Simplificação do registro de MFA passwordless

 

A experiência de registro de métodos de autenticação do Microsoft Entra ID agora segue a ideia de reduzir a dependência de senhas durante o onboarding e facilitar a adoção de métodos de autenticação resistentes a phishing, como Passkeys, Windows Hello for Business e Platform SSO.

A mudança é especialmente interessante para organizações que estão tentando construir um ambiente realmente passwordless. Em vez de o usuário precisar primeiro configurar um método tradicional de MFA para depois registrar uma credencial passwordless, o fluxo está sendo simplificado para permitir que uma credencial passwordless seja utilizada como o primeiro método de MFA em determinados cenários. 

O problema do onboarding tradicional

Em muitos ambientes Microsoft 365, o processo de entrada de um novo funcionário ainda segue uma sequência parecida com esta: o usuário recebe uma conta com senha, realiza o primeiro login, configura o Microsoft Authenticator, confirma o MFA e somente depois registra Windows Hello for Business ou uma passkey. Esse modelo funciona, mas cria uma dependência temporária da senha e aumenta a quantidade de etapas necessárias para colocar o usuário em um ambiente passwordless.

Para empresas com centenas ou milhares de usuários, esse processo também pode representar uma carga significativa para o Service Desk.

O que está mudando

A Microsoft está permitindo que determinados métodos passwordless participem diretamente do processo de registro inicial. Na prática, uma passkey, Windows Hello for Business ou Platform SSO pode assumir um papel mais importante no bootstrap da identidade, reduzindo a necessidade de configurar primeiro outro método de MFA.

Isso é particularmente relevante para novos usuários que ainda não possuem métodos de autenticação registrados. O objetivo é fazer com que a organização consiga levar o usuário para um estado passwordless muito mais rapidamente.

Passkeys como primeiro método de MFA

As passkeys utilizam FIDO2/WebAuthn e são baseadas em criptografia de chave pública. Durante o registro, uma chave privada é criada e protegida pelo dispositivo ou pelo autenticador escolhido. O Microsoft Entra mantém a chave pública correspondente. No momento do login, o dispositivo comprova que possui a chave privada sem revelar essa chave ao serviço.

Isso torna a autenticação resistente a phishing e elimina um dos principais problemas das senhas: o segredo que precisa ser digitado pelo usuário. A Microsoft também está ampliando o suporte para diferentes tipos de passkeys, incluindo passkeys sincronizadas e credenciais vinculadas ao dispositivo. 

E o Windows Hello for Business?

O Windows Hello for Business também ganha importância nesse cenário. Em um computador Windows, o usuário pode utilizar PIN, reconhecimento facial ou impressão digital para desbloquear uma credencial criptográfica protegida pelo dispositivo. O resultado é uma experiência em que o usuário não precisa necessariamente digitar uma senha para autenticar no Microsoft Entra.

A Microsoft inclusive passou a permitir o registro de Microsoft Entra passkey no Windows, uma credencial vinculada ao dispositivo e armazenada no contêiner local do Windows Hello. Esse recurso está atualmente em preview. 

O impacto no onboarding

Imagine um funcionário entrando na empresa hoje.

Em um modelo tradicional:

Conta → senha → MFA → Authenticator → Windows Hello → passwordless

Em um modelo mais moderno:

Conta → primeiro fator controlado → Passkey/Windows Hello → passwordless

A diferença parece pequena, mas em escala pode simplificar bastante o processo de onboarding.

Também reduz a quantidade de credenciais que o usuário precisa conhecer e administrar.

E o Temporary Access Pass?

O Temporary Access Pass (TAP) continua sendo uma peça importante para o bootstrap.

Ele pode ser utilizado para permitir que um usuário se autentique temporariamente e registre uma credencial passwordless, especialmente quando ainda não existe nenhum método forte registrado.

Isso é particularmente útil para novos funcionários, recuperação de conta, troca de dispositivo, primeiro registro do Windows Hello, registro de passkeys e cenários de onboarding remoto.

A diferença é que o TAP pode funcionar como uma ponte controlada até que o usuário estabeleça sua credencial passwordless definitiva.

Conditional Access também entra nessa história

Outro ponto importante é que o registro de informações de segurança pode ser protegido por Conditional Access.

A Microsoft permite tratar o processo de registro de informações de segurança como uma superfície que precisa ser protegida por políticas de acesso condicional.

Isso permite estabelecer requisitos como MFA, authentication strength, dispositivo compatível, localização, risco do usuário e risco de login.

A partir de julho de 2026, políticas direcionadas à ação Register security information também passaram a ser aplicadas durante determinados fluxos de registro do Windows Hello for Business e macOS Platform SSO. 

O grande benefício: reduzir a dependência de SMS

Essa mudança também acontece em um momento estratégico para o Microsoft Entra.

A Microsoft anunciou que pretende tornar as passkeys o método padrão de autenticação e retirar gradualmente o suporte aos métodos de SMS e voz fornecidos pela própria Microsoft.

A partir de 1º de setembro de 2026, usuários atualmente habilitados para SMS ou voz serão colocados em um processo de adoção de passkeys. Em 1º de fevereiro de 2027, os métodos de SMS e voz fornecidos pela Microsoft serão aposentados. 

Isso deixa clara a direção da plataforma: passkeys deixam de ser apenas uma alternativa e passam a ser parte central da estratégia de autenticação do Entra.

Registro de passkeys em escala

Para acelerar essa migração, o Entra possui o recurso Registration Campaign. O administrador pode criar uma campanha para apresentar aos usuários um convite para registrar uma passkey durante o processo normal de login. O usuário realiza sua autenticação e, depois, recebe o convite para configurar a nova credencial, permitindo que a organização faça uma migração gradual sem precisar entrar em contato manualmente com cada funcionário.

Segurança x conveniência

Um dos pontos mais interessantes dessa mudança é que ela não tenta simplesmente tornar o processo mais fácil, mas também que o método mais seguro também seja o mais conveniente.

Se o método seguro exige muitas etapas, os usuários tendem a procurar alternativas. Se a autenticação passwordless for mais rápida e simples que uma senha + MFA, a própria experiência passa a incentivar a adoção.

Para equipes de IAM e Microsoft 365, essa mudança exige uma revisão do processo de onboarding.

Em vez de pensar apenas em como entregar uma senha para o novo funcionário, o desenho passa a ser como estabelecer uma identidade confiável e entrego uma credencial passwordless ao usuário.

Uma estratégia moderna pode combinar:

• Entra ID para identidade
• TAP para bootstrap
• Conditional Access para proteger o registro
• Windows Hello for Business para dispositivos Windows
• Passkeys para autenticação resistente a phishing
• Intune para gerenciamento dos dispositivos
• PIM para proteger identidades privilegiadas

A simplificação do registro de MFA passwordless pode parecer apenas uma alteração de experiência do usuário, mas representa uma mudança muito maior na estratégia do Microsoft Entra.

Para organizações que utilizam Entra ID + Intune + Windows Hello for Business, esse é um excelente momento para revisar o processo de onboarding e começar a tratá-lo como um fluxo de identidade passwordless desde o primeiro acesso, em vez de fazer a migração depois que o usuário já está estabelecido no ambiente.

E, considerando a aposentadoria planejada dos métodos de SMS e voz, essa deixou de ser apenas uma tendência tecnológica: a preparação para passkeys já deveria fazer parte do roadmap de identidade das empresas. 

Me acompanhe em outras redes sociais: iamjuliaribeiro | Instagram, Twitch | Linktree