Microsoft chiude gli SMS di Entra ID: le due date

Se al lavoro accedi alla posta o ai file aziendali con un codice che ti arriva via messaggio sul telefono, quel codice ha una data di scadenza. Non il singolo codice: il metodo. Microsoft ha fissato due momenti precisi per smettere di usarlo sui propri sistemi aziendali, e il primo dei due lo abbiamo già alle spalle.

La piattaforma si chiama Entra ID. È il servizio con cui le aziende decidono chi può entrare nei propri strumenti Microsoft: la posta e i documenti di Microsoft 365, le risorse su Azure, i gestionali Dynamics 365. È il portiere, non l’ufficio: quando l’amministratore di sistema stabilisce che per leggere la posta serve un secondo controllo oltre alla password, quella regola vive lì dentro.

Una precisazione subito, perché evita un equivoco frequente: qui si parla di account aziendali, quelli che il datore di lavoro assegna. L’account Microsoft personale, quello con cui usi Windows a casa, segue un percorso diverso. Il quadro generale del passaggio, che va ben oltre Microsoft, lo abbiamo ricostruito nell’articolo su perché il codice usa e getta della banca sta sparendo.

Le due date, e quella che è già passata

Il calendario ha due tappe, e fanno cose diverse.

• 1° settembre 2026 — Microsoft comincia ad accendere da sola le passkey per gli utenti aziendali che risultano ancora coperti dalle regole basate su SMS o chiamata vocale. Nessuno deve chiederlo: l’attivazione parte dall’alto.
• 1° febbraio 2027 — si spegne il servizio con cui Microsoft recapita materialmente i messaggi e le telefonate di verifica. Da quel giorno chi ha soltanto quei due metodi registrati non entra più finché non si è registrato una passkey.

La prima data è passata da poco: l’accensione automatica è già in corso. La seconda è la vera scadenza, con una sola eccezione prevista da Microsoft: chi si appoggia a un fornitore telefonico esterno tra quelli supportati continua a ricevere codici anche dopo febbraio 2027, perché a mandarli non è più Microsoft. Per tutti gli altri resta solo la passkey.

Vale la pena guardare la distanza tra le due tappe: cinque mesi. È l’intervallo che Microsoft si è data per portare le persone dalla vecchia abitudine alla nuova prima di togliere l’infrastruttura. I resoconti dell’annuncio si sono fermati agli estremi — da settembre l’invito, da febbraio 2027 la chiusura — ma è lo spazio in mezzo la parte interessante, perché è l’unico in cui qualcosa resta negoziabile.

La finestra che compare al login si chiama Registration Campaign

Insieme all’accensione automatica, Microsoft ha modificato un secondo meccanismo di Entra ID: la Registration Campaign, letteralmente la campagna di registrazione. Nome tecnico, funzione banale: è quel messaggio che appare mentre stai entrando e ti propone di configurare un nuovo metodo di accesso. Non un’email che puoi ignorare: compare nel punto esatto in cui devi entrare, cioè quando non hai modo di rimandare senza accorgertene.

La combinazione delle due cose — passkey accese d’ufficio e invito piazzato nel momento del login — è ciò che rende il passaggio di settembre 2026 diverso da una raccomandazione: si presenta da solo sugli schermi dei dipendenti.

Il freno temporaneo, e dove Microsoft l’ha messo

Nelle domande frequenti pubblicate a corredo del ritiro, Microsoft conferma che tra le due date esiste un modo per restare fuori dall’accensione automatica e dalla campagna: un opt-out, cioè la facoltà di chiamarsi fuori da un’operazione che altrimenti verrebbe applicata a tutti. Un’azienda che non voglia lasciare a Microsoft la scelta dei tempi può chiedere che il proprio tenant — il nome dello spazio riservato in cui vivono gli account di quella singola organizzazione — non venga coinvolto nella migrazione automatica. Microsoft indica due casi tipici: chi sta già spostando i propri utenti verso altri metodi con un piano proprio, e chi deve attendere la disponibilità dei nuovi fornitori telefonici gestiti direttamente dal cliente.

Il punto da capire è che cosa questo freno fermi davvero. Ferma l’accensione automatica e il messaggio al login fino al 1° febbraio 2027, non oltre. La data finale non si sposta di un giorno. In termini pratici: chi lo attiva non guadagna tempo in fondo alla corsa, sceglie solo di non farla partire adesso — e siccome il traguardo resta fisso, quei cinque mesi di rinvio sono cinque mesi in meno per la transizione vera, non cinque mesi in più.

Perché non c’è un interruttore da premere

Qui la faccenda si fa insolita, ed è la ragione per cui ha fatto rumore tra chi amministra sistemi. Allo stato attuale nessuna casella da spuntare compare nel pannello di amministrazione. L’unico percorso che Microsoft documenta è Graph, cioè l’interfaccia di programmazione con cui i suoi servizi si comandano scrivendo richieste anziché cliccando: si manda un’istruzione, e il sistema risponde.

