• Cloud, Guide, Microsoft 365, Sicurezza
• 11 Agosto 2026

Microsoft ha recentemente annunciato alcune importanti novità che riguardano i metodi di autenticazione di Microsoft Entra ID e che entreranno in vigore progressivamente a partire dal 1° settembre 2026.

L’annuncio è stato pubblicato con un titolo piuttosto netto: “Passkeys are the default authentication method in Entra ID“. Un titolo che, almeno a una prima lettura, può risultare un po’ fuorviante e che ha generato qualche dubbio su cosa cambierà realmente nei nostri tenant.

A rendere ancora più evidente l’importanza del cambiamento c’è il fatto che Microsoft ha iniziato a inviare una comunicazione dedicata agli utenti, con oggetto “Passkeys by default and retirement of Microsoft-provided SMS and voice authentication”.

Di passkey abbiamo già parlato diverse volte su ICTPower.it e abbiamo visto come configurarle e utilizzarle nei diversi scenari supportati da Microsoft Entra ID. In questa guida non voglio quindi tornare sui concetti di base, ma concentrarmi sulle modifiche annunciate da Microsoft e soprattutto sulle conseguenze per amministratori e utenti.

Le passkey diventeranno infatti una parte sempre più importante dell’esperienza di autenticazione di Entra ID, ma la novità non riguarda soltanto questo aspetto. Microsoft ha annunciato anche un cambiamento significativo nella gestione di SMS e chiamate vocali utilizzati per l’autenticazione a più fattori (MFA).

Dal 1° febbraio 2027 Microsoft non fornirà più direttamente il servizio di telecomunicazione utilizzato da Entra ID per inviare SMS ed effettuare chiamate vocali. Questo però non significa che SMS e chiamate vocali spariranno completamente da Microsoft Entra ID, come si potrebbe facilmente pensare leggendo alcune interpretazioni dell’annuncio.

Ho quindi ritenuto opportuno approfondire l’argomento per capire cosa cambierà realmente, quali saranno le scadenze da tenere presenti e, soprattutto, cosa dobbiamo fare nei nostri tenant Microsoft Entra ID per prepararci.

Perché Microsoft sta spingendo sulle passkey

La direzione intrapresa da Microsoft non è nuova. Da tempo l’obiettivo è ridurre progressivamente l’utilizzo di password e metodi di autenticazione più facilmente attaccabili, favorendo metodi phishing-resistant come le passkey.

Le passkey permettono infatti di autenticarsi senza utilizzare una password e offrono una protezione molto più efficace contro phishing e furto delle credenziali.

Su ICTPower.it abbiamo già dedicato diversi articoli alle passkey, alla loro configurazione in Microsoft Entra ID e ai diversi scenari di utilizzo. Per questo motivo non entrerò nuovamente nei dettagli e vi rimando agli approfondimenti già pubblicati Hai cercato passkey – ICT Power.

Quello che ci interessa capire adesso è come Microsoft intende accelerarne l’adozione e cosa cambierà nei nostri tenant a partire dal 1° settembre 2026.

Cosa cambia dal 1° settembre 2026

A partire dal 1° settembre 2026, gli utenti abilitati all’utilizzo di SMS o chiamate vocali nella Authentication Methods Policy o nelle impostazioni MFA legacy verranno automaticamente abilitati all’utilizzo delle passkey.

Microsoft modificherà inoltre la Registration Campaign, impostandola su Microsoft Managed, e includerà automaticamente questi utenti nella campagna di registrazione delle passkey.

Al successivo accesso, dopo aver completato normalmente la MFA, l’utente verrà quindi invitato a registrare una passkey. Almeno inizialmente, l’utente potrà posticipare la registrazione.

È importante sottolineare che Microsoft non registrerà automaticamente una passkey per l’utente: verranno modificati i criteri del tenant e sarà l’utente a completare la registrazione quando gli verrà proposta.

Microsoft consiglia quindi di verificare già adesso quali utenti utilizzano ancora SMS o chiamate vocali e di pianificare la migrazione verso un metodo di autenticazione resistente al phishing.

Figura 1: Configurazione dei metodi di autenticazione disponibili nel tenant Microsoft Entra ID

Figura 2: Configurazione della Registration Campaign per promuovere la registrazione delle passkey agli utenti

Come verificare chi utilizza ancora SMS e chiamate vocali

Prima di pianificare qualsiasi intervento è opportuno capire quanti utenti del tenant utilizzano ancora SMS o chiamate vocali.

Microsoft mette a disposizione uno script PowerShell, disponibile all’indirizzo https://github.com/microsoft/entra-sms-voice-usage-analyzer, che permette di individuare gli utenti interessati. Per eseguirlo è necessario disporre almeno di uno dei ruoli Global Reader, Authentication Policy Administrator oppure Security Reader.

La verifica è importante perché Microsoft considera il tenant interessato dal cambiamento se è presente anche un solo utente ancora abilitato per SMS o chiamate vocali.

