Microsoft Entra ID apuesta por las passkeys: cómo preparar tu empresa para el cambio

Si tu empresa utiliza Microsoft Entra ID, es un buen momento para revisar cómo acceden los empleados a sus cuentas de trabajo. Microsoft ha anunciado una transición hacia las passkeys como experiencia de autenticación predeterminada, junto con la retirada de su propio servicio de envío de códigos por SMS y llamadas.

Para los equipos de TI, la tarea inmediata es concreta: identificar a los usuarios que todavía dependen de SMS o llamadas y preparar una alternativa antes de la fecha que les corresponda.

¿Qué cambia en Microsoft Entra ID?

Desde septiembre de 2026, Microsoft está desplegando la habilitación automática de passkeys y avisos de registro para los usuarios que tienen habilitada la autenticación por SMS o llamadas.

La siguiente fase afecta al envío de esos códigos. Microsoft dejará de proporcionar directamente el servicio de SMS y llamadas de autenticación. Las organizaciones que necesiten mantener estos métodos podrán recurrir a proveedores de telefonía compatibles a través de Microsoft Security Store, sujetos a las condiciones y tarifas de cada proveedor.

El cambio afecta, por tanto, al servicio de envío de Microsoft. Las empresas que necesiten conservar SMS o llamadas podrán hacerlo mediante un proveedor alternativo.

Fechas que debe tener en cuenta tu empresa

Los usuarios invitados internos siguen el calendario de febrero. Si un administrador es elegible para el rol de administrador global mediante Privileged Identity Management (PIM), comprueba los requisitos relativos al rol activo antes de asumir que le corresponde la fecha de julio.

Estos plazos se aplican a Microsoft Entra ID en la nube pública. Antes de programar la migración, revisa la documentación y las notificaciones de tu tenant que correspondan a tu entorno.

Puedes consultar los detalles en el calendario oficial de retirada de SMS y llamadas y en las preguntas frecuentes de Microsoft.

¿Por qué Microsoft está impulsando las passkeys?

Un usuario puede introducir por error una contraseña o un código SMS en una página de acceso falsa. Las passkeys utilizan criptografía de clave pública y vinculan la autenticación al servicio legítimo para el que se registró la credencial.

Esto ayuda a proteger frente al phishing sin pedir al usuario que copie un código recibido en su teléfono. La autenticación se realiza mediante un dispositivo o autenticador compatible.

Microsoft explica su funcionamiento en la documentación sobre passkeys y autenticación FIDO2 en Entra ID.

¿Todos los empleados necesitan una llave de seguridad física?

Las passkeys pueden sincronizarse mediante un gestor de credenciales o estar vinculadas a un dispositivo concreto, como una llave de seguridad FIDO2 o un teléfono con Microsoft Authenticator.

La elección depende de los dispositivos de los empleados y de las políticas de seguridad de la organización. Se pueden permitir distintos tipos de passkeys para diferentes grupos de usuarios.

Las llaves de seguridad físicas FIDO2 son especialmente relevantes para administradores y usuarios con mayores requisitos de seguridad. La guía de despliegue de Microsoft las recomienda como credenciales portátiles para estos grupos. Para otros empleados, una passkey sincronizada u otro método compatible puede resultar más adecuado.

Cómo preparar la transición

1. Identifica a los usuarios que dependen de SMS o llamadas

Revisa tanto los métodos de autenticación habilitados como su uso real. Distingue entre los usuarios que dependen por completo de SMS o llamadas y quienes ya tienen otro método registrado y probado.

Asigna responsables y fechas de migración. Una lista clara de las cuentas que requieren una actuación resulta más útil que un anuncio general a toda la plantilla.

2. Revisa los dispositivos y las políticas de autenticación

Comprueba los sistemas operativos, los navegadores y los escenarios de trabajo habituales.

Los perfiles de passkeys de Entra ID permiten a los administradores definir los tipos de credenciales permitidos, los requisitos de atestación y las restricciones de autenticadores. Antes de comprar llaves para toda la empresa, valida el modelo concreto con la configuración de tu organización.

Consulta cómo habilitar passkeys y configurar sus perfiles en Entra ID.

3. Realiza una prueba piloto

Selecciona un grupo que represente distintos puestos y dispositivos. Prueba el registro, el inicio de sesión habitual y el acceso a las aplicaciones que necesitan los empleados.

Recoge sus comentarios y actualiza las instrucciones antes de ampliar el despliegue. Incluye a personas ajenas al equipo técnico para que la prueba refleje el uso cotidiano.

4. Prepara el acceso de respaldo

Microsoft recomienda registrar al menos dos métodos de autenticación. Define también cómo verificará el equipo de soporte la identidad de una persona que pierda su dispositivo.

Si se utilizan llaves de seguridad físicas, considera una segunda llave registrada por separado, de acuerdo con las políticas de tu organización.

5. Comunica el cambio y comprueba que se ha completado

Explica qué verán los empleados y qué deben hacer. Después, confirma que han completado el registro y que pueden iniciar sesión correctamente.

La organización estará preparada cuando los empleados puedan trabajar con el método alternativo y el equipo de soporte sepa resolver las incidencias previstas.

Preguntas frecuentes

¿Afecta a las cuentas personales de Outlook o Hotmail?

Este anuncio se refiere a Microsoft Entra ID para organizaciones. No debe interpretarse como un cambio que afecte a todas las cuentas personales de Microsoft.

¿Afecta a Azure AD B2C o a Microsoft Entra External ID?

Las preguntas frecuentes de Microsoft indican que Azure AD B2C queda fuera del alcance de este anuncio. Los cambios para Microsoft Entra External ID se comunicarán por separado.

¿Qué ocurre si un usuario solo dispone de autenticación por SMS o llamadas?

Después de la fecha de retirada que le corresponda, los usuarios cuyo único método de autenticación multifactor (MFA) disponible sea el servicio de SMS o llamadas de Microsoft deberán registrar una passkey durante el inicio de sesión para continuar, salvo que hayan migrado a un proveedor de telefonía compatible.

¿También se retiran los códigos de las aplicaciones autenticadoras?

Microsoft indica que los códigos de un solo uso basados en el tiempo (TOTP) siguen siendo compatibles, sujetos a las políticas de la organización. Estos códigos no son resistentes al phishing y no cumplen las políticas que exigen autenticación resistente al phishing.

¿Tu empresa está valorando llaves de seguridad FIDO2?

Antes de realizar un pedido corporativo, identifica tus grupos de usuarios y prueba la llave de seguridad elegida en tu entorno de Entra ID.

En Encvoy podemos ayudarte a explorar las opciones de llaves de seguridad y solicitar un presupuesto para tu equipo.

Consulta las opciones para empresas.