Starting April 2026, Microsoft Registration Campaigns in Entra ID will support Passkeys (FIDO2) as an authentication method, enabling organizations to deploy phishing-resistant credentials. The update introduces significant configuration changes, particularly for tenants using the Microsoft-managed state, where several campaign settings become non-configurable. This rollout is part of Microsoft's broader strategy to eliminate passwords and aligns with the introduction of Windows Hello passkey support for Entra accounts.

Source

Si vous auto-hébergez déjà des services chez vous, y'a un truc qui revient tout le temps c'est l'authentification. Chaque app a son propre login, ses propres mots de passe, et du coup vous finissez avec une ribambelle de comptes différents pour des trucs qui tournent sur le même serveur. Nextcloud par-ci, Jellyfin par-là, Gitea en prime... C'est con hein, mais c'est comme ça !

Pocket ID , c'est un provider OpenID Connect (OIDC) qui fait UNE chose et qui la fait bien : vous authentifier avec vos passkeys. Pas de mot de passe, pas de TOTP, pas de SMS... juste votre empreinte digitale via Touch ID, Face ID, Windows Hello, ou votre clé physique type YubiKey. Le projet tourne en Go côté serveur (un seul binaire de ~15 Mo) et SvelteKit pour l'interface, le tout sous licence BSD-2-Clause.

Bon, vous allez me dire "y'a déjà Keycloak pour ça". Sauf que Keycloak, c'est un monstre. Genre, vous voulez juste centraliser l'auth de votre Nextcloud et de votre Jellyfin, et vous vous retrouvez à configurer 47 fichiers XML. Pocket ID, c'est donc l'inverse... un simple docker compose up -d et hop, c'est lancé sur localhost:1411 ! En fait l'interface web est tellement propre que vous créez vos clients OIDC en 3 clics, plutôt que de passer 2 heures dans la doc.

D'ailleurs, le truc cool c'est la liste des intégrations. Il y a plus de 80 services compatibles, documentés avec des procédures pas à pas : Nextcloud, Immich, Grafana, Portainer, Proxmox, Vaultwarden, GitLab, Jellyfin... en gros tous les classiques du self-hosting. Si vous avez déjà mis en place Authelia pour protéger vos services derrière un reverse proxy , Pocket ID c'est le complément idéal côté SSO.

Attention par contre, y'a un prérequis : HTTPS obligatoire. C'est pas un caprice hein, c'est une contrainte technique de WebAuthn (le standard derrière les passkeys ). Du coup si votre homelab tourne en HTTP sur le réseau local genre http://192.168.1.x ... faudra d'abord passer par un reverse proxy avec certificat TLS. Caddy fait ça carrément bien avec ses certificats Let's Encrypt auto-gérés sur le port 443, c'est même plutôt facile à déployer. Il y a aussi Nginx Proxy Manager qui est génial pour tout ce qui est reverse proxy facile à implémenter !

Ensuite, côté installation, Pocket-ID vous donne le choix : Docker (le plus simple), standalone, Proxmox, Unraid, Kubernetes ou même NixOS.

Y'a aussi un système de groupes d'utilisateurs et des options de suivi pour savoir qui s'est connecté quand, depuis quelle IP. Pas mal hein, pour un outil qui tient dans un conteneur Docker de 50 Mo !

Bon, c'est pas non plus parfait hein. Le fait de n'accepter QUE les passkeys, ça veut dire que si un de vos utilisateurs n'a pas de device compatible (vieux navigateur, OS ancien), il sera coincé. Et si vous perdez votre YubiKey 5 NFC (lien affilié) sans avoir enregistré de passkey de secours sur un iPhone ou un Android... bah bon courage. C'est un choix délibéré des devs, mais faut quand même le savoir avant de migrer toute votre infra dessus.

Bref, simple, efficace, et ça fait pas semblant d'être autre chose. Ah et y'a une démo ici pour tester avant de tout casser sur votre serveur ^^.

Microsoft will improve how Conditional Access policies are enforced in Microsoft Entra ID starting March 27, 2026. This change addresses a security loophole in which policies targeting all resources with specific exclusions could be bypassed in certain authentication scenarios. The rollout continues through June 2026 and forms part of Microsoft's Secure Future Initiative. Because these sign-ins will no longer bypass Conditional Access, users may now be required to complete MFA, meet device compliance requirements, or satisfy other configured Conditional Access controls, such as approved apps, app protection policies, or authentication strength, before accessing the resource.

Source

Starting March 2026, Microsoft Entra ID will introduce passkey profiles and synced passkeys to general availability, enabling group-based authentication configurations with granular control over device-bound and synced passkeys. Microsoft will automatically enable passkey profiles for tenants that don't opt in during the initial rollout, with existing settings preserved to maintain their current security posture.

Source

Microsoft will enforce multi-factor authentication (MFA) for all users signing in to the Microsoft 365 admin center starting February 9, 2026. This critical security measure aims to prevent unauthorized access to administrative accounts that manage tenant configurations, user provisioning, and compliance settings.

Source

Microsoft Entra ID introduces synced passkeys to simplify multi-factor authentication and reduce the security risks associated with traditional methods such as passwords and SMS codes. This feature, announced at Microsoft Ignite 2025, enables users to authenticate with biometrics or device PINs without entering passwords when syncing credentials across devices via cloud-based passkey providers. The implementation also includes high-assurance account recovery using government-issued ID verification to restore access when users lose all authentication methods.

Source