Azure DevOps : les PAT globaux s'arrêtent le 1er décembre

Il reste six semaines aux équipes qui s'appuient encore sur des jetons globaux dans Azure DevOps. Microsoft a confirmé que tous les jetons d'accès personnels (PAT) globaux d'Azure DevOps Services seront définitivement désactivés le 1er décembre 2026. À cette date, les scripts, pipelines et intégrations tierces qui s'authentifient avec ce type de jeton cesseront de fonctionner. Le changement ne concerne pas Azure DevOps Server, la version installée sur site.

Qu'est-ce qu'un PAT global ?

Un PAT global est un jeton d'accès personnel qui permet à un utilisateur de s'authentifier sur toutes les organisations Azure DevOps auxquelles il a accès, et non sur une seule. Dans son annonce publiée le 12 décembre 2025 sur le blog Azure DevOps, Microsoft justifie la suppression par le risque de sécurité concentré que représente un tel jeton : plus les accès d'un utilisateur s'étendent, plus la fuite d'un seul secret a de conséquences.

Un calendrier révisé en cours de route

Le plan initial prévoyait deux étapes : le blocage de la création et de la régénération des PAT globaux au 15 mars 2026, puis leur désactivation complète au 1er décembre 2026. Microsoft a ensuite renoncé à la première étape. Une mise à jour de son annonce indique que le blocage du 15 mars n'a pas eu lieu et que la création de PAT globaux reste possible jusqu'au 1er décembre.

Cette souplesse peut induire en erreur : un jeton global créé aujourd'hui fonctionnera quelques semaines seulement. Certaines documentations d'éditeurs tiers mentionnent encore l'échéance du 15 mars ; la date à retenir est bien celle du 1er décembre. Les utilisateurs disposant d'un PAT global actif reçoivent des rappels par e-mail pendant la période de dépréciation.

Repérer les jetons concernés

Microsoft détaille une procédure simple pour savoir si l'on est concerné :

1. se connecter à dev.azure.com/{organisation} ;
2. ouvrir les paramètres utilisateur (icône d'engrenage en haut à droite), puis « Personal access tokens » ;
3. régler le filtre de portée (Access scope) sur « All accessible organizations » et le statut sur « Active ».

Les jetons listés sont les PAT globaux actifs.

Par quoi les remplacer

Microsoft propose deux voies de migration. La première consiste à découper l'authentification par organisation : chaque intégration reçoit un PAT limité à l'organisation dont elle a besoin. C'est la solution la plus rapide, et celle que recommande par exemple Snyk à ses clients pour maintenir leurs intégrations Azure Repos.

La seconde, privilégiée sur le long terme, est d'abandonner les PAT au profit d'une authentification Microsoft Entra à jetons de courte durée. Ce modèle évite les secrets longue durée stockés dans des fichiers de configuration ou des variables de pipeline. Microsoft évoque aussi des politiques au niveau de l'organisation pour limiter la portée des jetons.

La démarche rejoint une tendance de fond dans les outils DevOps : réduire la durée de vie et le périmètre des secrets. On la retrouve dans le passage des certificats TLS à 47 jours, qui pousse lui aussi à automatiser le renouvellement des identifiants.

Les points de vigilance

Les intégrations tierces sont le principal angle mort. Mend indique ainsi que son intégration Azure DevOps « Classic » dépend des PAT globaux et que le 1er décembre constitue l'échéance de migration vers sa nouvelle plateforme. Sous l'annonce de Microsoft, des utilisateurs s'interrogent également sur certaines tâches de pipeline qui semblent nécessiter un jeton valable sur toutes les organisations ; Microsoft n'y a pas répondu dans le billet.

Pour éviter une coupure, mieux vaut inventorier dès maintenant les jetons globaux, identifier les outils qui les consomment et tester les nouveaux jetons avant l'échéance, plutôt que de découvrir les pannes le 1er décembre au matin.