Autentikasi Dua Faktor Microsoft pada 2026: MSA vs Entra ID dan Hierarki Faktor

Butuh kode verifikasi cepat? Mulai perjalanan verifikasi Anda sekarang

Mulai Sekarang

2FA Microsoft pada 2026 bukan lagi «nyalakan dan Anda aman» — ini adalah hierarki faktor dengan jaminan keamanan yang sangat berbeda, dan tipe akun (Personal MSA vs Work/School Entra ID) menentukan faktor mana yang tersedia, siapa yang mengendalikannya, dan apakah nomor SMS-Act cocok sama sekali. Panduan ini menguraikan lapisan-lapisan itu dan menjelaskan apa yang direkomendasikan pada 2026, apa yang sedang dihentikan, dan di mana verifikasi SMS masih relevan.

Pergeseran besar 2026: Microsoft menghentikan SMS untuk akun pribadi

Microsoft mulai menghapus SMS sebagai metode keamanan/2FA untuk akun Microsoft pribadi, menyatakan terus terang bahwa «autentikasi berbasis SMS kini menjadi sumber utama penipuan.» Menurut laporan, akun pribadi baru berhenti bisa menambahkan SMS sebagai metode keamanan sekitar Mei 2025, dan faktor SMS lama dihapus setelah Mei 2026 — digantikan passkey dan aplikasi Authenticator. SMS tetap muncul saat pembuatan akun dan pemeriksaan terpicu risiko (tempat nomor operator asli SMS-Act bekerja), tetapi bukan lagi faktor yang Anda simpan jangka panjang. Siapkan Authenticator atau passkey tepat setelah pendaftaran. (sumber)

Dua Tipe Akun — dan Mengapa Penting

Microsoft memelihara dua sistem identitas paralel:

Dimensi	Microsoft Account (MSA) Personal	Work atau School (Entra ID)
Contoh domain	name@outlook.com, name@hotmail.com	name@yourcompany.com
Dipakai untuk	Outlook.com, Xbox, OneDrive Personal, Skype, instalasi Windows terkait MSA	Microsoft 365 Business/E3/E5, Azure, Intune, Teams
Pendaftaran mandiri	Ya (siapa pun dengan email + telepon)	Tidak — disediakan admin oleh tenant
Kendali 2FA	Pengguna memilih di account.microsoft.com → Security	Admin memaksakan via Conditional Access
Kompatibel SMS-Act untuk daftar?	Ya — nomor menerima OTP MSA	Tidak — bidang telepon disediakan admin
Alur pemulihan	Dikelola pengguna: email + telepon alternatif + kode pemulihan	Dikelola tenant: reset helpdesk atau kebijakan SSPR
2FA default pada 2026	Opsional (didorong kuat)	Wajib (Security Defaults aktif se-tenant)

Ini sumber kebingungan paling umum. Pencarian «verifikasi SMS 2FA Microsoft» mencampur alur MSA (tempat SMS-Act bekerja) dengan alur Entra ID (tempat ia tidak berlaku). Selalu periksa tipe akun sebelum memecahkan masalah.

Hierarki Faktor 2FA Microsoft 2026

Microsoft kini memeringkat faktor berdasarkan kekuatan keamanan. Tumpukan 2026, dari terkuat ke terlemah:

Tingkat	Faktor	Ketahanan phishing	Catatan
1	Passkey (WebAuthn, terikat perangkat)	Tinggi	Default pada Windows Hello, iOS 17+, Android 14+; tanpa kata sandi
2	Kunci keamanan FIDO2 (YubiKey 5C, Feitian)	Tinggi	USB-A / USB-C / NFC; mendukung verifikasi pengguna
3	Microsoft Authenticator (push + pencocokan angka)	Tinggi	Default untuk Entra ID sejak Mei 2023
4	Windows Hello for Business (PIN + TPM)	Sedang-Tinggi	Terikat perangkat; hanya pada Windows terkelola
5	Token hardware OATH (Token2, Feitian)	Sedang	Kode berbasis waktu; luring
6	TOTP (Google Authenticator, Authy, 1Password)	Sedang	Protokol sama seperti OATH tetapi perangkat lunak
7	OTP email	Rendah-Sedang	Rentan bila email diretas
8	OTP SMS	Rendah	Dapat diterima untuk alur lawas; terpapar SIM-swap
9	OTP suara	Rendah	Permukaan ancaman sama dengan SMS; hanya cadangan

Microsoft telah menghentikan tingkat 7-9 di Entra ID. Pengumuman Mei 2023 menghapus push setuju-satu-ketukan, memaksa pencocokan angka. Pengumuman September 2024 mengizinkan admin menonaktifkan SMS/Voice sebagai faktor utama sepenuhnya. Pada 2026, sebagian besar tenant perusahaan menyetel SMS ke «hanya cadangan» dengan Authenticator + Passkey sebagai tumpukan utama.

