Entra ID stopt op 1 februari 2027 met SMS als eerste factor

Microsoft stopt op 1 februari 2027 met SMS als eerste aanmeldfactor in Microsoft Entra ID. De aankondiging staat in Message Center MC1474104, gepubliceerd op 18 september 2026, en geldt voor workforce-tenants wereldwijd en in GCC. Microsoft noemt betere beveiliging en minder afhankelijkheid van kwetsbare aanmeldmethoden als reden.

Het gaat om aanmelden met een telefoonnummer en een eenmalige SMS-code als primaire methode, in de bron SMS first-factor passwordless sign-in (SignInNoPassword). Voor tenants met Microsoft Entra ID Free had Microsoft SMS als eerste factor al uitgezet, en bij nieuwe tenants wordt het niet meer ingeschakeld. Die eerdere stappen staan in MC1426371, MC1448374 en MC1449181.

Na 1 februari 2027 kunnen gebruikers zich niet meer aanmelden met alleen hun telefoonnummer en een SMS-code. Bestaande configuraties voor SMS als eerste factor worden dan niet meer gehonoreerd, aanmeldpogingen op die manier worden geblokkeerd en de beheeropties verdwijnen uit de beheeromgevingen van Microsoft. Gebruikers met een andere geregistreerde methode kunnen blijven aanmelden, terwijl organisaties die getroffen gebruikers niet op tijd overzetten volgens Microsoft aanmeldstoringen kunnen krijgen.

De uitfasering geldt alleen voor workforce-scenario's. Azure AD B2C en Microsoft Entra External ID voor klantidentiteiten vallen erbuiten. Het einde van SMS als eerste factor geldt ook voor organisaties die via Choose Your Own Telephony Provider SMS of spraak blijven gebruiken als methode voor multifactorauthenticatie.

Microsoft vraagt organisaties die SMS als eerste factor gebruiken om voor 1 februari 2027 de betrokken gebruikers in kaart te brengen, hen een andere aanmeldmethode te laten registreren en hen over de wijziging te informeren. Ook het beleid voor aanmeldmethoden hoort volgens de aankondiging te worden nagelopen op afhankelijkheden van SMS-aanmelding. Als alternatieven noemt Microsoft passkeys, aanmelden met een QR-code, FIDO2-beveiligingssleutels en andere methoden die Entra ID ondersteunt, met phishingbestendige methoden zoals passkeys als voorkeur.

In de toelichting op compliance staat dat organisaties mogelijk ook beleid rond Conditional Access moeten nalopen als dat op SMS als eerste factor steunt. De aankondiging draagt de labels Major change en Retirement, met 1 februari 2027 als datum waarop actie nodig is.