Het nieuws
Microsoft past in november 2026 de wachtwoordherstelfunctie van Microsoft Entra ID aan. Bij self-service password reset (SSPR) telt voortaan alleen nog een door de gebruiker zelf geregistreerde verificatiemethode. Telefoonnummers en e-mailadressen die alleen in de bedrijfsmap staan, tellen dan niet meer mee. Voor organisaties met SSPR kan dat op de eerste werkdagen veel extra helpdeskvragen opleveren.
Wat verandert er precies?
Tot nu toe kon SSPR terugvallen op contactgegevens uit de map, zoals mobilePhone, businessPhone en otherMails. Na de wijziging werkt dat alleen als de gebruiker die gegevens ook als verificatiemethode heeft geregistreerd, bijvoorbeeld via Mijn beveiligingsgegevens (My Security Info). De wijziging staat in het berichtencentrum onder MC1325414 en maakt deel uit van het Secure Future Initiative van Microsoft.
Waarom doet Microsoft dit?
Mapgegevens zijn eenvoudig aan te passen. Wie een account of beheerrechten in handen krijgt, kan een telefoonnummer vervangen en daarna het wachtwoord laten resetten. Een door de gebruiker gevalideerde methode sluit dat gat. Volgens Microsoft gebruikt al ongeveer 86 procent van de SSPR-verificaties een geregistreerde methode. De rest ligt dus nog bij gebruikers die op mapgegevens leunen.
Wanneer gaat het in?
De planning is meermaals verschoven. In het berichtencentrum staat dat de registratiecampagne op 5 oktober 2026 begon. De handhaving staat voor begin november: het bericht noemt zowel 7 november als 9 november, en spreekt van een uitrol die in de eerste helft van november wereldwijd afgerond is. Controleer de actuele datum daarom in het eigen berichtencentrum. De wijziging geldt voor alle gebruikers, beheerders inbegrepen, in tenants waar SSPR aanstaat, ook in de Amerikaanse overheidsclouds.
Wat betekent dit voor gebruikers?
Wie geen geschikte methode heeft geregistreerd, kan zijn wachtwoord na de handhaving niet zelf meer herstellen. Zo iemand krijgt de melding om een methode te registreren of contact op te nemen met een beheerder. Praktisch gezien gaat het om:
- gebruikers die nooit Mijn beveiligingsgegevens hebben ingevuld;
- gebruikers van wie het telefoonnummer alleen door IT in de map is gezet;
- beheerders en noodaccounts zonder geregistreerde methode;
- medewerkers die lang afwezig zijn en de registratiecampagne hebben gemist.
Wat raden wij beheerders aan?
Controleer eerst hoeveel gebruikers nog geen methode hebben. Dat kan in het Entra-beheercentrum onder Authentication methods > User registration details. Via Microsoft Graph PowerShell is het rapport op te vragen met de cmdlet Get-MgReportAuthenticationMethodUserRegistrationDetail (machtiging AuditLog.Read.All), gefilterd op gebruikers waarvoor SSPR aanstaat maar die niet zijn geregistreerd.
Handige vervolgstappen:
- Laat de registratiecampagne aan staan, zodat gebruikers bij het inloggen een melding krijgen.
- Stuur een korte mededeling met uitleg over Mijn beveiligingsgegevens.
- Regel dat de helpdesk gebruikers kan helpen die zich niet zelf kunnen registreren.
- Controleer of beheer- en serviceaccounts een eigen herstelprocedure hebben, en overweeg SSPR voor serviceaccounts uit te zetten.
Wat kun je hieruit meenemen?
Wachtwoordherstel in Entra ID leunt voortaan alleen op methoden die gebruikers zelf hebben geregistreerd. Mapgegevens zoals een telefoonnummer dat IT heeft ingevuld, gelden niet meer als bewijs van identiteit. Dat maakt accountovername via aangepaste contactgegevens lastiger.
Voor organisaties zit het risico in de gebruikers die nog niets hebben geregistreerd. Zij komen na de handhaving niet meer zelf in hun account. Wie nu het registratierapport controleert en de laatste groep persoonlijk benadert, voorkomt een piek aan hulpvragen.
De exacte handhavingsdatum is in het berichtencentrum meermaals aangepast. Kijk daarom in je eigen tenant naar MC1325414 voor de actuele planning.
