Exchange Online : l’authentification SMTP classique désactivée par défaut

Ce qui change pour les envois automatiques

Microsoft prévoit de désactiver par défaut l’authentification classique de SMTP AUTH dans les organisations Exchange Online existantes fin décembre 2026. Les administrateurs pourront encore la réactiver si nécessaire. Ce calendrier figure dans l’annonce officielle actualisée en janvier.

SMTP AUTH permet à une application ou à un équipement de soumettre des e-mails à la messagerie. Le protocole accepte aussi OAuth : migrer l’authentification ne signifie donc pas nécessairement remplacer le protocole d’envoi. Avec OAuth, l’application utilise un jeton d’accès pour s’authentifier.

Les entreprises et les équipements concernés

L’inventaire concerne notamment les applications métier, serveurs de rapports et appareils multifonctions qui utilisent SMTP AUTH. Microsoft cite les scanners envoyant des documents en pièces jointes et les applications de rendez-vous envoyant des rappels. Vérifiez la méthode réellement employée par chaque équipement.

Les réglages existants comptent également. Lorsque les paramètres de sécurité par défaut de Microsoft Entra sont activés, SMTP AUTH est déjà désactivé. Une politique d’authentification bloquant l’authentification classique pour SMTP reste bloquante même si SMTP AUTH est autorisé dans les réglages de messagerie. Le réglage propre à une boîte prime sur le réglage général de l’organisation ; ces paramètres concernent les boîtes hébergées dans Exchange Online.

Deux étapes distinctes après décembre

Pour les nouveaux environnements créés après décembre 2026, l’authentification classique sera indisponible par défaut et OAuth sera la méthode prise en charge.

Microsoft annoncera la date du retrait définitif au second semestre 2027. Cette période désigne l’annonce du calendrier, pas une date de coupure définitive. Pour les organisations existantes, préparez donc le changement de fin décembre tout en distinguant cette étape du retrait ultérieur.

Préparer les envois à migrer

• Repérez les comptes émetteurs dans le rapport SMTP AUTH Clients, accessible sous Reports puis Mail Flow dans le centre d’administration Exchange. Il affiche sept jours par défaut ; élargissez la période, jusqu’à 90 jours, pour rechercher les usages moins fréquents.
• Distinguez les authentifications dans la colonne Authentication Protocol : Basic Auth correspond à TlsAuthLogin, Modern Auth à XOAUTH2. Exportez les résultats pour attribuer chaque envoi à une application et à un responsable.
• Faites confirmer la compatibilité OAuth par votre éditeur ou votre équipe technique. Le guide Microsoft décrit l’enregistrement de l’application dans Entra, l’obtention du jeton et l’authentification de la connexion.
• Organisez un essai avant fin décembre, puis contrôlez les envois et leurs destinataires. Si une réactivation temporaire est envisagée, faites vérifier les politiques de sécurité et les réglages de l’organisation et de la boîte concernée.

Pour vos envois applicatifs, VCSTS raccorde votre application à une plateforme d’envoi, configure votre domaine et vous prévient des refus, retards et abandons visibles.