Il Self Service Password Reset (SSPR) è la funzione di Microsoft Entra ID che consente agli utenti di cambiare o reimpostare la password senza l’intervento dell’help desk, dopo aver verificato la propria identità con metodi di autenticazione registrati. Se l’organizzazione utilizza un ambiente ibrido, la nuova password può essere riscritta anche nell’Active Directory locale tramite password writeback.
Microsoft Entra ID, in precedenza Azure Active Directory, permette di distribuire SSPR a un gruppo pilota o a tutti gli utenti. Una configurazione corretta richiede però più dell’attivazione di un’opzione: vanno verificati licenze, metodi di autenticazione, registrazione degli utenti, notifiche, copertura del writeback, log e procedure di supporto.
Risposta rapida
Per abilitare SSPR accedi al Microsoft Entra admin center, apri Entra ID > Password reset, abilita la funzione per un gruppo pilota, configura i metodi di autenticazione consentiti, richiedi la registrazione delle informazioni di sicurezza e prova il flusso con un utente non amministratore su aka.ms/sspr.
Cos’è il Self Service Password Reset e come funziona
SSPR separa il recupero dell’account dalla procedura manuale di reset eseguita dall’amministratore. L’utente avvia il flusso dal portale Microsoft, indica il proprio account, supera il CAPTCHA e dimostra la propria identità con uno o più metodi già registrati. Se i controlli previsti dalla policy vengono superati, Microsoft Entra ID consente di impostare una nuova password o, quando previsto, sbloccare l’account.
Il risultato dipende dal tipo di identità:
- Utente cloud-only: la password viene aggiornata direttamente in Microsoft Entra ID.
- Utente sincronizzato da Active Directory: la password deve essere riscritta nel dominio locale attraverso password writeback; in assenza del componente o delle autorizzazioni necessarie il reset non può completarsi correttamente.
- Account amministrativo: Microsoft applica una policy SSPR dedicata e più restrittiva, normalmente basata su due metodi di verifica. I test iniziali devono quindi essere eseguiti con un account non amministrativo.
SSPR non sostituisce l’autenticazione multifattore. Le due funzioni condividono l’esperienza di registrazione delle informazioni di sicurezza, ma rispondono a esigenze diverse: MFA protegge il processo di accesso; SSPR governa il recupero dell’account.
Prerequisiti e licenze per SSPR
Prima del rollout è necessario distinguere tra cambio password, reset di una password dimenticata e writeback verso Active Directory. Le funzionalità non hanno gli stessi requisiti di licenza.
La licenza deve essere assegnata agli utenti che beneficiano della funzione. Poiché i bundle Microsoft cambiano nel tempo, la verifica finale va eseguita sulla matrice ufficiale delle licenze SSPR.
Servono inoltre:
- un account amministrativo con almeno il ruolo Authentication Policy Administrator per la configurazione SSPR;
- un gruppo pilota dedicato, ad esempio SSPR-Pilot, contenente utenti non amministrativi;
- metodi di autenticazione abilitati e registrati per gli utenti coinvolti;
- un account di test di cui si conosca la password corrente;
- per gli ambienti ibridi, Microsoft Entra Connect o Microsoft Entra Cloud Sync configurato per il password writeback.
Verifica prima del rollout
Una configurazione SSPR apparentemente funzionante può lasciare scoperti utenti non registrati, metodi deboli, account privilegiati o il percorso di password writeback. Nexsys verifica Entra ID, MFA, metodi di autenticazione, Conditional Access e configurazioni del tenant, producendo evidenze e remediation prioritarie.
Come abilitare il Self Service Password Reset in Microsoft Entra ID
1. Creare un gruppo pilota
Un rollout controllato riduce il rischio operativo e permette di verificare l’esperienza utente prima dell’estensione all’intera organizzazione. Nel Microsoft Entra admin center crea un gruppo dedicato, ad esempio SSPR-Pilot, e aggiungi un campione rappresentativo di utenti cloud-only e, se presenti, utenti sincronizzati da Active Directory. Evita di usare account amministrativi per il primo collaudo.
2. Abilitare SSPR per il gruppo
- Accedi al Microsoft Entra admin center.
- Apri Entra ID > Password reset.
- Nella pagina Properties imposta Self service password reset enabled su Selected.
- Seleziona il gruppo SSPR-Pilot e salva la configurazione.
- Dopo il test, amplia gradualmente il perimetro o imposta All quando registrazione, supporto e monitoraggio sono pronti.
Dal portale è possibile selezionare un solo gruppo per l’abilitazione SSPR; i gruppi annidati consentono di gestire perimetri più articolati. La documentazione Microsoft aggiornata descrive la procedura completa di abilitazione SSPR.
Configurare i metodi di autenticazione
Nel 2026 i metodi disponibili non vanno gestiti affidandosi alle sole policy legacy di MFA e SSPR. La disponibilità dei metodi deve essere governata in Entra ID > Authentication methods > Policies; nelle impostazioni Password reset rimangono i parametri specifici del flusso SSPR, come il numero di metodi richiesti, la registrazione, le notifiche e le opzioni di personalizzazione. Prima di modificare il tenant, verifica lo stato della migrazione ai criteri moderni dei metodi di autenticazione.
