Llega el mayor cambio de autenticación de la historia de Microsoft Entra ID. El 13 de julio de 2026, Microsoft anunció que las passkeys se convertirán en el método de autenticación resistente al phishing predeterminado en Entra ID, y que el MFA por SMS y voz proporcionado por Microsoft se retirará por completo en febrero de 2027. No es una sugerencia ni una recomendación: es una transición forzosa sin opción de exclusión.

Junto a este anuncio de gran calado, Microsoft también anunció formalmente el calendario de retirada de Custom Controls en Conditional Access (MC1422061), lo que da a las organizaciones una fecha límite firme para migrar a External MFA.

Veamos ambos anuncios, los calendarios y exactamente lo que tu organización tiene que hacer.

1. Las passkeys se convierten en el método de autenticación predeterminado de Entra ID

Anunciado: 13 de julio de 2026 Fuente: Microsoft Security Blog Nube: Nube pública (las demás nubes seguirán con un calendario propio)

El panorama general

Microsoft está ejecutando una transición en varias fases para dejar atrás el MFA basado en SMS y voz y pasar a las passkeys, y no va a dejar en manos de cada organización la decisión de participar o no. El despliegue es automático, gestionado por Microsoft y, en última instancia, obligatorio.

El motivo queda claro con los datos de inteligencia de amenazas que cita Microsoft:

  • Las campañas de phishing impulsadas por IA alcanzan ahora tasas de clics de hasta el 54 %, frente a aproximadamente el 12 % de las campañas de phishing tradicionales
  • Microsoft observa más de 4.000 ataques basados en contraseñas por segundo
  • El SIM swapping y las técnicas de elusión del MFA se han vuelto más accesibles y repetibles, amplificadas por las herramientas de IA

La autenticación por SMS y voz se basa en secretos compartidos y canales que los atacantes interceptan, suplantan o manipulan cada vez más. Las passkeys, basadas en criptografía de clave pública, son resistentes al phishing por diseño: no se pueden interceptar, reutilizar ni obtener mediante ingeniería social como ocurre con los códigos SMS.

El calendario: cuatro fechas clave

1 de septiembre de 2026: las passkeys pasan a ser el método predeterminado

Microsoft inicia un despliegue gradual en todos los tenants de Entra ID de la nube pública. A medida que el despliegue llegue a cada organización:

  • Los usuarios que tienen habilitada la autenticación por SMS o voz quedan habilitados automáticamente para passkeys
  • La próxima vez que esos usuarios realicen el MFA, se les pedirá que registren una passkey durante el inicio de sesión
  • Se habilitará una campaña de registro gestionada por Microsoft y dirigida a las passkeys en todos los tenants aptos para impulsar la adopción

No hace falta ninguna acción del administrador para activarlo: ocurre automáticamente cuando el despliegue llega a tu inquilino (tenant).

18 de septiembre de 2026: se publican los detalles de los partners de telecomunicaciones

Microsoft compartirá información sobre los proveedores de telecomunicaciones admitidos, que incluirá:

  • Precios y condiciones comerciales
  • Guía de implementación y documentación técnica
  • Una lista de los operadores admitidos disponibles a través de Microsoft Security Store

Esto va dirigido a las organizaciones que tienen un requisito normativo, técnico o de negocio para mantener la autenticación por SMS o voz. Si puedes pasar a todo el mundo a passkeys, puedes ignorarlo por completo.

30 de octubre de 2026: se abre la configuración de partners de telecomunicaciones

Los administradores ya pueden seleccionar y configurar un proveedor de telecomunicaciones admitido a través de Microsoft Security Store. Puntos clave:

  • Los clientes contratan directamente con los operadores admitidos
  • Los clientes asumen todos los costes de telecomunicaciones que cobre el proveedor
  • Microsoft dejará de absorber los cargos de entrega de SMS/voz
  • Las organizaciones deberían probar las configuraciones con un grupo piloto antes de un despliegue amplio

1 de febrero de 2027: se retiran el SMS y la voz proporcionados por Microsoft

Esta es la fecha límite firme:

  • Termina la entrega de telecomunicaciones proporcionada por Microsoft para la autenticación por SMS y voz
  • El SMS y la voz dejan de ofrecerse como capacidad nativa de Microsoft Entra ID
  • Los usuarios que sigan dependiendo del SMS o la voz para el MFA tendrán que registrar una passkey antes de poder iniciar sesión
  • Los avisos automáticos de registro de passkeys se aplicarán a todos los usuarios de todos los tenants
  • No habrá opción de exclusión

Cualquier uso continuado de SMS o voz a partir de esa fecha deberá pasar por un partner de telecomunicaciones configurado por el cliente a través de Security Store.

