Entra ID Registro MFA Sin Contraseña: qué simplificó Microsoft y por qué importa para el despliegue

Entra ID Registro MFA Sin Contraseña: qué cambia

Durante años, Microsoft Entra ID ha obligado a los nuevos usuarios a seguir un flujo de incorporación de "método más débil primero": antes de poder registrar una passkey, una llave de seguridad FIDO2, Windows Hello for Business, macOS Platform SSO o el inicio de sesión sin contraseña de Microsoft Authenticator, primero había que configurar un método MFA de referencia, normalmente SMS o llamada de voz. Ese orden convertía los métodos vulnerables al phishing y al SIM-swapping en el punto de entrada por defecto de cada nueva identidad, incluso en los tenants que querían passkeys en todas partes. El cambio Entra ID registro MFA sin contraseña que Microsoft está desplegando ahora elimina ese requisito.

Según el seguimiento del Microsoft 365 message center (MC1450133, resumido por PUPUWEB y OurCloudNetwork, y recogido esta semana en la discusión comunitaria de r/AZURE y r/entra), los usuarios elegibles podrán registrar una passkey sincronizada, una passkey de Microsoft Entra en Windows, o una llave de seguridad FIDO2 como su primer método de autenticación — sin necesidad de pasar antes por SMS o voz.

Según las mismas fuentes de seguimiento, el despliegue se realiza por fases:

• Fase 1 — passkeys sincronizadas, passkeys de Microsoft Entra en Windows y llaves de seguridad FIDO2 — comienza a desplegarse en todo el mundo y en tenants GCC a mediados de octubre de 2026, con finalización prevista para mediados de noviembre de 2026.
• Fase 2 — extensión del registro sin contraseña como primer factor a Windows Hello for Business, macOS Platform SSO y el inicio de sesión sin contraseña por teléfono de Microsoft Authenticator — llega después.

Los administradores no pierden el control: la política de métodos de autenticación existente y el Conditional Access siguen determinando qué métodos están realmente disponibles y para quién. El cambio reduce la fricción de registro, no activa silenciosamente las passkeys para los tenants que no han habilitado el método.

Cómo funciona

El registro sin contraseña como primer método se apoya en infraestructura que ya existe en Entra ID: la política de métodos de autenticación (qué métodos de autenticación están habilitados en todo el tenant, incluido FIDO2/passkey con Allow self-service setup) y la función registration campaign, que empuja a los usuarios ya conectados hacia un método objetivo después de completar el MFA.

Según la documentación de Microsoft Learn sobre la registration campaign, la campaña se configura mediante el bloque registrationEnforcement.authenticationMethodsRegistrationCampaign de la política de métodos de autenticación (legible/modificable vía Microsoft Graph en GET/PATCH https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy), con estas propiedades:

Cuando se usa el estado Microsoft managed, Microsoft ya está desplazando progresivamente el objetivo de Authenticator hacia fido2 (passkeys) y reduciendo el intervalo de aplazamiento a 1 día — pero también desactivando el límite de registro obligatorio tras 3 aplazamientos, de modo que los avisos se vuelven más frecuentes mientras el registro forzado permanece desactivado para los tenants que no han establecido valores explícitos — algo que conviene saber antes de asumir que el objetivo de tu campaña actual sigue siendo el que configuraste hace meses.

Detección: qué revisar en tu tenant

Antes de que llegue la Fase 1, confirma qué está realmente configurado para permitir tu tenant y quién se está registrando de verdad:

Remediación: preparándose para el despliegue

1. Activa el método passkey (FIDO2) con configuración de autoservicio, si aún no lo has hecho — es el requisito previo para que los usuarios se beneficien del registro sin contraseña como primer método.
2. Decide ya el objetivo de tu registration campaign. Si quieres que los nuevos usuarios lleguen a las passkeys en lugar de a las notificaciones push de Authenticator, establece explícitamente targetedAuthenticationMethod en fido2 en lugar de depender de los valores por defecto gestionados por Microsoft, que cambian según el calendario de Microsoft, no el tuyo.
3. Revisa el Conditional Access sobre "Register security information". Si el registro solo debe producirse desde dispositivos gestionados o redes de confianza, confirma que esa política se sigue aplicando una vez que el sin contraseña se convierte en la opción de primer contacto, no solo en una mejora posterior — consulta nuestra guía de brechas de Conditional Access para ver los errores más comunes.
4. Haz una prueba piloto antes de que finalice la Fase 1 en tu región. Los avisos de passkey se evalúan por combinación de dispositivo y navegador, no por usuario — prueba la experiencia en tu parque de dispositivos real (Windows/Chrome, macOS/Safari, móvil) en lugar de asumir un comportamiento uniforme.
5. Vuelve a revisar directamente MC1450133 en tu centro de administración de Microsoft 365, message center, más cerca de la ventana de despliegue — el texto del calendario de la Fase 2 de Microsoft es internamente incoherente, y el message center es la fuente de verdad específica de tu tenant para tu oleada de despliegue.
6. No te quedes solo en el orden de registro. El registro sin contraseña como primer método solo cierra parte de la brecha — consulta por qué el MFA por sí solo no es suficiente para conocer los controles de Conditional Access y Security Defaults que aún deben estar en su lugar.

Cómo lo detecta EtcSec

EtcSec marca los tenants donde los métodos sin contraseña no están disponibles o no se aplican mediante los controles MFA_NO_PASSWORDLESS y MFA_NO_FIDO2 (passkey/FIDO2 no habilitado o no configurado para autoservicio), MFA_NO_STRONG_METHOD (ningún método resistente al phishing configurado en absoluto), MFA_PHONE_ONLY (usuarios limitados al MFA basado en teléfono, exactamente el patrón que este cambio de Microsoft busca eliminar), y CA_NO_MFA_REQUIREMENT (ninguna política de Conditional Access exige realmente el MFA en primer lugar, lo que anula cualquier mejora en el orden de registro).