Untuk akun MSA Personal, pengguna masih punya pilihan penuh, tetapi layar pembuatan akun kini menyarankan Authenticator sebelum SMS.

Mengapa Microsoft Mendorong Authenticator Dibanding SMS

Microsoft Threat Intelligence menerbitkan tingkat pemblokiran ini (data 2024, berlaku pada 2026):

Metode	% serangan otomatis yang diblokir
Hanya kata sandi	0%
2FA SMS	99,2%
Push Authenticator (dengan pencocokan angka)	99,99%
FIDO2 / Passkey	99,99%+ (tahan phishing)

Celah SMS ada karena:

1. Serangan SIM-swap — FBI melaporkan kerugian 260+ juta USD di AS pada 2024; penyerang membujuk operator untuk memindahkan nomor Anda.
2. Kerentanan protokol SS7 — penyadapan SMS saat transit, terutama lintas rute internasional.
3. Kit phishing — kerangka AitM (Adversary-in-the-Middle) modern seperti Evilginx2 menangkap kode SMS secara langsung.
4. Kegagalan pengiriman operator — sejumlah negara memiliki tingkat pengiriman SMS A2P sistemik di bawah 90%, menyebabkan terkunci yang melemahkan kebijakan 2FA.

Authenticator menghindari keempatnya: rahasia tidak pernah meninggalkan secure enclave perangkat, persetujuan push terikat ke perangkat keras perangkat, pencocokan angka mematahkan kelelahan satu-ketukan, dan bekerja luring.

Mengapa nomor VoIP bahkan tidak bisa didaftarkan

Bahkan di tempat SMS masih diterima (pembuatan akun, tantangan risiko), Microsoft hanya menerima nomor operator seluler asli. Dokumen dukungannya menyatakan langsung: «VOIP numbers cannot be added as a way to sign in or get verification codes. Please add a mobile phone number.» Penilaian penipuan telepon Entra ID menandai layanan VoIP (Google Voice, Twilio), situs SMS daring gratis, dan nomor dari pusat data, lalu membuang kode diam-diam. Nomor SMS-Act berasal dari operator asli dan lolos pemeriksaan HLR / keaslian nomor, itulah sebabnya mereka menerima kode pada langkah pendaftaran tempat nomor VoIP gagal. Pakai kode itu untuk membuat akun, lalu segera pindah ke Authenticator/passkey. (sumber)

MSA Personal: Setup 2FA Langkah demi Langkah

Ini alur yang dikontrol pengguna. Nomor SMS-Act bisa menyelesaikan langkah verifikasi telepon awal.

Langkah 1 — Buat atau akses MSA Anda

1. Buka account.microsoft.com dan masuk (atau buat akun baru dengan email + telepon — nomor SMS-Act bekerja di sini).
2. Klik Security → Advanced security options.
3. Lihat bagian «Ways to prove who you are».

Langkah 2 — Tambahkan Microsoft Authenticator (utama yang direkomendasikan)

1. Di ponsel, instal Microsoft Authenticator dari App Store atau Play Store.
2. Di halaman keamanan account.microsoft.com, klik Add a new way to sign in or verify → Use an app.
3. Klik Set up a different Authenticator app bila Anda tidak ingin memakai Microsoft Authenticator, atau ikuti alur kode QR.
4. Pindai kode QR dengan Authenticator dan masukkan kode verifikasi 6 digit yang ditampilkan aplikasi.
5. Simpan kode pemulihan yang muncul di akhir — hanya ditampilkan sekali.

Catatan (perubahan 2025): Microsoft Authenticator berhenti berfungsi sebagai pengelola kata sandi pada 2025 — pengisian otomatis (autofill) kata sandi dipensiunkan sekitar Juli-Agustus 2025 dan kata sandi tersimpan dipindahkan ke Microsoft Edge. Ini tidak memengaruhi 2FA: Authenticator tetap menghasilkan kode TOTP, menangani persetujuan push, dan menyimpan passkey. Di sini Anda memakainya murni sebagai authenticator, yang tidak berubah.