Tipos de passkeys admitidos en Entra ID

Microsoft Entra ID admite varios tipos de passkeys, lo que da a las organizaciones flexibilidad en su implementación:

Passkeys sincronizadas:

  • Se almacenan en administradores de credenciales de la plataforma como iCloud Keychain y Google Password Manager
  • Están disponibles en todos los dispositivos del usuario
  • Disponibles con carácter general en Entra ID desde junio de 2026

Passkeys vinculadas al dispositivo:

  • Passkeys de Microsoft Authenticator: se almacenan en la aplicación Authenticator de un dispositivo concreto
  • Passkeys de Entra en Windows: se registran directamente en el contenedor de Windows Hello y funcionan con la biometría o el PIN de Windows Hello
  • Llaves de seguridad FIDO2: llaves basadas en hardware de fabricantes como Yubico

Todas funcionan como credenciales FIDO2 y se gestionan mediante perfiles de passkey en la directiva de métodos de autenticación, que pasaron a disponibilidad general en junio de 2026.

Por qué importa para tu organización

Si tu organización todavía tiene usuarios con MFA por SMS o voz (y muchas los tienen, sobre todo trabajadores de primera línea, cuentas de emergencia o usuarios de regiones con baja adopción de smartphones), esta transición te va a llegar estés preparado o no.

La buena noticia: Microsoft ha creado la infraestructura para que sea relativamente indolora. El marco de passkeys, las campañas de registro, la autenticación preferida por el sistema y los perfiles de passkey ya están implantados y disponibles con carácter general. La habilitación automática significa que no tienes que activar manualmente nada para cada usuario.

La mala noticia: si tienes requisitos normativos u operativos reales de SMS/voz, te espera una nueva relación con un proveedor, nuevos costes y una fecha límite de configuración del 30 de octubre de 2026. Y si se te pasa la fecha límite de febrero de 2027, tus usuarios quedarán bloqueados hasta que registren una passkey.

Cómo prepararte

Paso 1: audita tus métodos de autenticación (hazlo ya)

Revisa tu directiva de métodos de autenticación en el centro de administración de Entra. Identifica qué usuarios y grupos siguen habilitados para la autenticación por SMS o voz. Clasifícalos por función de negocio, nivel de riesgo y si tienen una necesidad normativa u operativa real de seguir con SMS/voz.

Paso 2: planifica el despliegue de passkeys

Habilita las passkeys (FIDO2) en tu directiva de métodos de autenticación si aún no lo has hecho. Elige los tipos de passkey que mejor se adapten a los dispositivos y flujos de trabajo de tus usuarios. Usa las campañas de registro para animar a los usuarios a registrar passkeys durante el inicio de sesión: es el mismo mecanismo que Microsoft usará para el despliegue automático, así que puedes adelantarte.

Paso 3: prepara la comunicación con los usuarios

Tus usuarios necesitan saber qué cambia, cuándo verán los avisos de passkey y cómo completar el registro en su dispositivo. Esto es especialmente importante para los trabajadores de primera línea y los usuarios no técnicos que quizá no conozcan las passkeys. Ofrece instrucciones paso a paso y recursos de soporte.

Paso 4: gestiona los requisitos residuales de SMS/voz

Para los usuarios que realmente no pueden usar passkeys (escenarios regulados, dispositivos heredados, necesidades operativas concretas):

  1. Documenta los segmentos de usuarios y los casos de uso afectados
  2. A partir del 30 de octubre de 2026, selecciona y configura un proveedor de telecomunicaciones admitido en Microsoft Security Store
  3. Prueba con un grupo piloto antes de un despliegue amplio
  4. Completa el cambio antes del 1 de febrero de 2027

Paso 5: aprovecha la autenticación preferida por el sistema

La autenticación preferida por el sistema de Entra ID (ampliada al primer factor en junio de 2026) selecciona automáticamente el método de autenticación registrado más sólido de cada usuario. A medida que los usuarios registren passkeys, el sistema las preferirá de forma natural frente a métodos más débiles, lo que puede habilitar el inicio de sesión sin contraseña para los usuarios con credenciales de passkey sólidas.

Funciones relacionadas de Entra ID que ya están disponibles

Varias actualizaciones de Entra ID de junio de 2026 sientan las bases de esta transición:

  • GA de las passkeys sincronizadas: el tipo de passkey que la mayoría de los usuarios encontrará primero
  • GA de los perfiles de passkey: marco administrativo para gestionar distintas configuraciones de passkey por grupo de usuarios
  • Las campañas de registro admiten passkeys: el mecanismo de incentivo que usará Microsoft
  • La autenticación preferida por el sistema se amplía al primer factor: preferencia automática por los métodos más sólidos
  • SSPR exige métodos registrados (7 de septiembre de 2026): cambio complementario que garantiza que el restablecimiento de contraseña solo use métodos registrados
  • Aplicación de Conditional Access durante el registro de credenciales (6 de julio de 2026): cierra brechas de seguridad durante la inscripción en Windows Hello y macOS Platform SSO