Per una configurazione aziendale robusta:
Doppia verifica
Richiedi due metodi di verifica per i profili più esposti o quando il rischio operativo lo giustifica.
Metodi anti-phishing
Privilegia Microsoft Authenticator e metodi resistenti al phishing per l’accesso, mantenendo metodi di recupero coerenti con le capacità SSPR.
Domande di sicurezza
Non utilizzare le domande di sicurezza come unico fattore di recupero.
Limitare SMS e chiamate
Limita SMS e chiamate vocali ai casi in cui non sia possibile adottare metodi più solidi.
Allineamento perimetrale
Allinea il perimetro dei metodi tra Authentication Methods, MFA, SSPR e Conditional Access per evitare configurazioni contraddittorie.
Per gli errori tipici di migrazione e per l’interazione con MFA, consulta anche l’approfondimento Nexsys sui criteri MFA e metodi di autenticazione in Entra ID.
AGGIORNAMENTO OPERATIVO 2026
Dal 5 ottobre 2026 SSPR accetterà soltanto metodi di autenticazione registrati esplicitamente. Attributi di directory come mobilePhone, businessPhone e otherMails, se soltanto sincronizzati e mai registrati come metodo, non saranno più sufficienti. Dal 9 novembre 2026 Microsoft prevede inoltre una campagna di registrazione per gli utenti abilitati che non dispongono dei metodi richiesti dalla policy. Il rollout deve quindi includere una verifica preventiva della copertura di registrazione.
Registrazione degli utenti e portali SSPR
Un utente può usare il Self Service Password Reset solo se è abilitato dalla policy e ha registrato un numero sufficiente di metodi compatibili. La registrazione combinata consente di raccogliere in un’unica esperienza le informazioni utilizzate per MFA e SSPR.
I collegamenti operativi da comunicare sono:
- ms/ssprsetup: registrazione o aggiornamento delle informazioni di sicurezza;
- ms/sspr: avvio del reset password da parte dell’utente.
In Entra ID > Password reset > Registration configura l’obbligo di registrazione per gli utenti inclusi nel perimetro e definisci la frequenza con cui devono riconfermare le informazioni. In Notifications abilita l’avviso all’utente dopo il reset e la notifica agli amministratori quando un altro amministratore usa SSPR. In Customization imposta un indirizzo e-mail o una URL dell’help desk realmente presidiata.
La comunicazione agli utenti deve precedere l’enforcement: spiega perché viene richiesta la registrazione, quali metodi sono ammessi, come riconoscere una richiesta legittima e quale canale utilizzare se il dispositivo di verifica non è disponibile.
Come testare il reset della password
Il collaudo deve riprodurre il percorso reale dell’utente e non limitarsi a verificare che l’opzione risulti attiva nel portale.
Apri una finestra InPrivate o in incognito e accedi a aka.ms/ssprsetup.
Autenticati con un utente non amministrativo incluso nel gruppo pilota e registra i metodi richiesti.
Chiudi la sessione, apri una nuova finestra privata e accedi a aka.ms/sspr.
Inserisci l’UPN, completa il CAPTCHA e usa i metodi di verifica previsti.
Imposta la nuova password e verifica l’accesso a Microsoft 365.
Controlla la ricezione delle notifiche e la registrazione dell’evento nei log.
Negli ambienti ibridi, verifica anche l’accesso a una risorsa on-premises per confermare il password writeback.
SSPR negli ambienti ibridi: password writeback verso Active Directory
Quando l’identità è sincronizzata da Active Directory Domain Services, il dominio locale rimane l’origine autorevole della password. Il password writeback trasferisce in tempo reale il cambio o il reset eseguito nel cloud verso AD DS usando Microsoft Entra Connect oppure Microsoft Entra Cloud Sync.
Il percorso di implementazione comprende quattro verifiche:
Licenza
Ogni utente che utilizza il writeback deve essere coperto da Microsoft 365 Business Premium o Microsoft Entra ID P1/P2.
Componente di sincronizzazione
Abilita Password writeback in Microsoft Entra Connect oppure configura la funzione nell’agente Microsoft Entra Cloud Sync.
Permessi
L’account del connettore deve disporre delle autorizzazioni necessarie per reimpostare password e sbloccare account nelle unità organizzative interessate.
Configurazione cloud
In Entra ID > Password reset > On-premises integration abilita il writeback per gli utenti sincronizzati e, se richiesto, lo sblocco dell’account senza cambio password.
La nuova password deve rispettare le policy applicabili nel dominio locale. Se sono presenti filtri password di terze parti, regole personalizzate o policy cloud aggiuntive, il test deve verificare l’interazione tra tutti i controlli. Per il reset tramite Microsoft Entra Connect consulta la procedura Microsoft per password writeback; per Cloud Sync usa la procedura dedicata a Cloud Sync.
La guida Nexsys sulla gestione delle password Active Directory resta il riferimento per policy, deleghe e operazioni on-premises; questa pagina rimane invece focalizzata sulla configurazione SSPR e sul collegamento tra Entra ID e AD DS.
