Microsoft Entra ID: SMS e chiamate vocali non spariscono, ma dal 2027 cambiano modello

Dal 1° febbraio 2027 Microsoft smetterà di fornire direttamente il servizio di telecomunicazioni usato da Entra ID per recapitare gli SMS ed effettuare le chiamate vocali di autenticazione.

La notizia è stata spesso sintetizzata dicendo che Microsoft eliminerà SMS e voce da Entra ID. La realtà è leggermente diversa: i due metodi resteranno disponibili, mentre cambierà il servizio che si occupa della consegna del messaggio o della chiamata.

Chi avrà ancora bisogno del canale telefonico dovrà scegliere un provider tramite Microsoft Security Store, sottoscrivere il relativo servizio e pagarne l’utilizzo. Per tutti gli altri utenti, la direzione indicata da Microsoft è quella delle passkey e, più in generale, dei metodi resistenti al phishing.

Microsoft ritira il recapito, non il metodo

Oggi, quando Entra ID invia un codice tramite SMS o avvia una chiamata vocale, tutta la parte di telecomunicazioni viene gestita direttamente da Microsoft. L’azienda non deve scegliere un operatore, verificare la copertura nei vari Paesi o configurare un’integrazione dedicata.

Dal 2027 questo modello cambia.

SMS e chiamate vocali continueranno a essere metodi utilizzabili, ma il recapito dovrà passare attraverso un provider gestito dal cliente. I costi dipenderanno dall’operatore scelto, dalla regione geografica, dalla distribuzione degli utenti e dal volume di messaggi o chiamate. Microsoft anticipa un modello normalmente legato al consumo.

La conseguenza non è soltanto economica. Un nuovo fornitore entrerà direttamente nel processo di autenticazione, con tutto ciò che ne deriva in termini di copertura, disponibilità, trattamento dei dati, supporto e responsabilità in caso di mancato recapito.

Le date da segnare

La transizione avverrà in più fasi:

• 1° settembre 2026: gli utenti abilitati per SMS o voce verranno abilitati anche alle passkey e inclusi nella relativa campagna di registrazione;

• 18 settembre 2026: Microsoft pubblicherà le informazioni sui provider di telecomunicazioni disponibili nel Microsoft Security Store;

• 30 ottobre 2026: sarà possibile selezionare e configurare un provider;

• 1° febbraio 2027: terminerà il recapito SMS e voce fornito direttamente da Microsoft negli ambienti public cloud di Entra ID.

Le date che avranno l’impatto più evidente sugli utenti sono soprattutto settembre e febbraio.

A settembre inizierà la spinta verso le passkey, con una richiesta di registrazione che potrà inizialmente essere rimandata. A febbraio il servizio Microsoft smetterà invece di funzionare: chi disporrà solamente di SMS o voce e non sarà coperto da un provider esterno dovrà registrare una passkey prima di proseguire con l’accesso. A quel punto la richiesta sarà bloccante.

La Registration campaign può cambiare anche se oggi è disabilitata

Se la Registration campaign è attualmente impostata su Disabled, oggi non parte alcuna campagna e gli utenti non ricevono richieste di registrazione.

Dal 1° settembre la situazione potrà però cambiare automaticamente.

Gli utenti ancora abilitati per SMS o chiamate vocali, sia tramite la Authentication Methods Policy sia attraverso le precedenti impostazioni MFA legacy, verranno abilitati alle passkey e inseriti in un profilo che ne consente tutte le tipologie. La Registration campaign passerà allo stato Microsoft Managed e includerà gli utenti interessati.

Al primo accesso utile, dopo aver completato l’MFA, questi utenti potranno vedere l’invito a registrare una passkey. Durante la fase transitoria, per impostazione predefinita, la richiesta potrà essere posticipata senza un limite prestabilito.

In sostanza, Disabled descrive quello che accade oggi; non impedisce la modifica prevista per settembre.

Per evitare l’inclusione automatica, Microsoft indica due possibilità: rimuovere gli utenti dall’ambito di SMS e voce prima del 1° settembre oppure utilizzare l’opt-out temporaneo previsto per il periodo di transizione.

L’opt-out serve a gestire la transizione

Microsoft ha previsto un opt-out temporaneo per le modifiche comprese tra settembre 2026 e febbraio 2027.

Può essere utile a chi ha già definito un proprio piano, vuole migrare gli utenti verso metodi differenti oppure preferisce completare prima la configurazione del provider telecom, evitando nel frattempo l’attivazione automatica delle passkey e della Registration campaign.

La configurazione viene applicata tramite Microsoft Graph Explorer, disponibile all’indirizzo:

https://developer.microsoft.com/graph/graph-explorer

È necessario autenticarsi con un account amministrativo dotato di privilegi adeguati. La chiamata richiede il permesso delegato Policy.ReadWrite.AuthenticationMethod; se non è già stato concesso nel tenant, prima di eseguire la richiesta sarà necessario aprire la sezione Modify permissions e concedere il relativo admin consent.

