Što Microsoft gasi i od kada?
Microsoft u Entra ID-u — prijavi u Microsoft 365, Outlook, Teams, SharePoint i Azure — 1. 2. 2027. gasi vlastite SMS i glasovne kodove za drugi korak prijave; globalnim administratorima i vanjskim korisnicima 1. 7. 2027. Od 1. 9. 2026. passkey (pristupni ključ) postupno postaje zadana prijava.
| Datum | Što se događa |
|---|---|
| 1. 9. 2026. | Početak: korisnicima sa SMS-om ili pozivom automatski se uključuje passkey, a pri MFA prijavi dobivaju poziv da ga registriraju (zadano s neograničenim odgodama). |
| 30. 10. 2026. | Otvara se konfiguracija vlastitog telefonskog pružatelja u Microsoft Security Storeu, za organizacije koje SMS stvarno trebaju. |
| 9. 11. 2026. | Samostalni reset lozinke (SSPR) prihvaća samo metode koje je korisnik sam registrirao — telefon i e-adresa koje je u imenik upisao administrator više ne vrijede. Kampanja registracije traje od 5. 10., priprema do 6. 11. (Microsoft 365 Message Center, MC1325414). |
| 1. 2. 2027. | Microsoftov SMS i glasovni MFA prestaje za sve osim globalnih administratora i vanjskih korisnika; interni gosti su u ovom roku. |
| Nakon 1. 2. 2027. | Korisnik kojemu je SMS ili poziv jedina metoda mora pri prijavi registrirati passkey. Upit je blokirajući, a izuzeća nema. |
| 1. 7. 2027. | Isto za globalne administratore i vanjske korisnike. |
Gašenje vrijedi i za samostalno poništavanje lozinke (SSPR) — tko danas lozinku resetira kodom iz SMS-a, od roka to više ne može bez druge metode. Provedba vrijedi za sve tenante u javnom oblaku, bez obzira na licencu.
Microsoft promjenu obrazlaže phishingom: kampanje potpomognute umjetnom inteligencijom postižu klikovnost do 54 %, prema oko 12 % kod klasičnih. SMS i glasovne kodove više ne smatra sigurnim metodama prijave.
Koga se to tiče — i koga ne?
Tiče se svake tvrtke, javne institucije i škole koja e-poštu i dokumente ima na Microsoftu 365, jer se svi prijavljuju kroz Entra ID. Koristi li tko u vašoj organizaciji SMS ili poziv, pokazuje Microsoftova PowerShell skripta za popis takvih korisnika — svaki rezultat različit od nule znači da ste u opsegu.
Ne tiče se osobnih Outlook.com i Hotmail računa: za njih Microsoft vodi zaseban postupak i najavio je postupno ukidanje SMS-a za prijavu i oporavak, ali bez datuma. Izvan opsega su i Azure AD B2C te, za sada, Microsoft Entra External ID.
Microsoft Authenticator se ne gasi: obavijesti (push) i OATH kodovi ostaju podržani, iako ih Microsoft svrstava u metode podložne phishingu. Korisnik koji uz SMS ima i Authenticator izgubit će SMS, ali blokirajući upit prema Microsoftovu opisu dobivaju samo oni kojima je SMS jedina metoda.
Hrvatski primjer: Sveučilište u Rijeci uvelo je od 1. 10. 2025. obveznu višefaktorsku prijavu za Office 365 i među metodama ponudilo i SMS kod, uz passkey kao najsigurniju opciju. Svim takvim korisnicima Microsoftov SMS od 1. 2. 2027. prestaje, osim ako ustanova ne ugovori vlastitog pružatelja.
Što se dogodi korisniku koji ništa ne napravi?
Ako mu je SMS ili poziv jedina metoda, nakon roka pri prijavi dobiva blokirajući upit i mora registrirati passkey prije nego što nastavi — izuzeća nema. Tko nema uređaj na kojem ga može napraviti, zapne dok mu IT ne omogući drugu metodu, primjerice privremeni pristupni kod (TAP).
Privremeni opt-out postoji (postavka passkeyDynamicMigration u politici metoda, kroz Microsoft Graph), ali odgađa samo automatsko uključivanje passkeyja do 1. 2. 2027. Za samo gašenje opt-outa nema.
