Microsoft tar nästa steg mot säkrare inloggningar. Passkeys blir standard i Microsoft Entra ID och på sikt försvinner Microsofts nuvarande stöd för SMS och telefonsamtal som metod för multifaktorautentisering. Men vad innebär det egentligen för er som använder Microsoft 365?
De flesta företag har idag någon form av multifaktorautentisering, MFA. Det innebär att det inte räcker med användarnamn och lösenord för att logga in, utan användaren behöver också verifiera sin identitet på ytterligare ett sätt.
Det har varit ett viktigt steg för att höja säkerheten. Men alla MFA-metoder ger inte samma skydd.
Därför går Microsoft nu vidare och gör passkeys till standardmetod för autentisering i Microsoft Entra ID, den identitetstjänst som bland annat används för inloggning i Microsoft 365. [microsoft.com]
En passkey kan enklast beskrivas som ett säkrare alternativ till traditionella lösenord och verifieringskoder.
Istället för att logga in med information som går att skriva av, dela eller lura av någon används kryptografisk teknik tillsammans med den enhet ni använder. Microsoft beskriver passkeys som nätfiskeresistenta eftersom det inte finns någon traditionell hemlighet eller kod som användaren kan luras att lämna till en angripare.
För användaren kan inloggningen samtidigt bli enklare. Passkeys kan exempelvis användas tillsammans med lösningar som Windows Hello, Microsoft Authenticator eller en fysisk FIDO2-säkerhetsnyckel.
Tekniken bakom är avancerad, men det behöver användningen inte vara.
SMS och telefonsamtal har länge varit vanliga metoder för MFA och är fortfarande betydligt bättre än att enbart använda lösenord.
Problemet är att dessa metoder fortfarande kan utsättas för bland annat nätfiske och manipulation. Microsoft pekar därför ut passkeys och andra nätfiskeresistenta autentiseringsmetoder som vägen framåt.
Det här är alltså inte bara en ny funktion i Microsoft 365. Det är en del av en större förflyttning mot att göra själva identiteten betydligt svårare att stjäla.
För företag är det viktigt eftersom ett kapat användarkonto kan ge en angripare tillgång till exempelvis e-post, dokument och andra molntjänster som användaren har behörighet till.
Microsofts utrullning startade den 1 september 2026.
Användare som är aktiverade för SMS- eller telefonbaserad autentisering börjar i samband med utrullningen även aktiveras för passkeys och kan få uppmaningar om att registrera en passkey när de verifierar sig med MFA.
Nästa viktiga datum är 1 februari 2027. Då upphör Microsofts egen leverans av SMS och röstsamtal för autentisering i Microsoft Entra ID i det publika Microsoft-molnet. Organisationer som av särskilda skäl behöver fortsätta använda dessa metoder kommer istället behöva använda en extern telekomleverantör.
Microsoft rekommenderar organisationer att gå över till passkeys eller någon annan nätfiskeresistent autentiseringsmetod så snart som möjligt.
Ja, men det behöver inte vara komplicerat.
Det viktigaste är att ni inte väntar tills användarna själva börjar få nya frågor och registreringsdialoger.
Organisationen bör först ta reda på vilka autentiseringsmetoder som används idag, identifiera användare som fortfarande använder SMS eller telefonsamtal och därefter planera hur passkeys ska införas. Microsoft rekommenderar också att berörda användare informeras om förändringen i förväg.
För de flesta företag är vårt råd därför:
Det är bättre att göra förändringen kontrollerat än att låta varje användare hantera den när frågan plötsligt dyker upp.
Som kund hos Projektiva behöver ni inte själva sätta er in i alla tekniska detaljer kring Microsoft Entra ID och olika autentiseringsmetoder.
Vi kan hjälpa er att gå igenom hur er Microsoft 365-miljö ser ut idag, vilka autentiseringsmetoder som används och hur en lämplig övergång kan genomföras för just er verksamhet.
Målet är inte att införa ny teknik för teknikens skull.
Målet är en inloggning som är både enklare för användaren och betydligt svårare för en angripare att komma runt.
Kontakta Projektiva så hjälper vi er att kontrollera er nuvarande lösning och planera nästa steg.
Sebastian Åhlman
