Microsoft confirmó que dejará de enviar por su cuenta los códigos por SMS y las llamadas de verificación en Microsoft Entra ID, el sistema de identidad de Microsoft 365. El cambio está en el aviso MC1426371 del Centro de mensajes, publicado en julio y actualizado el 15 de septiembre, y en la documentación de Microsoft Learn (revisada el 23 de septiembre).
Hay tres fechas que importan a una PyME:
| Fecha | Qué pasa |
|---|---|
| 1 de septiembre de 2026 | Ya pasó: las llaves de acceso (passkeys) quedaron activadas por defecto para quien usa SMS o voz, con un aviso de registro que se puede posponer |
| 30 de octubre de 2026 | Abre la configuración de proveedores de telefonía propios en Microsoft Security Store, para quien necesite seguir con SMS o voz |
| 1 de febrero de 2027 | Se retira el SMS y la voz de Microsoft para todos los usuarios, salvo administradores globales y externos |
| 1 de julio de 2027 | Se retira también para administradores globales y usuarios externos (B2B) |
Fuente: Microsoft Learn. La primera versión del aviso y algunos resúmenes de terceros manejaron otras fechas de cierre; la documentación vigente marca el 1 de febrero y el 1 de julio.
Qué se retira exactamente
La entrega de códigos por SMS y de llamadas automáticas que Microsoft hacía con sus propios operadores telefónicos. Aplica a:
- El segundo factor (MFA) al iniciar sesión en Microsoft 365, Teams, Outlook y cualquier app conectada a Entra ID.
- El autoservicio de restablecimiento de contraseña (SSPR). Las preguntas frecuentes de Microsoft lo dicen sin rodeos: el retiro aplica en todo Entra, SSPR incluido.
- El inicio de sesión solo con SMS (sin contraseña), que usan algunas empresas para personal de piso o mostrador. Este desaparece incluso si contratas proveedor: Microsoft no lo soportará como método principal.
Quedan fuera los tenants de Azure AD B2C y, por ahora, Entra External ID (Microsoft anunciará su calendario aparte), además de los métodos de MFA externos. Microsoft Authenticator, las llaves de seguridad FIDO2 y Windows Hello no cambian.
Qué pasa el 1 de febrero si no haces nada
El usuario no queda bloqueado, pero casi: si su único segundo factor es SMS o voz, al iniciar sesión verá una pantalla que le exige registrar una llave de acceso antes de continuar. Ya no podrá posponerla. Microsoft lo marca en negritas en su documentación: no hay forma de desactivar esa exigencia para los usuarios incluidos.
En una empresa ordenada es un minuto por persona. Con veinte personas que no saben qué es una llave de acceso o que comparten cuenta, el lunes 1 de febrero será una mañana de llamadas a soporte.
La opción de pagar: proveedor propio desde el 30 de octubre
Para quien tenga una razón real para seguir con SMS o voz, Microsoft habilita Choose Your Own Telephony Provider: contratas un operador a través de Microsoft Security Store y Entra le pasa las solicitudes. Lo que se sabe hoy:
- Proveedores iniciales: Soprano (con oferta por usuario o por transacción) y Telesign. Microsoft dice que habrá más al llegar la disponibilidad general.
- Costo: lo que cobre el proveedor según su tarifa, la región y el volumen, más el consumo de una función de enrutamiento en tu suscripción de Azure, que Microsoft describe como mínimo. No hay una tarifa única publicada; revisa la ficha de cada proveedor en Security Store y confirma que cubra números de México.
- Requisitos: suscripción de Azure, contrato directo con el proveedor y alguien que lo opere. Si un mensaje no llega, el soporte es del proveedor, no de Microsoft.
- Configuración: un proveedor para SMS y otro para voz, con un modo de evaluación que permite probar sin afectar a los usuarios.
Microsoft lo plantea como excepción, solo para grupos con un requisito regulatorio u operativo documentado. Para la mayoría de las PyMEs, pagar por seguir mandando SMS es pagar por conservar el método más débil: el código por SMS se puede robar con un cambio de SIM o con una página falsa que lo pide en tiempo real.
Qué hacer antes del 1 de febrero
- Saca la lista de quién usa SMS o voz. Microsoft publicó un script de PowerShell (entra-sms-voice-usage-analyzer, en su GitHub) que lo identifica; también sirve el reporte Métodos de autenticación → Detalles de registro de usuarios de Entra.
- No apagues el aviso de registro de llaves de acceso. Desde septiembre, Entra invita a esos usuarios a registrar una passkey al iniciar sesión. Existe una forma temporal de desactivarlo hasta el 1 de febrero, pero solo pospone el problema.
- Elige el método por perfil. Oficina con celular propio: llave de acceso en Microsoft Authenticator o sincronizada en el celular. Equipos Windows fijos: Windows Hello. Personal sin celular de empresa o en piso: llaves de seguridad FIDO2 o código QR.
- Empieza por los administradores, aunque su fecha sea julio. Son las cuentas más atacadas. Revisa también las de proveedores externos (B2B).
- Cubre el restablecimiento de contraseña. Si tu SSPR solo pide código por SMS, agrega Authenticator como opción ya, y deja escrito quién verifica identidad y restablece cuando alguien se quede fuera.
- Decide por escrito si necesitas proveedor. Si algún grupo de verdad no puede usar otra cosa, mira las ofertas desde el 30 de octubre y deja configurado y probado el proveedor al menos cuatro semanas antes del 1 de febrero, como recomienda Microsoft.
- Comunícalo antes de diciembre. Un correo y una sesión corta por área; en enero, con cierre fiscal, nadie lo leerá.
Contexto
Microsoft está cerrando varias puertas viejas de Microsoft 365 al mismo tiempo: el celular del directorio para restablecer contraseñas en noviembre, la autenticación básica de SMTP en diciembre y ahora la telefonía propia en febrero. Juntos y sin plan generan semanas de soporte. En ciberseguridad revisamos los métodos de tu tenant, movemos a cada grupo al que le corresponde y dejamos el procedimiento de soporte por escrito.
