Exchange Online bloque EWS (interface de messagerie) : préparer la sortie

Ce qui change : les applications EWS peuvent déjà être bloquées

Microsoft a engagé la désactivation d’Exchange Web Services, ou EWS (interface permettant aux logiciels de communiquer avec Exchange Online). Sa publication du 21 octobre 2026 donne la procédure de réactivation des applications bloquées. Demandez à votre prestataire de vérifier les dépendances de votre entreprise.

Microsoft cite notamment Apple Mail et Calendrier sur macOS, Outlook classique sur Mac, certains compléments Outlook, d’anciens Outlook Windows et des applications de sauvegarde. Tous les logiciels de ces catégories ne sont pas systématiquement concernés. Des demandes répétées d’identifiants font partie des symptômes possibles. Procédure Microsoft du 21 octobre, reproduite dans son flux officiel.

Deux décisions sont à séparer. La première consiste à autoriser temporairement une application nécessaire pour rétablir un usage. La seconde consiste à obtenir ou développer sa version sans EWS. Microsoft indique que la réactivation cessera de fonctionner en avril 2027. Demandez donc à votre prestataire un état des dépendances et un calendrier de remplacement, plutôt qu’une simple confirmation que l’accès a été rétabli.

Pour les applications soumises au contrôle par identifiant, l’activation du service ne suffit plus : l’application doit également figurer dans la liste autorisée. Ce contrôle porte sur EWSAllowedAppIDs (liste des identifiants d’applications admises à utiliser EWS). Il faut distinguer ce réglage des anciennes listes fondées sur le nom technique présenté par le logiciel.

Qui doit vérifier ses usages, et quelles limites respecter

Ce décryptage vise les entreprises françaises utilisant Exchange Online dans l’environnement mondial mutualisé de Microsoft et des logiciels qui appellent encore EWS. Le point déterminant est la dépendance de chaque application, pas la taille de l’entreprise. Microsoft annonce encore des précisions pour les clouds souverains (environnements distincts du service mondial, destinés à des exigences nationales particulières) : ne leur appliquez pas automatiquement les étapes mondiales.

Le retrait concerne Exchange Online. EWS continue d’être pris en charge dans Exchange Server installé sur site. Cela ne dispense pas une organisation hybride (avec des serveurs locaux reliés aux services en ligne) de vérification : un serveur local peut communiquer avec des boîtes hébergées en ligne. Microsoft distingue notamment les boîtes locales dotées d’archives en ligne, pour lesquelles la bascule complète vers Microsoft Graph (interface d’accès aux données et services Microsoft) n’est pas encore prise en charge. Dans ce cas, l’éditeur demande de conserver provisoirement les autorisations EWS, de l’activer côté Exchange Online et d’autoriser l’application hybride dédiée. Les organisations sans boîte locale, ou sans archivage en ligne de ces boîtes, ne relèvent pas de cette exception particulière. Précisions Microsoft sur les environnements hybrides, dans le flux officiel.

Autre exception à conserver : certains échanges de disponibilités, d’indications de messagerie et de calendriers entre organisations ne reposent pas sur des identifiants d’application. Pour les flux interorganisations explicitement décrits par Microsoft, la poursuite temporaire du partage dans les deux sens suppose que les deux organisations partenaires maintiennent EWS activé, avec EwsEnabled (réglage d’activation d’EWS) à True (activé). Aucun identifiant n’est à ajouter dans la liste pour ces flux. Si seul votre environnement conserve EWS activé et que le partenaire le désactive, vos utilisateurs ne peuvent plus accéder aux informations partagées par ce partenaire ; ses utilisateurs peuvent encore accéder aux informations partagées par votre organisation. Leur migration relève d’un chantier de partage distinct ; la règle des identifiants ne doit pas être étendue à ces flux. Conditions du partage entre partenaires.

Pour inventorier les applications, le rapport d’utilisation EWS présente les identifiants, les opérations exécutées, le volume d’appels réussis et la dernière activité en UTC (temps universel coordonné). Il propose des périodes de sept, trente ou quatre-vingt-dix jours et un export. Attention à son décalage : les données sont agrégées chaque semaine et peuvent apparaître avec dix jours de retard. Un rapport consulté immédiatement après un changement ne constitue donc pas une preuve de disparition de la dépendance.

