Microsoft aposenta SMS: guia de migração para passkeys

O que está a mudar: a Microsoft aposenta o SMS nos logins

A Microsoft está a desligar, em duas frentes, a porta de entrada mais usada há décadas: o código SMS. Para contas pessoais, a empresa confirmou planos de eliminar progressivamente o SMS como método de autenticação e de recuperação de conta. Não é um ajuste cosmético nem uma opção que deixe o código alternativo disponível em segundo plano — é uma descontinuação real, com calendário e regras de transição.

O prazo mais duro que precisas de anotar é o do Microsoft Entra ID: a partir de 2027, o SMS e a autenticação por voz fornecidos pela Microsoft deixam de existir por completo. Até lá, quem depende do microsoft sms login em ambientes empresariais tem tempo — mas finito — para reprogramar fluxos e avisar utilizadores. Depois desse prazo, não há modo de exceção: os passkeys passam a ser o método por defeito, e quem ainda usar SMS terá de registar uma passkey antes de entrar. Sem opção de exclusão.

A urgência não é só de calendário, é de segurança. A própria Microsoft classifica o SMS entre as principais fontes de fraude em autenticação, apontando diretamente o phishing e o SIM swap como vetores conhecidos. Na prática, o código de seis dígitos que chega por mensagem já é tratado internamente como risco — chave parcialmente comprometida — e não como fator fiável.

Para planear, o quadro é este: a mudança é estrutural, tem duas velocidades (pessoal e Entra ID), tem uma data-limite concreta em 2027 e elimina qualquer utilização de SMS no modelo por defeito. Se a tua organização ou o teu próprio fluxo pessoal ainda assenta no microsoft sms login, o tempo de preparação existe, mas a decisão de migrar já não é opcional — é inevitável, e quanto mais cedo começares a testar alternativas como passkeys, menos atrito vais ter no degrau final. O âmbito é global e irreversível; a urgência varia consoante usares contas pessoais ou o Entra ID.

SMS vs passkeys: por que o código por SMS é o elo fraco

O SMS OTP inseguro é a maior vulnerabilidade no acesso corporativo atual. Os códigos por SMS podem ser intercetados, o número pode ser clonado via SIM swap e, sobretudo, são alvo de phishing em tempo real: o atacante apanha o código e usa-o de imediato. A Microsoft cita exatamente estes riscos como motor oficial da mudança.

Os passkeys eliminam essa janela por construção. A chave privada nunca sai do dispositivo e o login é validado contra o domínio correto, o que torna phishing quase impossível. No Entra ID há dois tipos: as sincronizadas, como iCloud Keychain e Google Password Manager, e as ligadas ao dispositivo, como Microsoft Authenticator, Windows Hello e chaves FIDO2.

O argumento de custo também cai. O Microsoft Authenticator com aprovação por push é gratuito e, ao eliminar o código temporário, corta a interceção pela raiz. Para stakeholders, a conclusão é direta: o SMS OTP inseguro troca-se por algo mais barato, mais seguro e mais simples de defender.

Como migrar: guia passo a passo para abandonar o SMS

Começa por auditar o tenant: lista todos os utilizadores que ainda dependem de SMS ou voz para MFA e para self-service password reset no Microsoft Entra ID. Este inventário é o teu mapa — sem ele não sabes quem é afetado nem onde focar o esforço. Exporta os relatórios de atividade de autenticação e cruza com as políticas de MFA para teres o número real de dependentes.

Depois, ativa as passkeys no tenant seguindo a documentação oficial em aka.ms/passkeybydefault. Decides ainda quais os tipos a permitir: sincronizadas, ligadas ao dispositivo ou ambas. Esta escolha determina a experiência em dispositivos partilhados e pessoais — por isso alinha-a com a rotina de cada equipa antes de avançar, para evitar atritos no arranque.

Em paralelo, regista um método alternativo em cada conta: Microsoft Authenticator, Windows Hello, chaves FIDO2 ou e-mail verificado como recuperação. Ninguém deve ficar apenas com passkeys sem rede de segurança, casos de troca de dispositivo são comuns e a recuperação é o que evita chamadas à helpdesk.

A migração do SMS para passkeys no Microsoft Entra ID avança melhor por fases: começa por um departamento-piloto, comunica de forma clara aos utilizadores o que muda e quando, e só depois escalas. Mede a taxa de sucesso no piloto e ajusta a comunicação antes do rollout completo. Define uma data interna confortavelmente anterior a 2027 — nunca dependas do prazo final para concluir.

Existe um opt-out temporário para a ativação automática de passkeys via API (passkeyDynamicMigration), mas trata-se apenas de uma almofada de transição. Usa-o para ganhar margem em casos pontuais, não como plano permanente. O objetivo é estar pronto dentro do prazo, com os métodos alternativos já em uso produtivo no terreno e com os utilizadores confortáveis com o novo fluxo de entrada.

Objeções: ‘o SMS funciona e os utilizadores estão habituados’

O hábito é o argumento mais difícil de desmontar, mas o prazo faz o trabalho por ti: depois de 2027, um utilizador com SMS como método principal pode simplesmente ficar bloqueado no início de sessão. Este é o ponto que quebra a resistência — a conversa deixa de ser teórica sobre SMS vs passkeys qual é mais seguro e passa a ser uma urgência operacional concreta.