2. Retirada de Custom Controls en Conditional Access

Anunciado: 9 de julio de 2026 (MC1422061) Fuente: M365 Message Center Actuar antes de: 30 de abril de 2027

Qué está pasando

Microsoft retira formalmente Custom Controls en Conditional Access, el marco heredado para integrar proveedores de MFA de terceros con las directivas de Entra ID. Su sustituto es External MFA (antes llamado External Authentication Methods o EAM), que ya está disponible con carácter general y ofrece una integración moderna y basada en estándares mediante OpenID Connect.

El calendario

Septiembre de 2026: los administradores ya no podrán crear nuevos Custom Controls ni modificar los Custom Controls existentes en las directivas de Conditional Access. Los Custom Controls existentes seguirán funcionando.

Mayo de 2027: los Custom Controls se retiran por completo y dejan de ser compatibles. Todas las directivas de Conditional Access que usen Custom Controls deben migrarse a External MFA antes de esa fecha.

A quién afecta

A las organizaciones que usan actualmente Custom Controls en directivas de Conditional Access, normalmente las que integran proveedores de MFA de terceros como Duo Security, Okta u otras soluciones de verificación de identidad. Si no usas Custom Controls, no tienes que hacer nada.

Ruta de migración

  1. Revisa tus directivas de Conditional Access e identifica las que usen Custom Controls
  2. Configura tu proveedor de MFA de terceros como External Authentication Method en Entra ID
  3. Actualiza las directivas de Conditional Access afectadas para que usen el control de concesión estándar «Requerir autenticación multifactor» (que ahora admite External MFA)
  4. Valida los flujos de autenticación y confirma que la migración se ha completado correctamente
  5. Elimina todas las referencias a Custom Controls una vez completada la migración

Por qué importa

Custom Controls fue un puente útil para integrar MFA de terceros, pero tenía limitaciones: no se integraba a fondo con Conditional Access, no podía participar en la autenticación preferida por el sistema y operaba fuera del marco de autenticación moderna. External MFA resuelve todos estos problemas al usar los estándares de OpenID Connect y ofrecer una integración nativa con la evaluación de directivas de Conditional Access.

Junto con el anuncio de passkeys por defecto, esto significa que las organizaciones que usan proveedores de MFA de terceros tienen que tomar dos decisiones:

  1. ¿Puedes pasar a passkeys en lugar de tu MFA de terceros? Si es así, puedes saltarte External MFA por completo y usar las passkeys nativas de Entra ID.
  2. Si necesitas mantener tu proveedor de MFA de terceros, migra de Custom Controls a External MFA antes de septiembre de 2026 (cuando ya no podrás modificar los Custom Controls) y, sin falta, antes de mayo de 2027.

El panorama general: la estrategia final de autenticación de Microsoft

Estos dos anuncios, tomados en conjunto, revelan la dirección estratégica de Microsoft para la autenticación en Entra ID:

  1. La autenticación resistente al phishing se convierte en la opción predeterminada, no en la opción premium. Las passkeys son gratuitas, automáticas y, con el tiempo, obligatorias. No requieren ninguna licencia adicional.

  2. Los métodos de autenticación susceptibles de phishing se están eliminando: no se declaran obsoletos, se retiran. El SMS y la voz no reciben una etiqueta de advertencia; se eliminan de la plataforma por completo (en lo que respecta a la entrega proporcionada por Microsoft).

  3. El ecosistema se está consolidando en torno a estándares. Custom Controls (integración propietaria) → External MFA (estándares de OpenID Connect). SMS/voz (basados en telecomunicaciones) → passkeys (estándares FIDO2/WebAuthn). Microsoft está reduciendo el número de vías de autenticación y convergiendo en estándares del sector.

  4. La transición la gestiona Microsoft, no los administradores. El despliegue de passkeys se produce automáticamente. Microsoft habilita las campañas de registro. La autenticación preferida por el sistema selecciona automáticamente el método más sólido. Los administradores no tienen que hacer la transición de los usuarios manualmente: Microsoft lo hace por ellos.

Para las organizaciones, el mensaje es claro: se acabó la época de «ya llegaremos a las passkeys algún día». La transición está en marcha, el calendario está publicado y las fechas límite son firmes. El momento de planificar es ahora.

Recursos

Sobre el autor: Kevin Kaminski es el fundador de Big Hat Group Inc., un partner de Microsoft con más de 20 años de trayectoria especializado en tecnologías de IA y de nube. Síguelo en X en https://x.com/kkaminsk para conocer las últimas novedades sobre infraestructura y seguridad de Microsoft.