Enfin, Microsoft Graph ne reproduira pas toutes les possibilités d’EWS. Les opérations générales de création, lecture, modification et suppression dans les dossiers publics ou les boîtes de groupes Microsoft 365 font partie des capacités exclues, tout comme l’accès aux anciennes boîtes de découverte. L’import-export constitue un sujet distinct. Les dates des autres fonctions annoncées restent des objectifs susceptibles de changer. Faites vérifier les opérations réellement utilisées avant d’accepter une promesse de remplacement à l’identique. Périmètre et limites de migration.

Le calendrier dépend aussi de votre environnement Microsoft 365

Le programme commence en octobre 2026. Selon la mise à jour du 21 octobre, Microsoft a renseigné les listes les 10 et 11 octobre pour les environnements mondiaux où EWS était explicitement activé et la liste absente. Après le 11 octobre, l’administrateur qui active EWS doit renseigner la liste.

Lorsque réglage et liste restent sans valeur explicite, Microsoft prévoit un avertissement sept jours avant l’opération, constitue la liste sur soixante jours d’usage, puis désactive EWS. Si l’administrateur l’avait déjà désactivé, Microsoft ne modifie rien. Vérifiez donc la date propre à votre entreprise dans son centre de messages. Calendrier actualisé, dans le flux Microsoft.

Les délais de prise en compte diffèrent également. L’activation d’EWS prend généralement moins d’une heure, avec des cas pouvant atteindre quatre heures. Une modification de la liste des applications peut demander jusqu’à vingt-quatre heures pour être prise en compte, en raison du cache (copie temporaire des réglages conservée par les serveurs). Prévoyez ces délais dans la vérification du rétablissement. Délai de propagation de la liste.

La documentation Microsoft fixe le retrait complet au 1er avril 2027. Le maintien temporaire ne donne donc pas une prolongation propre à chaque entreprise. Échéance finale et périmètre Exchange Online.

Les actions à confier à votre responsable informatique

• Confirmez la situation de votre entreprise. Faites consulter le centre de messages Microsoft 365 et rechercher l’avertissement ou la notification de désactivation d’EWS. Rapprochez cette date des incidents constatés. L’assistance Microsoft ne peut pas réactiver EWS à votre place : l’administrateur de votre environnement doit intervenir.
• Dressez un inventaire exploitable. Exportez le rapport EWS, associez chaque identifiant à un logiciel et à son responsable, puis demandez à chaque éditeur sa version sans EWS. Tenez compte de l’agrégation hebdomadaire et du retard possible du rapport avant de conclure qu’une application n’utilise plus ce protocole.
• Diagnostiquez les refus avant de modifier les accès. Le responsable technique doit examiner X-EWS-Policy-Reason (en-tête de réponse indiquant la raison du blocage d’accès EWS). Un refus HTTP 403 (réponse du serveur indiquant un accès interdit), pris seul, ne prouve pas un blocage lié au retrait. Le diagnostic distingue la désactivation du service des politiques d’accès ; dans ce second cas, il faut examiner à la fois les identifiants et les règles fondées sur le nom technique du logiciel.
• Limitez la réactivation aux besoins confirmés. Utilisez la procédure officielle, par le centre d’administration ou par PowerShell (outil d’administration Microsoft). Vérifiez EwsEnabled au niveau de l’organisation et les applications autorisées. Une activation individuelle de boîte ne contourne pas une désactivation globale. Si des règles historiques EwsAllowList (liste de noms techniques autorisés) ou EwsBlockList (liste de noms techniques bloqués) existent, vérifiez-les aussi : les deux contrôles doivent autoriser la connexion, et ces anciennes règles peuvent également affecter Microsoft Graph. Diagnostic et contrôles d’accès.
• Organisez la sortie avant avril. Pour chaque application, faites confirmer les fonctions couvertes, les écarts avec EWS et les essais à réaliser. Traitez séparément les archives hybrides et les partages entre organisations ; pour ces derniers, vérifiez aussi la situation du partenaire et les deux sens du partage. Après une réactivation, vérifiez le fonctionnement réel en tenant compte des délais annoncés, puis conservez une date de remplacement et un responsable pour chaque dépendance restante.

Pour organiser les responsabilités autour de cette transition de messagerie, VCSTS met en place la messagerie professionnelle de votre équipe, reprend votre historique et tient ce registre à jour : arrivées, départs, adresses de service.