu’à 10).
Liste des profils de clé d’accès
Recommandation Epsight pour les administrateurs
Passkeys liées à l’appareil uniquement + attestation activée + restriction aux modèles validés par l’entreprise.
Recommandation Epsight pour les utilisateurs
Passkeys liées à l’appareil et synchronisées, avec une politique plus souple afin de faciliter l’adoption.
À noter : les passkeys ne sont pas utilisables pour la réinitialisation de mot de passe en libre-service (SSPR). Les utilisateurs doivent donc conserver une autre méthode compatible pour cet usage.
4. Exiger un MFA résistant au phishing pour les accès sensibles#
Enregistrer une passkey ne suffit pas. Imaginons qu’un administrateur dispose d’une passkey parfaitement sécurisée, mais que son compte autorise toujours une connexion par SMS. Un attaquant cherchera naturellement à exploiter la méthode la plus faible encore disponible.
Avec l’accès conditionnel Microsoft Entra ID, il est possible d’utiliser la force d’authentification intégrée « MFA résistant au hameçonnage ».
· les administrateurs ;
· les comptes à privilèges ;
· les applications sensibles ;
· les accès aux données critiques.
La politique peut ensuite être élargie progressivement au reste des utilisateurs.
5. Préparer les utilisateurs au changement#
La sécurisation des identités ne repose pas uniquement sur la configuration technique. Si les utilisateurs découvrent sans explication un nouvel écran leur demandant d’enregistrer une « clé d’accès », une partie d’entre eux risque de reporter l’opération, de contacter le support ou de penser à une tentative de phishing.
· pourquoi Microsoft demande cette nouvelle configuration ;
· ce qu’est une passkey ;
· comment l’enregistrer et l’utiliser ;
· ce qui se passe en cas de changement ou de perte du téléphone ;
· quelle méthode utiliser en cas de problème.
Un bon réflexe consiste également à enregistrer deux passkeys lorsque cela est possible, par exemple sur le téléphone et le poste de travail.
Faut-il désactiver l’écran « Sécurisons votre compte » ?
Techniquement, c’est possible depuis la campagne d’inscription Entra ID.
Mais il faut distinguer deux objectifs : supprimer l’écran et préparer la sécurité future du tenant Microsoft 365. Désactiver la campagne répond au premier. Pas au second.
Dans de nombreux environnements, une meilleure approche consiste donc à reprendre le contrôle de la campagne, définir les populations concernées et organiser progressivement le déploiement.
Campagne d’inscription désactivée
Passkeys Microsoft 365 : les principes à retenir
Le MFA reste indispensable, mais toutes les méthodes MFA ne se valent pas.
Les codes SMS, appels vocaux et mécanismes reposant sur une information transmissible restent plus exposés aux attaques de phishing et de détournement. Les passkeys changent cette logique.
Elles reposent sur une authentification cryptographique liée au véritable service et ne demandent plus à l’utilisateur de transmettre un secret exploitable par un attaquant.
Mais leur déploiement ne doit pas être traité comme une simple activation de fonctionnalité dans Microsoft 365. Il faut raisonner sur l’ensemble de la chaîne : utilisateur → méthode d’authentification → identité Entra ID → accès conditionnel → application → données.
Sécuriser Microsoft 365 : passer du MFA à une véritable stratégie d’identité
L’apparition des passkeys illustre une évolution plus large de la sécurité Microsoft 365.
Pendant longtemps, activer le MFA constituait l’une des principales recommandations pour protéger les comptes. Cette recommandation reste valable.
Mais face aux techniques de phishing modernes, la question devient désormais plus précise : quel MFA ? Pour quel utilisateur ? Sur quelle ressource ? Et avec quelles méthodes alternatives encore autorisées ?
Pour les entreprises, l’objectif ne devrait donc pas être simplement de faire disparaître l’écran « Sécurisons votre compte ». Il devrait être de profiter de cette évolution pour vérifier la sécurité réelle des identités Microsoft 365.
Avant de généraliser les passkeys dans votre entreprise
· les méthodes MFA actuellement enregistrées ;
· les utilisateurs qui dépendent encore du SMS ou de l’appel vocal ;
· la configuration de la campagne d’inscription ;
· les politiques d’accès conditionnel ;
· les méthodes autorisées pour les comptes administrateurs ;
· les scénarios de perte ou de remplacement d’un appareil ;
· les méthodes de récupération disponibles ;
· la communication destinée aux utilisateurs.
La question n’est finalement plus seulement : « Est-ce que notre MFA est activé ? »
Mais plutôt : « Une méthode d’authentification encore autorisée dans notre tenant permet-elle à un attaquant de contourner les protections que nous avons mises en place ? »
Epsight vous accompagne dans la sécurisation de Microsoft 365
Nos consultants peuvent vous accompagner pour auditer les méthodes d’authentification de votre tenant Microsoft 365, identifier les usages du SMS et de l’appel vocal, configurer les passkeys dans Microsoft Entra ID et adapter vos politiques d’accès conditionnel. L’objectif : organiser la transition vers une authentification résistante au phishing sans dégrader l’expérience utilisateur ni créer de nouveaux risques de blocage. Contactez Epsight pour faire le point sur la sécurité de votre tenant Microsoft 365.
Questions fréquentes#
Qu’est-ce qu’une passkey dans Microsoft 365 ?
Une passkey, ou clé d’accès, est une méthode d’authentification reposant sur les standards FIDO2 / WebAuthn. Elle utilise une paire de clés cryptographiques plutôt qu’un mot de passe ou un code transmis à l’utilisateur. Dans Microsoft 365, les passkeys sont gérées via Microsoft Entra ID.
Pourquoi Microsoft demande-t-il d’enregistrer une passkey ?
Microsoft fait évoluer les méthodes d’authentification vers des mécanismes plus résistants au phishing. Les utilisateurs concernés peuvent donc voir apparaître l’écran « Sécurisons votre compte » les invitant à enregistrer une clé d’accès.
Une passkey remplace-t-elle le MFA ?
Une passkey peut constituer une méthode d’authentification forte et résistante au phishing. Son utilisation doit cependant être intégrée à la stratégie globale d’authentification et d’accès conditionnel de l’entreprise.
Les passkeys Microsoft 365 sont-elles résistantes au phishing ?
Oui. Une passkey est liée au véritable service pour lequel elle a été enregistrée. Elle ne peut donc pas simplement être utilisée sur une fausse page de connexion créée par un attaquant, contrairement à un code que l’utilisateur peut recopier.
Peut-on désactiver l’écran « Sécurisons votre compte » ?
Oui, la campagne d’inscription peut être configurée dans Microsoft Entra ID. Désactiver cette campagne masque l’invitation, mais ne désactive pas les passkeys et ne remplace pas une stratégie de migration vers des méthodes d’authentification plus fortes.
Faut-il encore autoriser le SMS dans Microsoft 365 ?
Le SMS offre une protection supplémentaire par rapport à un mot de passe seul, mais il n’est pas considéré comme une méthode résistante au phishing. Pour les comptes sensibles et à privilèges, il est préférable d’utiliser des méthodes d’authentification plus fortes et de les imposer via l’accès conditionnel.
Comment sécuriser les comptes administrateurs Microsoft 365 ?
Les comptes administrateurs doivent bénéficier de protections renforcées : passkeys ou méthodes FIDO2 contrôlées par l’entreprise, politiques d’accès conditionnel adaptées et exigence d’un MFA résistant au phishing pour les ressources sensibles.