Langkah 3 — Aktifkan verifikasi dua langkah

1. Kembali ke halaman keamanan, gulir ke Two-step verification dan klik Turn on.
2. Konfirmasi via kode Authenticator.
3. Microsoft kini akan meminta faktor kedua pada setiap login dari perangkat tepercaya.

Langkah 4 — Tambahkan faktor cadangan

Opsi cadangan	Direkomendasikan?	Alasan
Kunci keamanan FIDO2	Ya	Cadangan terkuat; bekerja luring
OTP email ke kotak masuk alternatif	Ya	Murah, sederhana, bekerja di perangkat apa pun
OTP SMS ke ponsel pribadi asli	Ya (bukan nomor virtual)	Cadangan upaya terakhir
OTP SMS ke nomor virtual	Tidak	Masa nomor sementara berakhir; Anda tidak bisa memulihkan
Aplikasi TOTP (Google Authenticator)	Ya	Independen dari Microsoft Authenticator

Langkah 5 — Ikat passkey (praktik terbaik 2026)

1. Klik Add a new way to sign in or verify → Use a passkey.
2. Ikuti perintah OS: Windows Hello di Windows 11, Face ID di iPhone, sidik jari di Android, atau kunci hardware.
3. Passkey menggantikan kata sandi sepenuhnya untuk perangkat itu — masuk menjadi satu-faktor (perangkat itu sendiri = «yang Anda miliki» + biometrik/PIN = «yang Anda ketahui/Anda sendiri» digabung jadi satu kredensial tahan phishing).

Work atau School (Entra ID): Perspektif Admin

Untuk Entra ID, pengguna tidak memilih faktor — admin yang memilih. Sebagai admin TI pada 2026, Anda biasanya mengonfigurasi:

Kebijakan metode autentikasi

Di Entra Admin Center → Authentication methods → Policies, Anda mengaktifkan:

• Microsoft Authenticator (dengan pencocokan angka + lokasi GPS + tampilan nama aplikasi)
• Kunci keamanan FIDO2
• Passkey
• Opsional: Windows Hello, token hardware OATH
• Nonaktifkan atau setel ke «hanya sekunder»: SMS, Voice, Email

Kebijakan Conditional Access

Kebijakan dasar 2026 yang umum:

1. Wajibkan MFA untuk semua pengguna — setiap masuk butuh faktor kedua.
2. Blokir autentikasi lawas — mematikan bypass basic-auth IMAP/POP3.
3. Wajibkan perangkat patuh — menegakkan kepatuhan perangkat Intune sebelum masuk.
4. MFA berbasis risiko masuk — Identity Protection menandai perjalanan mustahil dan login tak dikenal, lalu meningkatkan ke MFA tambahan.
5. Wajibkan MFA tahan phishing untuk admin — hanya passkey atau FIDO2 untuk peran Global Admin.

Self-Service Password Reset (SSPR)

Admin menyetel faktor mana yang bisa dipakai pengguna untuk mereset kata sandi sendiri. Umumnya:

• Authenticator + Email + Pertanyaan keamanan (lawas)
• Atau Authenticator + Email + Telepon (di mana Telepon adalah ponsel asli pengguna, disediakan admin atau didaftarkan pengguna saat onboarding)

Nomor SMS-Act tidak bisa didaftarkan sebagai telepon SSPR untuk akun Entra ID — sekalipun bidang telepon menerima formatnya, masa nomor sementara berakhir dan alur SSPR akan gagal saat pengguna kelak butuh pemulihan.

Masalah Umum dan Solusi

Gejala	Penyebab	Solusi
Kode Authenticator «Incorrect» padahal benar	Pergeseran waktu perangkat	Ponsel → Settings → Date & Time → setel otomatis
Notifikasi push berhenti datang	Data latar aplikasi dimatikan	Izinkan aktivitas latar untuk Authenticator + pengecualian baterai
Putaran «We could not verify your account» pada MSA	Perangkat baru + tanpa pemulihan tepercaya	Pakai kode pemulihan cetak, atau picu formulir pemulihan akun 30 hari
Kode SMS tak pernah tiba di nomor AS asli	Filter operator pada short code Microsoft	Beralih ke Authenticator; bila tak bisa, minta OTP suara
Authenticator + ponsel hilang	Daftar ulang dari perangkat tepercaya	Pakai kunci FIDO2 atau kode pemulihan; jika tidak, formulir pemulihan akun (3-30 hari)
Akun Entra ID terkunci setelah 5 kode salah	Smart Lockout (jeda default 10 menit)	Tunggu 10 menit atau hubungi admin tenant

Di Mana SMS-Act Berlaku dalam Tumpukan 2FA Microsoft

Berlaku di tepat satu tempat: verifikasi telepon pendaftaran MSA awal.