Uma forma de responder às objeções é lembrar que a alternativa mantém o gesto que já existe. O Microsoft Authenticator é gratuito e oferece exatamente o mesmo ‘aprovar no telemóvel’ que a tua equipa já conhece do SMS, só que sem o elo fraco do código partilhável. Quando alguém perguntar SMS vs passkeys qual é mais seguro, diz isto: o Authenticator entrega a mesma conveniência com muito menos superfície de ataque, sem mudar quase nada no fluxo.

Dito isto, o SMS não precisa de desaparecer por completo. Ele continua aceitável como fallback pontual em cenários limitados — por exemplo, um segundo dispositivo de recuperação para emergências. A única regra é não deixar que seja o método primário nem a única via de recuperação de conta. A exceção pontual é defensável; a dependência não é.

O custo escondido de adiar é o pico único. Se toda a migração ficar para a última semana antes do prazo, concentras o esforço, sobrecarregas a equipa de suporte e multiplicas os incidentes de contas bloqueadas. Migrar em fases, com grupos-piloto, esconde o custo no calendário e transforma a resistência inicial num hábito novo antes de o limite chegar. É o melhor argumento para começar já.

Perguntas frequentes sobre o fim do SMS na Microsoft

Porque é que a Microsoft vai acabar com o SMS no login? O SMS é vulnerável a phishing e SIM swap, e tornou-se uma das principais fontes de fraude. Um atacante não precisa de invadir o servidor: basta convencer a operadora a portar o número ou enganar o utilizador para revelar o código. Cada mensagem de texto é uma janela de ataque.

Quando é que o SMS deixa de funcionar no Microsoft Entra ID? O SMS e a voz fornecidos pela Microsoft são totalmente retirados durante 2027. Depois dessa fase, os métodos geridos pela própria Microsoft deixam de estar disponíveis, por isso o planeamento deve começar agora, não em janeiro.

O que substitui o SMS na autenticação Microsoft? A pergunta mais frequente tem uma resposta direta: Microsoft Authenticator, passkeys sincronizadas e ligadas ao dispositivo, Windows Hello, chaves FIDO2 e e-mail verificado. Nenhuma destas alternativas depende de um código que possa ser intercetado.

Na prática, o que substitui o SMS na autenticação Microsoft resolve a falha de raiz: a verificação passa a estar ligada ao próprio dispositivo e à biometria, não a um número de telemóvel vulnerável a portabilidade fraudulenta. É a diferença entre provar que tem o telemóvel e provar que é você.

Para administradores, o essencial é saber o que substitui o SMS na autenticação Microsoft antes do prazo. A resposta é combinar métodos: habilitar passkeys e Windows Hello para a maioria, manter o e-mail verificado como recuperação e usar o Authenticator como âncora.

E para quem não tem hardware compatível com passkeys? O que substitui o SMS na autenticação Microsoft nesse caso é o Microsoft Authenticator, que funciona no telemóvel que o utilizador já tem, com notificações push e biometria. É a migração de menor atrito para a maioria das equipas.

Cronologia: o que muda até 2027

Para comunicar internamente com datas claras, eis a cronologia. A fase de anúncio arranca em 2025 e prolonga-se por 2026: a Microsoft começa a divulgar a eliminação dos códigos SMS nas contas pessoais e a desencorajar o SMS no Entra ID — o momento certo para alertar as equipas antes de qualquer impacto real.

Em 2026, a mudança torna-se oficial: a Microsoft confirma publicamente que deixa de enviar códigos SMS para contas pessoais, com pressão crescente para passkeys no Windows 11. Isto dá uma data concreta para usar nas comunicações.

Em 2026, as passkeys tornam-se o método por defeito no Microsoft Entra ID. O SMS deixa de ser o caminho padrão.

O marco crítico é durante 2027: é quando o SMS deixa de funcionar no Microsoft Entra ID — SMS e voz são totalmente retirados. Os utilizadores que ainda usem SMS terão de registar uma passkey antes de entrar, sem opt-out.

Perguntas Frequentes

Porque é que a Microsoft vai acabar com o SMS no login?

Porque o SMS é vulnerável a phishing e SIM swap e tornou-se uma das principais fontes de fraude em autenticação. A Microsoft considera que o futuro da autenticação é sem palavra-passe, com passkeys resistentes a phishing.

Quando é que o SMS deixa de funcionar no Microsoft Entra ID?

O SMS e a autenticação por voz fornecidos pela Microsoft serão totalmente retirados durante 2027. Depois dessa fase, utilizadores que ainda usem SMS terão de registar uma passkey antes de iniciar sessão, sem opção de exclusão.

O que substitui o SMS na autenticação Microsoft?

O Microsoft Authenticator, passkeys sincronizadas (iCloud Keychain, Google Password Manager), passkeys ligadas ao dispositivo (Windows Hello, FIDO2) e e-mail verificado para recuperação de conta.