Avec l’authentification par défaut du système, Entra ID propose la méthode MFA la plus sûre avant même le mot de passe. Ce qui change et comment s’y préparer
Vos utilisateurs vous ont peut-être déjà posé la question : « Pourquoi Microsoft me demande de valider sur mon téléphone avant même que j’aie tapé mon mot de passe ? ». Rassurez-vous, ce n’est pas un bug. C’est la nouvelle logique de la MFA Entra ID, qui pousse en priorité la méthode de connexion la plus sûre dont dispose chaque utilisateur. Concrètement, Microsoft a fait évoluer un paramètre baptisé « authentification par défaut du système ». Jusqu’ici, il ne concernait que la deuxième étape de connexion. Désormais, dans son mode géré par Microsoft, il s’applique aussi à la première. Résultat : le mot de passe passe au second plan.
Ce qui change dans le MFA Entra ID ?
L’authentification par défaut du système, c’est quoi ?
Le principe est simple : à chaque connexion, Entra ID regarde les méthodes que l’utilisateur a enregistrées et lui propose d’abord la plus robuste. Si un collaborateur possède à la fois un mot de passe et une clé d’accès (passkey), c’est la clé d’accès qui s’affiche en premier, comme le détaille la documentation Microsoft sur l’authentification par défaut du système. L’utilisateur garde toujours la possibilité de choisir une autre méthode via le lien « Se connecter d’une autre façon ». Rien n’est imposé, tout est suggéré.
Trois modes de fonctionnement
Le paramètre propose trois états :
- Désactivé : aucune modification de la logique de connexion.
- Activé : la méthode la plus sûre est proposée uniquement au second facteur.
- Géré par Microsoft : la logique s’applique au premier comme au second facteur.
C’est ce dernier mode, actif par défaut, qui fait apparaître la MFA avant le mot de passe. Microsoft l’a déployé progressivement sur les tenants jusqu’en août 2026. Si vous n’avez rien touché, il y a de fortes chances que vos utilisateurs soient déjà concernés.
L’ordre de priorité des méthodes
Microsoft a établi un classement des méthodes, de la plus sûre à la moins sûre. En tête : le passe d’accès temporaire (TAP), puis les clés d’accès, l’authentification par certificat et les notifications Microsoft Authenticator. Viennent ensuite la MFA externe, les codes TOTP, le SMS ou l’appel vocal, le code QR et, tout en bas, le mot de passe.
Le message est clair : le mot de passe devient la solution de repli, plus la porte d’entrée principale.
Qui est concerné par ce changement ?
Les utilisateurs cloud, en priorité
Tous les comptes gérés directement dans Entra ID sont concernés par le mode géré par Microsoft. C’est le cas de la grande majorité des PME et collectivités qui ont migré vers Microsoft 365.
Les cas particuliers à connaître
Les utilisateurs fédérés (connectés via un fournisseur d’identité externe) ne voient aucun changement au premier facteur : seule la deuxième étape est concernée. Même chose pour les connexions passant par l’extension NPS, qui restent inchangées.
Windows Hello Entreprise et l’authentification unique macOS sont proposés en premier facteur uniquement si l’utilisateur s’est connecté récemment avec une clé d’accès. Objectif : éviter de lui proposer une méthode qu’il ne peut pas utiliser sur l’appareil en cours.
Attention à l’authentification par certificat
Depuis le 18 mars 2026, l’authentification par certificat est remontée en troisième position du classement. Si certains de vos utilisateurs ont un certificat enregistré mais se connectent depuis un appareil qui n’en dispose pas, la tentative échoue immédiatement. Ils doivent alors cliquer sur « Se connecter d’une autre façon ». De quoi générer quelques tickets au support si personne n’a été prévenu.
Comment garder la main sur la MFA Entra ID ?
Revenir à un fonctionnement sur le second facteur uniquement
Vous préférez conserver le mot de passe en première étape le temps d’accompagner vos équipes ? Il suffit de passer le paramètre de « Géré par Microsoft » à « Activé ». La logique de priorité continuera de s’appliquer au second facteur, sans toucher au premier.
Le réglage se fait dans le centre d’administration Microsoft Entra, rubrique Méthodes d’authentification puis Paramètres, avec au minimum le rôle d’administrateur de stratégie d’authentification.
Cibler des groupes d’utilisateurs
Les modes Activé et Géré par Microsoft permettent d’inclure ou d’exclure des groupes. Pratique pour tester sur un service pilote avant de généraliser. À noter : le paramètre s’applique aux utilisateurs, pas aux appareils, et les exclusions priment sur les inclusions.
L’accès conditionnel garde le dernier mot
L’authentification par défaut du système ne remplace pas vos stratégies d’accès conditionnel. Si une stratégie exige une méthode précise, elle reste prioritaire. C’est un point clé de votre stratégie de gestion des identités et des accès : le confort de connexion évolue, vos garde-fous restent en place.
Questions fréquentes
Pourquoi Microsoft me demande-t-il la MFA avant mon mot de passe ?
Parce que votre tenant applique l’authentification par défaut du système en mode géré par Microsoft. Entra ID vous propose d’abord la méthode la plus sûre que vous avez enregistrée, par exemple une notification Authenticator ou une clé d’accès. Vous pouvez toujours choisir une autre méthode.
Est-ce que je peux désactiver ce comportement ?
Oui. Un administrateur peut passer le paramètre sur « Activé » pour limiter la logique au second facteur, ou sur « Désactivé » pour revenir à l’ancien fonctionnement. Sur le plan sécurité, la désactivation complète n’est toutefois pas recommandée.
Ce changement renforce-t-il vraiment la sécurité ?
Oui. Les méthodes résistantes au hameçonnage, comme les clés d’accès, sont bien plus difficiles à détourner qu’un mot de passe. En les mettant en avant, Microsoft réduit mécaniquement l’usage des méthodes les plus exposées. Si le sujet vous parle, notre article sur l’authentification multi-facteurs dans Microsoft 365 pose les bases.
La MFA Entra ID franchit une étape : la méthode la plus sûre passe devant, le mot de passe devient un plan B. Pour la plupart des organisations, c’est une avancée nette. Il reste à vérifier trois choses : le mode actif sur votre tenant, l’impact de l’authentification par certificat et la communication auprès de vos utilisateurs.
Vous voulez faire le point sur votre configuration ou être accompagné dans le déploiement des clés d’accès ? Les experts sécurité Microsoft 365 de Dynamips sont là pour ça. Contactez-nous, on en parle autour d’un café (ou d’un Teams, c’est selon).