A questo punto possiamo decidere quali utenti migrare verso le passkey o verso un altro metodo resistente al phishing e quali, per particolari esigenze operative o normative, dovranno eventualmente continuare a utilizzare SMS o chiamate vocali tramite un provider esterno.

Figura 3: Esecuzione dello script PowerShell per verificare la configurazione di SMS e chiamate vocali e individuare gli utenti interessati dai cambiamenti annunciati da Microsoft

Cosa succederà dal 1° febbraio 2027

Dal 1° febbraio 2027 Microsoft ritirerà il servizio di telecomunicazione utilizzato per fornire SMS e chiamate vocali in Microsoft Entra ID.

Questo non significa però che questi metodi di autenticazione scompariranno. Le organizzazioni che, per esigenze operative o normative, avranno ancora necessità di utilizzare SMS o chiamate vocali potranno continuare a farlo utilizzando un provider di telecomunicazioni gestito dal cliente, disponibile tramite il Microsoft Security Store.

Microsoft pubblicherà maggiori informazioni sui provider disponibili a partire dal 18 settembre 2026, mentre dal 30 ottobre 2026 sarà possibile selezionare e configurare il provider da utilizzare.

Naturalmente questa possibilità avrà anche un costo, che dipenderà dal provider scelto, dal numero di messaggi e dall’area geografica. La migrazione degli utenti verso le passkey, invece, non comporterà costi aggiuntivi per il servizio di autenticazione.

Dopo il 1° febbraio 2027, se non avremo configurato un provider alternativo, gli utenti che dispongono soltanto di SMS o chiamata vocale come metodo MFA dovranno registrare una passkey durante l’accesso.

Non è previsto alcun opt-out da questo comportamento. Questo non significa che gli utenti verranno bloccati definitivamente fuori dal proprio account: dovranno però completare la registrazione della passkey prima di poter continuare l’accesso.

Maggiori informazioni sono disponibili alla pagina Passkeys by default and retirement of Microsoft-provided SMS and voice authentication – Microsoft Entra ID | Microsoft Learn

È possibile posticipare il cambiamento?

Microsoft ha previsto un opt-out temporaneo per le modifiche che partiranno dal 1° settembre 2026. Questa possibilità può essere utile alle organizzazioni che hanno bisogno di più tempo per migrare gli utenti verso altri metodi di autenticazione oppure per configurare un provider di telecomunicazioni alternativo.

L’opt-out impedisce l’abilitazione automatica delle passkey e la modifica automatica della Registration Campaign e può essere configurato tramite Microsoft Graph utilizzando la proprietà passkeyDynamicMigration.

Figura 4: Configurazione dell’opt-out temporaneo della migrazione automatica alle passkey tramite Microsoft Graph Explorer. La risposta 204 No Content conferma la corretta applicazione della modifica.

Si tratta però soltanto di una soluzione temporanea. Dal 1° febbraio 2027 l’opt-out non avrà più effetto e non sarà possibile evitare l’enforcement previsto da Microsoft.

La configurazione è documentata nella pagina ufficiale Passkeys by default and retirement of Microsoft-provided SMS and voice authentication.

Cosa fare adesso

Il mio consiglio è di non aspettare il 2027. Il primo passo è verificare quanti utenti utilizzano ancora SMS o chiamate vocali e iniziare fin da subito a pianificare la loro migrazione verso metodi di autenticazione phishing-resistant.

Microsoft indica le passkey come percorso principale, ma naturalmente possono essere utilizzati anche altri metodi adeguati alle esigenze della propria organizzazione, come Windows Hello for Business o le chiavi di sicurezza FIDO2.

Su ICTPower.it abbiamo già visto in diverse guide come configurare e utilizzare le passkey in Microsoft Entra ID, comprese le passkey in Microsoft Authenticator, le chiavi FIDO2 e, più recentemente, le Synced Passkeys. Vi rimando a questi articoli per tutti i dettagli relativi alla configurazione e all’esperienza utente.

Se invece avete una reale necessità di continuare a utilizzare SMS o chiamate vocali, sarà necessario valutare uno dei provider che verranno resi disponibili attraverso il Microsoft Security Store.

In ogni caso abbiamo ancora alcuni mesi per prepararci. Utilizziamoli per evitare di arrivare al 1° febbraio 2027 con utenti che utilizzano ancora esclusivamente SMS o chiamate vocali.

Conclusioni

Il cambiamento annunciato da Microsoft è importante, ma va interpretato correttamente. SMS e chiamate vocali non scompariranno da Microsoft Entra ID il 1° febbraio 2027: terminerà il servizio di telecomunicazione fornito direttamente da Microsoft e chi avrà ancora necessità di utilizzare questi metodi dovrà affidarsi a un provider esterno tramite il Microsoft Security Store.

La direzione indicata da Microsoft è però molto chiara: ridurre progressivamente l’utilizzo dei metodi di autenticazione più vulnerabili e favorire l’adozione delle passkey e degli altri metodi phishing-resistant.

Come sempre, prima di effettuare modifiche in produzione, testate il comportamento con un gruppo pilota e verificate l’impatto sulle modalità di autenticazione utilizzate nella vostra organizzazione.