Ambiente ibrido
Se il reset cloud non aggiorna Active Directory, la causa può trovarsi nei permessi del connettore, nelle OU sincronizzate, nelle policy password o nella configurazione del writeback. Nexsys esegue Assessment e Hardening Active Directory con verifica delle identità ibride e piano di remediation.
Monitoraggio e troubleshooting SSPR
Dopo il rollout, la misura decisiva non è il numero di utenti abilitati ma il numero di utenti realmente capaci di completare il reset. In Entra ID > Authentication methods > Activity, la scheda Registration mostra gli utenti SSPR Registered, Enabled e Capable; la scheda Usage riporta reset, sblocchi e metodi utilizzati. I dati di reporting possono richiedere tempo per aggiornarsi, quindi non vanno usati come unico controllo immediato dopo una modifica.
Per gli errori codificati SSPR_0009, SSPR_0010, SSPR_0012, SSPR_0013, SSPR_0014 e per i problemi on-premises, usa la matrice Microsoft di troubleshooting SSPR. Per verificare registrazione e utilizzo consulta la documentazione Authentication Methods Activity.
Best practice di sicurezza e rollout
Pilot preliminare
Eseguire un pilot con utenti standard cloud-only e sincronizzati prima di abilitare All.
Metriche SSPR Capable
Misurare la percentuale SSPR Capable, non soltanto SSPR Enabled.
Molteplicità dei metodi
Richiedere più metodi quando il profilo di rischio lo rende necessario e impedire che le domande di sicurezza costituiscano l’unico controllo.
Scadenze e registrazioni
Verificare che tutti i metodi siano registrati esplicitamente prima delle modifiche Microsoft previste nell’ottobre e novembre 2026.
Notifiche di sicurezza
Abilitare notifiche agli utenti e agli amministratori per rendere visibili reset inattesi.
Supporto e Help Desk
Personalizzare il collegamento help desk e documentare il processo alternativo per chi perde il dispositivo di verifica.
Monitoraggio e audit
Monitorare reset anomali, errori ripetuti, cambi di metodo e attività su account privilegiati.
Runbook operativo
Mantenere un runbook con owner, escalation, criteri di rollback e test periodici del password writeback.
Domande frequenti sul Self Service Password Reset
Che cos’è il Self Service Password Reset?
È una funzione di Microsoft Entra ID che permette agli utenti abilitati di cambiare o reimpostare la password in autonomia dopo una verifica dell’identità basata sui metodi registrati.
SSPR è disponibile gratuitamente?
Microsoft Entra ID Free consente il cambio password cloud-only quando l’utente conosce la password corrente. Il reset di una password dimenticata richiede normalmente Microsoft 365 Business Standard/Premium o Entra ID P1/P2; il writeback verso Active Directory richiede Business Premium o Entra ID P1/P2.
Qual è la differenza tra cambio e reset della password?
Nel cambio password l’utente conosce la credenziale corrente. Nel reset l’utente l’ha dimenticata o non può accedere e deve dimostrare la propria identità tramite i metodi previsti dalla policy SSPR.
SSPR funziona con Active Directory on-premises?
Sì, se è configurato il password writeback tramite Microsoft Entra Connect o Microsoft Entra Cloud Sync, con licenze e permessi coerenti. La nuova password viene riscritta nell’AD DS locale.
Dove registra i metodi di sicurezza l’utente?
L’utente può registrare o aggiornare le informazioni di sicurezza su aka.ms/ssprsetup. Per completare il reset usa invece aka.ms/sspr.
Perché un utente abilitato non riesce a reimpostare la password?
Le cause più frequenti sono metodi insufficienti o non registrati, esclusione dal gruppo abilitato, licenza non adeguata, password writeback disattivato oppure policy password on-premises non soddisfatta.
SSPR sostituisce MFA?
No. MFA protegge l’accesso alle risorse; SSPR gestisce il recupero dell’account. Le due funzioni condividono la registrazione dei metodi, ma devono essere progettate e monitorate come controlli distinti.
Gli amministratori usano la stessa policy SSPR degli utenti?
Non necessariamente. Microsoft applica agli account amministrativi una policy predefinita più forte, normalmente a due metodi, che può differire dalla policy configurata per gli utenti standard.
Implementare SSPR con un perimetro verificato
Il Self Service Password Reset riduce le richieste all’help desk solo quando utenti, metodi, licenze, writeback e monitoraggio sono coerenti. Un’attivazione senza verifica può invece spostare il problema dal reset manuale agli errori di registrazione e alle identità ibride non allineate.
Assessment
Nexsys può analizzare il tenant Microsoft 365 e Microsoft Entra ID, verificare SSPR, MFA, Authentication Methods, account privilegiati e password writeback, quindi produrre un piano di remediation applicabile.
Formazione
Per rendere autonomo il team IT su Microsoft Entra ID, autenticazione, gestione delle identità e access governance, Nexsys eroga il corso SC-300 Microsoft Identity and Access Administrator in modalità live online, in presenza o personalizzata per l’azienda.