Microsoft retirará el SMS en Entra ID: las passkeys toman el relevo
Microsoft ha puesto fecha al principio del fin del SMS como método de autenticación nativo en Entra ID. Desde el 1 de septiembre de 2026, los usuarios que todavía dependan de códigos enviados por mensaje o llamada comenzarán a recibir indicaciones para registrar una passkey. El cambio será progresivo, pero existe una segunda fecha decisiva: el 1 de febrero de 2027, Microsoft dejará de prestar directamente esos servicios de telecomunicaciones. El SMS no desaparecerá por completo, aunque conservarlo exigirá contratar un proveedor externo. Para la mayoría de organizaciones, el mensaje es claro: toca migrar hacia una autenticación resistente al phishing.
Qué cambiará en Microsoft Entra ID desde septiembre
El cambio afecta a los entornos de Microsoft Entra ID en la nube pública. Según el calendario oficial de Microsoft, el 1 de septiembre de 2026 se habilitarán automáticamente las passkeys para los usuarios autorizados a utilizar SMS o llamadas de voz. La campaña de registro también pasará a un estado administrado por Microsoft para incluir a esas cuentas.
Cuando uno de esos usuarios inicie sesión y complete la autenticación multifactor, Entra ID le propondrá registrar una passkey. Durante esta primera fase podrá posponer el aviso, por lo que no habrá una migración instantánea ni un bloqueo general ese mismo día.
La situación cambia el 1 de febrero de 2027. Microsoft retirará su infraestructura de entrega de SMS y llamadas. Quien solo disponga de esos métodos y no esté cubierto por un proveedor externo deberá registrar una passkey para continuar. Ese paso será obligatorio y no existirá una exclusión general que permita conservar el funcionamiento anterior.
Por qué un código SMS ya no ofrece suficiente protección
El SMS mejoró durante años la seguridad frente al uso exclusivo de contraseña, pero nunca fue un canal diseñado para autenticar accesos críticos. Un código temporal puede ser interceptado mediante un duplicado fraudulento de la tarjeta SIM, ingeniería social contra la operadora, malware o una web falsa que lo solicite y lo reutilice inmediatamente.
La passkey elimina buena parte de ese problema porque no transmite un secreto que el usuario pueda copiar. Utiliza criptografía de clave pública: el servicio conserva la clave pública y la privada permanece protegida en el dispositivo o gestor de credenciales. El navegador solo responde al dominio legítimo para el que se creó la credencial, dificultando que una página de phishing pueda aprovecharla.
En Tecnoic ya expliqué cómo funcionan las passkeys y los estándares FIDO2 y WebAuthn. La diferencia esencial no es sustituir seis números por una huella: es abandonar los secretos compartidos y los códigos que un atacante puede robar y reutilizar.
Qué tendrá que hacer el usuario para registrar una passkey
Para el usuario, el proceso debería parecerse más a desbloquear un dispositivo que a gestionar una contraseña nueva. Entra ID admite passkeys sincronizadas, almacenadas en gestores como iCloud Keychain o Google Password Manager, y credenciales vinculadas a un dispositivo, como Microsoft Authenticator, una passkey de Windows o una llave física FIDO2.
La biometría no se envía a Microsoft. La huella, el reconocimiento facial o el PIN autorizan localmente el uso de la clave privada. Esto importa porque a veces se presenta la passkey como una base de datos biométrica centralizada, cuando su diseño técnico evita precisamente ese modelo.
El cambio puede generar fricción en equipos compartidos, móviles no corporativos, puestos sin biometría o colectivos con poca autonomía digital. También habrá que prever la pérdida y sustitución de dispositivos. Una organización necesita definir qué tipos de passkey admite, cómo registrar una credencial alternativa y qué procedimiento de recuperación seguirá si el usuario pierde la principal.
El trabajo pendiente para los administradores de Entra ID
La primera tarea es identificar qué cuentas siguen habilitadas para SMS o voz, no solo cuáles lo han usado recientemente. Microsoft recomienda revisar la política de métodos de autenticación y ofrece un script de PowerShell para localizar a los usuarios afectados. Conviene separar empleados con dispositivos gestionados, personal externo, cuentas privilegiadas y usuarios de terminales compartidos.
Después debería ejecutarse un piloto reducido. Hay que comprobar compatibilidad de dispositivos, navegadores, políticas de acceso condicional, recuperación y soporte. En cuentas administrativas, yo priorizaría credenciales vinculadas al dispositivo o llaves FIDO2, porque reducen la dependencia de gestores personales sincronizados.
También habrá que preparar comunicaciones claras. Un aviso inesperado para escanear un código QR o registrar el móvil puede parecer phishing, justo el riesgo que se intenta reducir. La migración debe explicar el calendario, los dispositivos admitidos, el canal oficial de soporte y qué hacer si no puede completarse el registro. La tecnología es sólida, pero un despliegue confuso trasladará el problema al centro de atención.
El SMS seguirá existiendo, pero dejará de ser la opción fácil
Microsoft no prohibirá por completo los mensajes y llamadas. Las organizaciones con requisitos regulatorios, técnicos u operativos podrán contratar un proveedor de telecomunicaciones mediante Microsoft Security Store. La compañía publicará proveedores, condiciones y precios el 18 de septiembre de 2026, y permitirá comenzar su configuración el 30 de octubre.
La diferencia es relevante: el coste dejará de estar incluido en el servicio nativo y dependerá del volumen, la región y el operador elegido. La migración a passkeys, en cambio, no añade un coste específico de telecomunicaciones. Microsoft está utilizando la configuración predeterminada y el modelo económico para impulsar métodos resistentes al phishing.
No todos los escenarios encajan igual. El SMS ha sido útil para trabajadores sin equipo asignado, recuperación de cuentas y accesos ocasionales. Microsoft menciona alternativas como Windows Hello, llaves FIDO2, autenticación basada en certificados y, para determinados puestos compartidos, códigos QR. El objetivo no debería ser imponer una única credencial, sino retirar el canal vulnerable sin dejar colectivos bloqueados.
Conclusión
La retirada del SMS nativo en Entra ID no es un simple cambio de interfaz. Obliga a revisar dispositivos, recuperación de cuentas, soporte y políticas de identidad antes del 1 de febrero de 2027. Las passkeys aportan una mejora clara frente al phishing, pero su éxito dependerá de una migración bien diseñada y comunicada. ¿Están las organizaciones preparadas para abandonar el SMS o seguirá siendo necesario como respaldo?