Tko SMS doista treba — zbog propisa ili posebnog radnog okruženja — od 30. 10. 2026. može ugovoriti telefonskog pružatelja preko Microsoft Security Storea (u pregledu su Soprano i Telesign). Plaća se naknada pružatelju i Azure potrošnja za funkciju usmjeravanja u vlastitoj Azure pretplati; moguć je jedan pružatelj za SMS i jedan za glas.
I s pružateljem SMS ostaje samo drugi korak: SMS kao primarna prijava bez lozinke ni tada nije podržan. Microsoft pružatelja predviđa za segmente s dokumentiranom potrebom i savjetuje da se prijelaz završi prije 1. 2. 2027.
Čime zamijeniti SMS kod?
Passkeyjem: sinkroniziranim na mobitelu, u aplikaciji Microsoft Authenticator, na Windows računalu ili na hardverskom FIDO2 ključu. Svi su otporni na phishing i dostupni u svim izdanjima Entra ID-a, uključujući Free; Microsoft kaže da prelazak sa SMS-a ne nosi dodatni trošak.
| Metoda | Što je | Za koga |
|---|---|---|
| Sinkronizirani passkey | Spremljen u iCloud Keychainu ili Google Password Manageru; prelazi s uređaja na uređaj. Ne podržava atestaciju. | Većina zaposlenika s modernim mobitelom |
| Passkey u Microsoft Authenticatoru | Vezan uz mobitel; traži Android 14 ili iOS 17 i noviji. | Zaposlenici sa službenim mobitelom, IT |
| Entra passkey na Windowsu | Passkey u Windows Hellu; računalo ne mora biti pridruženo Entri, a jedno računalo drži više računa. | Rad na računalu, dijeljena računala |
| Windows Hello for Business | Prijava u sam uređaj i jednokratna prijava; licencu daje Windows Pro, Enterprise ili Education. | Osobna službena računala |
| FIDO2 sigurnosni ključ | Passkey vezan uz uređaj koji nosite sa sobom; ne treba mobitel. | Administratori, ljudi bez službenog mobitela, regulirana radna mjesta |
| Pametna kartica (CBA) | Certifikat na kartici ili ključu; traži postojeći PKI. | Okruženja s certifikatima |
Licencu traži tek prisiljavanje: da passkey bude obvezan za određene aplikacije, koristi se uvjetni pristup sa snagom „Phishing-resistant MFA“, a za to treba Entra ID P1. On je uključen u Microsoft 365 Business Premium, E3/E5 i F1/F3 — ali ne u Business Basic i Business Standard.
Microsoftove brojke iz uvođenja kod potrošačkih računa: 99 % korisnika uspješno registrira sinkronizirani passkey, a prijava traje oko 3 sekunde umjesto 69 sekundi s lozinkom i klasičnim MFA-om.
Koji sigurnosni ključevi rade s Microsoftom 365?
Ključevi s Microsoftova popisa FIDO2 ključeva prihvatljivih za atestaciju (MDS 279, rujan 2026.) — među njima Yubico Security Key, YubiKey 5 (USB-A, USB-C, NFC, Lightning), YubiKey 5 FIPS i YubiKey Bio. Entra pri svakoj FIDO2 prijavi traži PIN ili otisak prsta, pa izgubljeni ključ sam po sebi nije dovoljan za ulaz.
- Prijava bez korisničkog imena traži rezidentni ključ (discoverable credential) — popisani ključevi to podržavaju.
- Otključavanje Windowsa bez mreže traži proširenje hmac-secret ili PRF; Yubico ga dokumentira na YubiKeyju od firmvera 5.2.
- Prijava u Windows ključem radi na računalima pridruženima Entri (Windows 10 1909 ili noviji) i hibridno pridruženima (Windows 10 2004 ili noviji).
Administrator može uključiti atestaciju i dopustiti samo odabrane modele (po oznaci AAGUID). Atestacija se provjerava pri registraciji, a uklanjanje modela s popisa blokira i ključeve koji su već registrirani. Podržana su najviše tri profila passkeyja, a njihovo uključivanje je nepovratno.
⚠️ Korisnike koje Microsoft automatski uključi stavlja u profil koji dopušta sve vrste passkeyja, i sinkronizirane. Tko želi da administratori smiju samo hardverske ključeve, mora sam postaviti profil s atestacijom.