La richiesta da eseguire è la seguente:

PATCH https://graph.microsoft.com/beta/policies/authenticationMethodsPolicy

Content-Type: application/json

{

"optOutSettings": {

"passkeyDynamicMigration": true

}

}

L’opt-out ritarda il rollout automatico, ma non prolunga il servizio SMS e voce fornito da Microsoft. La scadenza del 1° febbraio 2027 resta invariata: entro quella data sarà comunque necessario aver migrato gli utenti oppure aver configurato un provider esterno.

Dopo il 1° febbraio non sarà disponibile alcuna esclusione dalla dismissione.

SMS e voce restano disponibili, a pagamento

Le organizzazioni con una reale esigenza aziendale, normativa o operativa potranno continuare a usare SMS e chiamate vocali anche dopo febbraio 2027.

Dal 30 ottobre sarà possibile scegliere un provider tramite Microsoft Security Store, completare il relativo flusso contrattuale e collegarlo al tenant. Microsoft suggerisce di riservare questa possibilità alle popolazioni per le quali il canale telefonico è davvero necessario, adottando le passkey negli altri scenari.

Prima della scelta guarderei anche oltre il prezzo del singolo SMS. Copertura internazionale, disponibilità del servizio, supporto, logging, trattamento dei dati e responsabilità in caso di mancato recapito hanno un peso non trascurabile.

Il costo sarà probabilmente la parte più visibile. Non sarà l’unica.

Il cambiamento riguarda anche la reimpostazione della password

SMS e chiamate vocali non vengono utilizzati soltanto per completare l’MFA durante il login.

Un utente può accedere normalmente con Microsoft Authenticator o Windows Hello for Business e dipendere ancora dal proprio numero di telefono per la Self-Service Password Reset, o SSPR.

La dismissione del servizio nativo si applicherà a Entra nel suo complesso, compresi i flussi di recupero. Per mantenere SMS e voce nella procedura SSPR sarà quindi necessario utilizzare lo stesso provider esterno.

Controllare soltanto i log relativi all’MFA rischia quindi di restituire una fotografia incompleta. Va verificato anche quali metodi gli utenti hanno registrato per recuperare l’account.

Portare tutti su Authenticator potrebbe creare un altro problema

Microsoft presenta le passkey come destinazione principale, ma una passkey archiviata in Microsoft Authenticator non è necessariamente la scelta migliore per ogni utente.

Le passkey di Authenticator sono associate al singolo dispositivo e non possono essere sincronizzate. Quando l’utente cambia telefono, la passkey deve quindi essere registrata nuovamente sul nuovo dispositivo.

Le passkey sincronizzate, conservate ad esempio in iCloud Keychain o Google Password Manager, possono invece essere rese disponibili sugli altri dispositivi collegati allo stesso gestore di credenziali. Semplificano il cambio del telefono, anche se richiedono valutazioni differenti dal punto di vista della governance e del controllo aziendale.

Spostare indiscriminatamente tutti su Authenticator potrebbe quindi trasformare ogni telefono perso, rotto o sostituito in una richiesta all’help desk.

Per chi lavora soprattutto da un computer Windows aziendale può essere più naturale Windows Hello for Business; per gli amministratori si possono valutare chiavi FIDO2 o altre passkey associate al dispositivo; per una parte della popolazione standard le passkey sincronizzate possono rendere meno traumatico il cambio del telefono.

Non è necessario adottare la stessa soluzione per tutti.

Da dove partire davvero

La prima verifica da fare riguarda l’utilizzo effettivo. Gli utenti abilitati per SMS o voce e quelli che usano realmente questi metodi potrebbero essere due popolazioni molto diverse.

Subito dopo vanno individuati gli account per i quali il numero di telefono rappresenta l’unico metodo disponibile, compreso il recupero tramite SSPR. Sono gli utenti che rischiano di avere i problemi più seri nel 2027.

A quel punto conviene dividere la popolazione per scenario: utenti con PC Windows aziendale, utenti prevalentemente mobile, amministratori, personale con dispositivi condivisi ed eventuali eccezioni che devono conservare il canale telefonico. Soltanto per queste ultime ha senso iniziare a valutare provider e costi.

Microsoft mette a disposizione uno script PowerShell per individuare gli utenti abilitati per SMS o voce. La documentazione precisa che qualsiasi risultato diverso da zero indica che il tenant rientra nell’ambito del cambiamento.

Considerazioni finali

Da settembre Microsoft inizierà a proporre automaticamente le passkey agli utenti ancora abilitati per SMS o chiamate vocali. Lasciare tutto invariato significa accettare che sia il rollout standard a determinare almeno una parte dell’esperienza utente.

Prima di quella data conviene capire chi utilizza davvero il canale telefonico, chi può passare senza difficoltà a Windows Hello o a una passkey e come verranno gestiti la perdita e il cambio dei dispositivi.

La domanda pratica da porsi è piuttosto semplice: quando un utente cambierà telefono, riuscirà a recuperare autonomamente l’accesso oppure finirà necessariamente nelle mani dell’help desk?