Quella descritta è una modifica alla policy globale dei metodi di autenticazione, cioè al documento che stabilisce quali modi di accedere sono ammessi in quel tenant. Tecnicamente è un PATCH, il verbo che in queste interfacce vuol dire «cambia questo pezzo, lascia stare il resto», diretto a https://graph.microsoft.com/beta/policies/authenticationmethodspolicy; dentro va una riga sola, {“optOutSettings”:{“passkeyDynamicMigration”:true}}.

Merita un secondo di attenzione quel nome, passkeyDynamicMigration, perché letto di fretta suggerisce il contrario di quello che fa. Sembra il comando che accende la migrazione dinamica verso le passkey; in realtà vive dentro un contenitore chiamato optOutSettings, cioè le impostazioni di rinuncia, e Microsoft chiarisce espressamente che portarlo a true lì dentro esclude il tenant dall’attivazione automatica e dal lancio della campagna. Il valore vero non attiva: sfila.

Perché funzioni serve un permesso specifico, Policy.ReadWrite.AuthenticationMethod, cioè l’autorizzazione a leggere e riscrivere quella policy. Se si opera in delega, per conto di una persona che ha effettuato l’accesso, la documentazione di Graph segnala Authentication Policy Administrator come il ruolo meno potente fra quelli che bastano allo scopo.

Un dettaglio che nella pratica fa inciampare: avere un ruolo amministrativo nel tenant non equivale ad avere il permesso dentro la sessione. Il diritto di fare una cosa e il gettone che lo porta con sé sono due oggetti separati, e chi lavora da Graph Explorer, da uno script REST o da PowerShell può ritrovarsi con tutti i poteri sulla carta e una sessione che quel permesso non ce l’ha.

Passkey sincronizzate o legate al dispositivo: non sono la stessa cosa

Su che cosa arrivi al posto degli SMS, Entra ID non fa una lista sola: distingue due famiglie. Ci sono le passkey sincronizzate, dove la credenziale sta in un gestore che te la fa ritrovare su tutti i tuoi apparecchi — Microsoft cita per esempio Google Password Manager e iCloud Keychain. Comode, perché cambi telefono e la ritrovi. Poi ci sono le credenziali legate al dispositivo, che da quell’apparecchio non escono: le passkey conservate dentro Microsoft Authenticator, la Entra Passkey su Windows, e le chiavi di sicurezza FIDO2, quei piccoli oggetti fisici da collegare al computer. Con un ruolo suo, accanto a queste, c’è Windows Hello for Business: il sistema con cui si entra in un PC Windows gestito dall’azienda usando volto, impronta o PIN, senza digitare alcuna password.

La distinzione è il criterio con cui un’organizzazione sceglie che cosa mettere in mano alle persone. Una credenziale che si sincronizza semplifica la vita quando un telefono si rompe; una incollata all’hardware riduce il numero di posti in cui può finire. Entra ID considera accettabili entrambe.

Su un punto Microsoft è esplicita: raccomanda che ogni utente disponga di almeno due metodi utilizzabili. La ragione non riguarda la sicurezza, riguarda quello che succede dopo. Passare a credenziali più solide senza aver progettato il recupero dell’account, la sostituzione dei dispositivi e l’ingresso dei nuovi assunti sposta il problema invece di risolverlo: dalla sicurezza informatica all’assistenza interna, che si ritrova la coda di chi non riesce più a entrare.

La ragione tecnica per cui l’SMS non regge più

Resta la domanda di fondo: perché abbandonare un sistema che tutti sanno usare. La risposta sta in una proprietà di WebAuthn, lo standard su cui poggiano le passkey insieme a FIDO2. La risposta crittografica che il dispositivo produce vale solo davanti al servizio dove quella credenziale è nata: non è un numero buono in assoluto, è una firma buona per un destinatario e nessun altro.

È esattamente ciò che manca al codice via messaggio. Un OTP — one-time password, la password usa e getta — è solo una sequenza di cifre: chiunque la legga può spenderla, e non porta scritto dentro dove doveva andare. Su questa proprietà si reggono gli attacchi AiTM, adversary in the middle, l’avversario piazzato in mezzo: una pagina falsa raccoglie il codice mentre la vittima lo digita e lo inoltra al sito autentico prima che scada. Contro una passkey lo stesso schema non produce nulla di riutilizzabile.

Questo dice anche dove finisce la protezione. Una passkey stabilisce che il dispositivo possiede la credenziale giusta per quel servizio: è molto, ed è tutto. Su chi ci sia dietro quel dispositivo, o su che cosa sia successo alla SIM che ci sta dentro, non ha niente da dire. È il motivo per cui gli operatori telefonici, che sembravano i grandi esclusi dalla fine degli SMS, si stanno costruendo un ruolo diverso: ne abbiamo scritto in che cosa sa la rete mobile su chi sta accedendo.