Poznata ograničenja iz Microsoftove dokumentacije: ključevi s uključenim YubiOTP-om mogu zapinjati na starijim Android uređajima (rješenje je isključiti OTP), Apple na macOS-u ne podržava NFC ključeve, a na iOS-u ne podržava NFC s ključevima certificiranima po FIPS 140-3 — za iPhone uzmite USB-C ili Lightning izvedbu.
Koju metodu i koji ključ za kojeg korisnika?
Microsoft za administratore i visokoregulirane korisnike preporučuje FIDO2 sigurnosne ključeve (alternativa je passkey u Authenticatoru), a za ostale sinkronizirani passkey. Svaki korisnik treba najmanje dvije registrirane metode.
| Korisnik | Microsoftova preporuka | Ključ iz kataloga (naš prijedlog) |
|---|---|---|
| Administratori, uprava, pristup osjetljivim podacima | FIDO2 ključ; alternativa passkey u Authenticatoru ili pametna kartica | YubiKey 5C NFC + rezervni; 5 FIPS ako ga traži propis ili naručitelj |
| Računi za hitni pristup | Passkey (FIDO2) — „Recommended“; certifikat ako postoji PKI | Dva ključa, u sefovima na odvojenim mjestima |
| Uredski zaposlenici | Sinkronizirani passkey; alternativa Authenticator ili FIDO2 ključ | Po želji Security Key C NFC kao rezervni |
| Bez službenog mobitela ili bez aplikacija | FIDO2 ključ | Security Key C NFC ili Security Key NFC |
| Teren i proizvodnja (frontline) | Sinkronizirani passkey; za uvođenje ključ koji IT registrira u ime korisnika | Security Key; YubiKey Bio gdje je otisak prsta praktičniji od PIN-a |
| Dijeljena računala | Entra passkey na Windowsu ili prenosivi ključ | Osobni ključ za svakog korisnika |
| Stariji sustavi, VDI, Linux | FIDO2 ključevi ili pametne kartice | YubiKey 5C NFC / 5 NFC |
Treći stupac je naš prijedlog modela, ne Microsoftova preporuka. Novi zaposlenici prvu metodu registriraju uz privremeni pristupni kod (TAP), koji traje od 10 minuta do 30 dana.
Što je drukčije za administratore?
Globalni administratori imaju rok 1. 7. 2027., ali ostale administratorske uloge — Exchange, SharePoint, korisnici — prema Microsoftovu tekstu padaju u rok 1. 2. 2027. Administratori uz to već imaju obvezni MFA bez opt-outa: Azure, Entra i Intune portali od listopada 2024., Microsoft 365 admin center od veljače 2025., a CLI, PowerShell i alati za infrastrukturu od 1. 10. 2025.
Za 14 administratorskih uloga Microsoft preporučuje phishing-otporni MFA i za to nudi predložak uvjetnog pristupa (traži Entra ID P1). Upozorava da uključivanje bez prethodno registriranih metoda može zaključati cijeli tenant — zato administratori najprije registriraju ključ, uz TAP.
Računi za hitni pristup (break-glass): najmanje dva, samo u oblaku, na domeni onmicrosoft.com, izuzeti iz pravila koja blokiraju prijavu. Microsoft za njih preporučuje passkey (FIDO2), metodu drukčiju od običnih administratorskih računa, čuvanje u sefovima na odvojenim lokacijama i provjeru najmanje svakih 90 dana.
Microsoft kao jedan od razloga za takve račune navodi i ispad mobilne mreže, kad administratori ne mogu primiti poziv ni SMS — dobar argument protiv SMS-a za administratore i prije roka.
Što moraju veće organizacije i javne institucije?
Uvođenje ide po valovima: popis korisnika, pilot s administratorima, kampanja registracije, pa provedba uvjetnim pristupom — Microsoftov vodič predviđa obavijesti zaposlenicima 60, 45, 30, 15, 7 i 1 dan prije provedbe.
- Popis: Microsoftova skripta za korisnike sa SMS-om i pozivom (uloga Global Reader, Security Reader ili Authentication Policy Administrator).
- Profili passkeyja: administratorima samo ključevi vezani uz uređaj, s atestacijom; ostalima i sinkronizirani.
- Kampanja registracije i TAP za one koji nemaju nijednu drugu metodu.
- Uvjetni pristup u načinu samo-izvještaja („Report-only“) sa snagom „Phishing-resistant MFA“, bez računa za hitni pristup — pa provedba po grupama.
- Telefonski pružatelj samo za segmente s dokumentiranom potrebom, uz Azure pretplatu.
