Microsoft e passkey: esiste un opt-out nascosto nelle FAQ

Microsoft sta accelerando il passaggio dalle forme di autenticazione basate su rete telefonica alle passkey, ma per gli amministratori di Microsoft Entra ID c’è un dettaglio “segreto” che può cambiare molto la gestione della migrazione.

Dal 1° settembre 2026 Microsoft inizierà infatti ad abilitare automaticamente le passkey per gli utenti aziendali ancora inclusi nelle policy SMS o di chiamata vocale. Redmond modificherà anche la cosiddetta Registration Campaign, cioè il meccanismo di Entra ID che mostra agli utenti, durante l’accesso, un invito a configurare un nuovo metodo di autenticazione.

Esiste però una possibilità di rinviare temporaneamente questa automazione: un opt-out configurabile tramite Microsoft Graph. Ne parliamo nel seguito.

Cosa succede nei tenant Entra ID dal 1° settembre 2026

La novità che culmina nel passaggio alle passkey completa un percorso che Microsoft porta avanti da tempo e che mira ad accantonare password, OTP e altri metodi facilmente sottoponibili a phishing.

A maggio avevamo analizzato il progressivo abbandono degli SMS negli account Microsoft personali e il ruolo crescente di Windows Hello, FIDO2 e WebAuthn. Qui, però, il campo è diverso: parliamo dei tenant aziendali gestiti tramite Microsoft Entra ID e del ritiro del servizio SMS e voce che Microsoft fornisce direttamente per MFA e altri flussi di autenticazione.

Le date da tenere a mente sono due. Il 1° settembre 2026 parte l’abilitazione automatica delle passkey e la campagna che spinge gli utenti interessati a registrarle; il 1° febbraio 2027 termina invece il servizio Microsoft che recapita SMS e chiamate vocali: da quel momento chi avrà ancora soltanto tali sistemi dovrà registrare una passkey per continuare ad accedere, salvo che l’organizzazione abbia configurato un provider telefonico esterno supportato.

L’opt-out nascosto nelle FAQ Microsoft: di cosa si tratta

Tra le domande frequenti (FAQ) che Microsoft ha preparato in tema di ritiro del supporto per SMS e chiamate vocali, c’è però la conferma che tra il 1° settembre 2026 e il 1° febbraio 2027 è disponibile un opt-out temporaneo dall’abilitazione automatica delle passkey e dalla relativa Registration Campaign.

Un’azienda che non volesse lasciare a Microsoft il controllo dei tempi di attivazione può chiedere che il proprio tenant non partecipi alla migrazione automatica.

L’opzione è pensata soprattutto per chi sta già spostando gli utenti verso altri metodi oppure deve attendere la disponibilità dei nuovi provider di telecomunicazioni gestiti dal cliente. Come accennato in precedenza, però, l’opt-out interessa la fase transitoria e non modifica la scadenza finale di febbraio 2027.

Come disattivare temporaneamente la migrazione automatica con Microsoft Graph

Microsoft non espone, almeno allo stato attuale, un semplice interruttore nell’interfaccia amministrativa. La procedura documentata passa da Microsoft Graph e richiede il permesso Policy.ReadWrite.AuthenticationMethod.

La richiesta HTTP indicata da Microsoft usa il metodo PATCH sull’endpoint https://graph.microsoft.com/beta/policies/authenticationmethodspolicy


Il corpo JSON da inviare è molto piccolo: {"optOutSettings":{"passkeyDynamicMigration":true}}.

Il valore che salta subito all’occhio è passkeyDynamicMigration: nonostante il nome possa apparire controintuitivo, Microsoft specifica espressamente che impostare questa proprietà a true dentro optOutSettings esclude il tenant dall’abilitazione automatica delle passkey e dal rollout della Registration Campaign durante il periodo indicato, quindi fino al 1° febbraio 2027.

La richiesta completa, traducendola in termini operativi, è quindi un PATCH della policy globale relativa ai metodi di autenticazione. Serve un token Graph autorizzato alla modifica della Authentication Methods Policy; con accesso delegato, la documentazione Graph indica inoltre Authentication Policy Administrator come ruolo Entra meno privilegiato compatibile con l’aggiornamento della policy.

Chi usa Graph Explorer, uno script REST o PowerShell deve quindi prestare attenzione all’autorizzazione effettivamente contenuta nel token: possedere un ruolo amministrativo nel tenant non significa automaticamente che una sessione Graph abbia ottenuto lo scope necessario.

Quali metodi Microsoft considera preferibili

La direzione scelta da Entra ID privilegia modalità di autenticazione resistenti al phishing. Le passkey usano coppie di chiavi crittografiche e si appoggiano a FIDO2 e WebAuthn: il server conserva la chiave pubblica, mentre la credenziale privata rimane sul dispositivo o in un gestore di credenziali compatibile.

Microsoft distingue tra passkey sincronizzate, conservate ad esempio in Google Password Manager o iCloud Keychain, e credenziali legate al dispositivo. Tra queste ultime rientrano passkey in Microsoft Authenticator, Entra Passkey su Windows e chiavi di sicurezza FIDO2. Windows Hello for Business rappresenta a sua volta una soluzione passwordless resistente al phishing per l’accesso dai dispositivi Windows gestiti.

Il vantaggio rispetto a SMS e OTP è che WebAuthn lega la risposta crittografica al servizio per cui la credenziale è stata registrata: una pagina di phishing non può semplicemente raccogliere un codice e inoltrarlo in tempo reale al sito legittimo come accade negli attacchi AiTM (Adversary in the Middle) contro gli OTP (one-time password) tradizionali.

Microsoft raccomanda comunque di dotare gli utenti di almeno due metodi utilizzabili. È un consiglio operativo importante: spostarsi verso credenziali più robuste senza progettare recupero dell’account, sostituzione dei dispositivi e onboarding può trasferire il problema dalla sicurezza all’help desk. Sono un po’ gli stessi consigli di cui avevamo parlato per evitare il blocco degli account Google prima che sia troppo tardi.