In questo articolo Indice dei contenuti 3 sezioni
Le passkey stanno per diventare la strada obbligata anche dentro i tenant aziendali di Microsoft Entra ID, e chi amministra quegli ambienti farebbe bene a sapere che esiste una scappatoia poco pubblicizzata, sepolta tra le domande frequenti pubblicate da Redmond. In sostanza, dal 1° settembre 2026 Microsoft comincerà ad abilitare in automatico le passkey per tutti gli utenti ancora coperti da policy basate su SMS o chiamata vocale, modificando anche la Registration Campaign, cioè quel messaggio che compare durante l’accesso e invita a configurare un nuovo metodo di autenticazione. Chi non vuole subire tempistiche decise altrove può però chiedere che il proprio tenant resti fuori dalla migrazione automatica. Il quadro generale è noto da tempo. Microsoft spinge da anni per mandare in pensione password, codici temporanei e tutto ciò che si presta facilmente al phishing. Qui però non si parla degli account personali, dove il ridimensionamento degli SMS era già iniziato, ma degli ambienti gestiti tramite Entra ID e del ritiro del servizio che Microsoft fornisce direttamente per recapitare SMS e telefonate nei flussi di autenticazione a più fattori.
Le due date che contano per i tenant Entra ID
La prima è il 1° settembre 2026, quando parte l’abilitazione automatica delle passkey insieme alla campagna che invita gli utenti coinvolti a registrarle. La seconda è il 1° febbraio 2027, giorno in cui il servizio Microsoft di invio SMS e chiamate vocali smette semplicemente di funzionare. Da quel momento chi si è affidato solo a quei metodi dovrà registrare una passkey per poter accedere, a meno che l’organizzazione non abbia già configurato un provider telefonico esterno tra quelli supportati. Nelle FAQ preparate sul ritiro di SMS e voce, Microsoft conferma che tra le due date è disponibile una esclusione temporanea dall’abilitazione automatica e dalla relativa Registration Campaign. L’opzione è pensata soprattutto per le aziende che stanno già spostando gli utenti verso altri metodi o che devono aspettare la disponibilità dei nuovi provider di telecomunicazioni gestiti dal cliente. Attenzione a un punto: riguarda solo la fase transitoria e non sposta di un giorno la scadenza finale di febbraio 2027.
Come si disattiva la migrazione automatica
Non c’è un interruttore comodo nell’interfaccia di amministrazione, almeno per ora. La procedura documentata passa da Microsoft Graph e richiede il permesso Policy.ReadWrite.AuthenticationMethod. Si tratta di una richiesta PATCH sull’endpoint https://graph.microsoft.com/beta/policies/authenticationmethodspolicy, con un corpo JSON minuscolo: {“optOutSettings”:{“passkeyDynamicMigration”:true}}.
Il nome della proprietà può trarre in inganno, perché passkeyDynamicMigration impostata su true suona come un’attivazione. Microsoft chiarisce invece che quel valore, inserito dentro optOutSettings, esclude il tenant dall’abilitazione automatica delle passkey e dal rollout della campagna di registrazione per tutto il periodo indicato, quindi fino al 1° febbraio 2027. In termini pratici serve un token Graph autorizzato a modificare la Authentication Methods Policy. Con accesso delegato, la documentazione indica Authentication Policy Administrator come ruolo Entra meno privilegiato compatibile con l’aggiornamento. Chi lavora con Graph Explorer, con uno script REST o con PowerShell dovrebbe controllare bene lo scope effettivamente contenuto nel token, perché avere un ruolo amministrativo nel tenant non garantisce affatto che la sessione Graph disponga dei permessi giusti.
Perché Microsoft preferisce questi metodi
La direzione di Entra ID premia le forme di autenticazione resistenti al phishing. Le passkey lavorano con coppie di chiavi crittografiche appoggiandosi a FIDO2 e WebAuthn: il server conserva la chiave pubblica, la credenziale privata resta sul dispositivo oppure in un gestore compatibile. Microsoft distingue tra passkey sincronizzate, per esempio quelle custodite in Google Password Manager o iCloud Keychain, e credenziali legate al singolo dispositivo, categoria che comprende le passkey in Microsoft Authenticator, Entra Passkey su Windows e le chiavi di sicurezza FIDO2. Windows Hello for Business rientra nello stesso approccio passwordless per i dispositivi Windows gestiti.
Il vantaggio rispetto a SMS e codici usa e getta sta nel fatto che WebAuthn lega la risposta crittografica al servizio per cui la credenziale è stata registrata. Una pagina di phishing non può raccogliere un codice e girarlo in tempo reale al sito legittimo, come invece accade negli attacchi Adversary in the Middle. Microsoft raccomanda comunque di fornire a ogni utente almeno due metodi utilizzabili, perché passare a credenziali più robuste senza pianificare recupero dell’account, sostituzione dei dispositivi e onboarding sposta soltanto il problema dalla sicurezza all’help desk.