Hrvatska javna tijela u pravilu koriste komercijalne Microsoftove planove u javnom oblaku — planovi „Government“ namijenjeni su javnom sektoru SAD-a — pa za njih vrijede rokovi 1. 2. i 1. 7. 2027. Vrstu tenanta treba provjeriti za svaku ustanovu.
Škole na CARNET-ovu Microsoftu 365 od 15. 1. 2025. imaju licencu A1, a prema Microsoftovu opisu usluge Office 365 Education A1 ne uključuje Entra ID P1. Passkey mogu uključiti, ali ga ne mogu prisiliti uvjetnim pristupom.
Za obveznike ZKS-a: Uredba (NN 135/2024, Prilog II.) traži MFA za kritične sustave izložene internetu, među njima SaaS alate (mjera 5.3), i snažnu provjeru za privilegirane račune (mjera 7.4) — obje na sve tri razine.
NCSC-HR u pregledu za drugo tromjesečje 2026. navodi da ucjenjivački napadi najčešće ulaze kroz poznate ranjivosti ili kompromitirane lozinke VPN računa bez dvofaktorske autentifikacije.
Radi li Google isto za Gmail i Google Workspace?
Ne — Google u Workspaceu SMS ne gasi, nego odluku prepušta administratoru: SMS je i dalje ponuđena metoda prijave u dva koraka, a administrator ga može isključiti ili tražiti samo sigurnosni ključ ili passkey.
- Za administratore Google postupno uvodi obveznu prijavu u dva koraka, uz obavijest 90 dana (super-administratori) ili 60 dana unaprijed; bez nje nakon 30 dana nema pristupa web aplikacijama.
- Google Cloud od 20. 10. 2026. traži prijavu u dva koraka i od organizacija bez jedinstvene prijave (SSO) — ali prihvaća i SMS kod i dopušta jednokratnu odgodu od 90 dana ili isključenje.
- Passkeyji u Workspaceu mogu zamijeniti lozinku, a administrator ih može ograničiti samo na hardverske ključeve.
Google sam sigurnosne ključeve naziva najsigurnijim oblikom prijave u dva koraka, a SMS ne preporučuje jer ovisi o mrežama operatera i može se presresti. Razlika je u pristupu: Microsoft SMS gasi i nameće passkey, Google ga ostavlja i preporučuje.
Plan do 1. 2. 2027.: što napraviti i kada?
Četiri mjeseca dovoljna su za miran prijelaz ako se krene u listopadu.
| Mjesec | Što napraviti |
|---|---|
| Listopad 2026. | Popis korisnika sa SMS-om i pozivom; odluka o metodama po skupinama; ključevi za administratore i račune za hitni pristup. |
| Studeni 2026. | Pilot (IT i uprava), profili passkeyja, kampanja registracije; ključevi za ljude bez službenog mobitela i dijeljena radna mjesta. |
| Prosinac 2026. | Valovi po odjelima; uvjetni pristup u načinu samo-izvještaja; obavijesti zaposlenicima po Microsoftovu rasporedu. |
| Siječanj 2027. | Zadnji korisnici, provjera izvještaja o metodama, odluka o telefonskom pružatelju za iznimke. |
| 1. 2. 2027. | Rok za sve osim globalnih administratora i vanjskih korisnika (oni 1. 7. 2027.). |
Kako se metoda uključuje i čini obveznom korak po korak, opisali smo u vodiču za uvođenje YubiKeyja u Microsoft 365.
Kako vam možemo pomoći?
Vi-Di.me je certificirani Yubico partner (YubiNation, položene sve tri razine Yubico akademije) i uvodi phishing-otpornu prijavu u Microsoft 365 od popisa korisnika do dokaza za nadzor.
- Ključevi iz našeg kataloga — modeli i cijene su u izlogu ispod članka; koji za koji uređaj, opisali smo u članku Gdje kupiti YubiKey u Hrvatskoj.
- Uvođenje po satnici iz cjenika: profili passkeyja, uvjetni pristup, računi za hitni pristup, TAP za uvođenje, obavijesti zaposlenicima i dokumentacija za ZKS.
- Pretplata na ključeve za veće organizacije: YubiKey as a Service.
Ponudu za Vašu organizaciju zatražite na stranici uvođenja; općenito o FIDO2 ključevima i passkeyjima za tvrtke pisali smo u kompletnom vodiču.
