Microsoft Entra empieza a impulsar passkeys como opción principal de autenticación
Desde septiembre Microsoft avanza con un cambio que promueve passkeys para usuarios que todavía dependen de SMS o llamadas.
Desde septiembre Microsoft avanza con un cambio que promueve passkeys para usuarios que todavía dependen de SMS o llamadas.
1. Passkeys empiezan a desplazar SMS y llamadas
Microsoft anunció que desde el 1 de septiembre comienza a promover passkeys como método predeterminado en escenarios compatibles.
Passkeys se presentan como resistentes al phishing.
La noticia merece atención porque no se limita a una función aislada: cambia la forma en que una empresa puede plantear entra empieza a impulsar passkeys como opción principal de autenticación dentro de un entorno real de trabajo.
2. Por qué Microsoft impulsa este cambio
El cambio afecta especialmente a usuarios acostumbrados a SMS o voz.
Microsoft anunció que la prestación nativa de SMS y voz para MFA tiene fecha de finalización prevista para el 1 de febrero de 2027.
Microsoft anunció que la prestación nativa de SMS y voz para MFA tiene fecha de finalización prevista para el 1 de febrero de 2027.
3. Resistencia al phishing como objetivo
En seguridad, una herramienta nueva no reemplaza controles básicos: inventario, mínimo privilegio, MFA resistente al phishing, protección de endpoints, logging y respuesta siguen siendo necesarios.
En términos prácticos, el equipo técnico debería separar tres preguntas: qué hace la nueva capacidad, qué permisos necesita y qué ocurre cuando falla. Esa separación evita evaluar una tecnología únicamente por una demostración exitosa.
4. Qué ocurre con usuarios y dispositivos antiguos
Conviene diferenciar entre prevención, detección, priorización y remediación porque una sola solución rara vez cubre todo el ciclo.
Para una organización, el impacto puede aparecer en productividad, seguridad, continuidad, costos o capacidad de soporte. La prioridad dependerá del proceso afectado y de cuánto daño produciría una configuración incorrecta.
5. La fecha prevista para retirar SMS y voz nativos
| Pregunta | Qué conviene revisar | Por qué importa |
|---|---|---|
| ¿Quién lo usa? | Usuarios, roles, cuentas de servicio y agentes autorizados | Reduce accesos innecesarios |
| ¿Qué datos toca? | Origen, destino, retención y clasificación de la información | Evita exposición o uso fuera de política |
| ¿Cómo se audita? | Logs, historial de acciones, alertas y responsable | Permite investigar errores e incidentes |
| ¿Qué pasa si falla? | Procedimiento manual, rollback y dependencia externa | Protege continuidad operativa |
| ¿Cuánto cuesta? | Licencias, consumo, infraestructura y soporte | Evita escalar una solución económicamente inviable |
6. Recuperación de cuenta antes de migrar
Las capacidades basadas en IA deben tratarse como componentes privilegiados cuando pueden leer código, consultar datos sensibles o ejecutar acciones.
Una buena prueba piloto debería utilizar un caso real, un grupo limitado y métricas definidas antes de empezar. Así se puede comparar el proceso anterior con el nuevo y decidir si la mejora justifica ampliar el despliegue.
- Antes: documentar el proceso actual y sus tiempos.
- Durante: registrar errores, excepciones, costos y acciones manuales necesarias.
- Después: comparar resultados y decidir si se amplía, ajusta o descarta la implementación.
7. Controles de seguridad que no deberían faltar
- Mínimo privilegio: entregar únicamente los permisos necesarios para la función.
- Identidad fuerte: aplicar MFA resistente al phishing cuando la plataforma lo permita.
- Registro: conservar evidencia suficiente de accesos y cambios.
- Revocación: poder retirar rápidamente sesiones, tokens, integraciones o cuentas.
- Revisión periódica: validar que los permisos sigan siendo necesarios.
8. Recomendaciones para administradores de Entra
- Verificar la disponibilidad real: confirmar región, edición, licencia o fase de despliegue antes de comunicarla como activa para todos.
- Empezar pequeño: utilizar un piloto controlado antes de habilitar la función de manera masiva.
- Definir propietario: una persona o área debe responder por configuración, costos y revisión periódica.
- Proteger datos y accesos: aplicar permisos mínimos y evitar entregar información sensible sin necesidad.
- Preparar reversión: documentar cómo volver al proceso anterior si la nueva capacidad genera fallos.
- Medir el beneficio: comparar tiempo, calidad, riesgo y costo antes y después.
adoptar la novedad únicamente cuando exista un caso de uso claro, controles definidos y una forma objetiva de comprobar que mejora el servicio.
Microsoft Security Blog — Despliegue desde 01/09/2026.
https://www.microsoft.com/en-us/security/blog/2026/07/13/microsoft-entra-id-security-updates-passkeys-are-the-default-authentication-method-in-entra-id/
✍️ Artículo preparado por ARPYNET a partir de la fuente indicada. La fecha editorial de este post es 04/09/2026. Cuando la fuente original es anterior al día de publicación, el artículo se identifica expresamente como actualidad reciente, análisis vigente o cambio próximo.