Skenario	Berlaku untuk SMS-Act?
Membuat MSA Outlook.com / Xbox baru dari awal	Ya
Memverifikasi gerbang usia akun anak Xbox	Tidak — verifikasi usia butuh instrumen pembayaran
Menambahkan SMS sebagai faktor 2FA ke MSA yang ada	Tidak — nomor berakhir setelah 15 menit
Menambahkan SMS sebagai 2FA utama untuk Entra ID	Tidak — hanya disediakan admin
Telepon self-service password reset (SSPR)	Tidak — butuh nomor persisten
Faktor pemulihan untuk akun bertaruhan tinggi	Tidak — pakai Authenticator + FIDO2 + kode pemulihan

Polanya: nomor virtual = pembantu pendaftaran sekali pakai, bukan faktor 2FA jangka panjang. Setelah MSA dibuat, segera siapkan Authenticator dan passkey; SMS menjadi cadangan yang tak bisa diandalkan.

Tumpukan 2FA Praktik Terbaik 2026 untuk Akun Microsoft

Peran	Utama yang direkomendasikan	Sekunder yang direkomendasikan	Pemulihan
MSA Personal, pengguna kasual	Authenticator	OTP email	Kode pemulihan dicetak dan disimpan
MSA Personal, prosumer	Passkey (Hello / Face ID)	Authenticator	Kunci FIDO2 + kode pemulihan
MSA Personal, jurnalis atau sadar model ancaman	Passkey	YubiKey	YubiKey kedua di brankas
Pengguna standar Work/School	Authenticator (pencocokan angka)	Token OATH	SSPR via Authenticator + email sekunder
Global Admin Work/School	FIDO2 / Passkey	FIDO2 kedua	Akun admin darurat di tenant terpisah

Yang Tidak Bisa Dibantu SMS-Act

1. Menambahkan telepon ke MSA sebagai faktor 2FA — pakai ponsel pribadi asli, bukan nomor sementara 15 menit.
2. Penyediaan telepon Entra ID — admin yang mengendalikan.
3. Memulihkan akun yang terkunci — formulir pemulihan Microsoft 30 hari butuh info identitas, bukan SMS.
4. Melewati Conditional Access — kebijakan yang dipaksakan tenant tidak bisa disiasati.
5. Persetujuan orang tua / gerbang usia Xbox — butuh instrumen pembayaran yang dimiliki orang tua.

Catatan layanan SMS-Act

SMS-Act hanya menyediakan nomor sementara sekali pakai (~15 menit), bukan sewa atau nomor bulanan. Harga tetap 8 kredit per penerimaan, dengan kredit dikembalikan otomatis ke akun Anda jika kode gagal dalam 15 menit. Pembayaran via Stripe. Telegram tidak didukung dan nomor Tiongkok daratan tidak disediakan.

Bacaan Terkait

• Verifikasi SMS Microsoft
• Paket Microsoft 365
• Panduan Memulai Azure
• Panduan Layanan Penerimaan Kode
• Panduan Platform Kode Verifikasi

Ketentuan Penggunaan

Layanan ini dirancang untuk mendukung pengujian pengembangan, verifikasi bisnis, serta penggunaan lintas negara, dengan membantu pengguna menyelesaikan proses secara wajar dan sesuai aturan.

Pengguna diharapkan mematuhi hukum yang berlaku serta kebijakan platform pihak ketiga. Layanan ini tidak mengontrol atau terlibat dalam cara pengguna memanfaatkan layanan.

Jika ditemukan penggunaan yang tidak wajar atau tidak sesuai, akun dapat dikenakan pembatasan sesuai kebijakan yang berlaku.

Pengguna harus berusia minimal 18 tahun dan bertanggung jawab penuh atas penggunaan serta konsekuensinya. Jika Anda tidak menyetujui ketentuan ini, harap hentikan penggunaan layanan.

Dapatkan nomor verifikasi pendaftaran Microsoft dari SMS-Act →

Kembali ke Daftar Enciklopedia