Zakończenie wsparcia Basic auth w Exchange Online

Wrzesień 2025

We wrześniu 2025 zostanie zakończone wsparcie dla podstawowego uwierzytelniania (Basic authentication) dla przesłań przez klientów (SMTP AUTH) w Exchange Online.

Po podanym terminie aplikacje oraz urządzenia nie będą w stanie korzystać z Basic auth jako metody autoryzacji w usłudze i pojawi się konieczność korzystania z OAuth w trakcie korzystania SMTP AUTH do wysyłania wiadomości email.

Działania w kierunku wyeliminowania Basic auth rozpoczęte zostały przez Microsoft w 2019r. Proces został zrealizowany do 2022r, przy czym jedyną pozostałością związaną z Basic auth na ten moment jest przesyłanie danych przez klienta SMTP AUTH.

Basic auth

Basic auth to starsza metoda uwierzytelniania, która wysyła w sieci nazwy użytkowników oraz hasła w formie zwykłego tekstu (plain text). Ta cecha powoduje dużą podatność wspomnianej metody na ataki skutkujące kradzieżą poświadczeń użytkowników, ataki phishing oraz ataki typu brute force.

Microsoft zachęca użytkowników do korzystania z nowoczesnych metod autoryzacji charakteryzujących się wyższym poziomem bezpieczeństwa. Stąd decyzja związana z wyłączeniem Basic auth dla przesłań przez klientów usługi poczty Exchange Online (SMTP AUTH).

Zaplanowanie zmiany w czasie

We wrześniu 2024 nastąpi aktualizacja raportu przesłań klientów SMTP AUTH w centrum zarządzania usługą Exchange Online. Aktualizacja raportu wskaże czy wykorzystywane są metody Basic auth czy OAuth.

Następnie w styczniu 2025 zostanie przekazany komunikat w sekcji Message Center w przypadku tenantów nadal korzystających z Basic auth dla przesłań klientów (SMTP AUTH) w celu zwrócenia uwagi na nadchodzącą zmianę.

W sierpniu 2025 pojawi się kolejny komunikat dla tenantów nadal korzystających ze starszej metody uwierzytelniania.

W trakcie września 2025 nastąpi zakończenie wsparcia dla Basic auth dla przesłań klientów (SMTP AUTH).

Alternatywy dla firm chcących kontynuować korzystanie z Basic auth

Firmy będące z różnych przyczyn zmuszonymi do kontynuowania korzystania ze starszej metody uwierzytelniania (Basic auth) po wskazanym terminie września 2025 dla przesłań klientów (SMTP AUTH) mają przed sobą kilka możliwości.

HVE

W przypadku wysyłania wiadomości email (Basic auth dla przesłań SMTP AUTH) do odbiorców wewnętrznych w ramach danego tenanta dostępną opcją jest skorzystanie z High Volume Email for Microsoft 365.

Azure Communication Services

W przypadku wysyłania wiadomości email (Basic auth dla przesłań SMTP AUTH) do odbiorców wewnętrznych w ramach danego tenanta oraz zewnętrznych względem danego tenanta dostępną opcją jest skorzystanie z Azure Communication Services for Email.

Receive connector dla Exchange Server

Jeśli firma korzysta aktualnie z Exchange Server on-prem w konfiguracji hybrydowej z Exchange Online, będzie możliwość autoryzacji Basic auth przy wykorzystaniu Exchange Server on-prem lub konfiguracji Exchange Server on-prem z wykorzystaniem konektora odbioru (receive connector) umożliwiającego anonimowe przekazywanie na serwerach Exchange.

Niezależnie od liczby wiadomości email, jeżeli firma potrzebuje korzystać z podstawowego uwierzytelniania do wysyłania wiadomości w Exchange Online, potrzebne będzie skorzystanie z licencji HVE dla Microsoft 365, Azure Communication Services for Email lub tzw. konfiguracji hybrydowej Exchange.

Jak rozpocząć korzystanie z High Volume Email?

High Volume Email dla Microsoft 365 to nowa usługa zaprojektowana głównie dla aplikacji biznesowych oraz innych wysyłek związanych z dużą liczbą wiadomości email, która pozwala na niezawodne wysyłanie dużej liczby wiadomości wewnątrz usługi Exchange Online. Firmy używające obecnie hybrydowych wdrożeń Exchange do wysyłania dużej liczby wiadomości wewnątrz Exchange Online mogą rozważyć skorzystanie z usługi HVE, co pozwoli na wyeliminowanie serwera on-prem.

Na ten moment usługa HVE znajduje się w wersji umożliwiającej publiczne zapoznanie.

Jak rozpocząć korzystanie z usługi Azure Communications Services for Email?

Usługa Azure Communications Services for Email oferuje firmom zcentralizowaną platformę do zarządzania wychodzącymi wiadomościami email w zakresie całej komunikacji B2C (Business to Customer). Dzięki usłudze administrator IT w firmie będzie miał wgląd w ruch mailowy realizowany w firmie.

Azure Communication Services udostępnia obsługę SMTP w celu łatwego wysyłania wiadomości e-mail i uzyskania większej kontroli nad komunikacją wychodzącą.

Zwiększenie bezpieczeństwa usług

Wzmocnienie ochrony usług Microsoft 365 oraz przechowywanych w nich danych jest głównym powodem opisywanych powyżej zmian. Rosnące ryzyko złośliwych ataków wymierzonych w usługi aktywnie wykorzystujące Basic auth zmusza Microsoft jako wiodącego dostawcę usług chmurowych dla firm do wprowadzenia zmian w zakresie bezpieczeństwa.

Co ważne, Basic auth zostanie trwale wyłączona, bez wyjątków, jeśli chodzi o tenanta Microsoft wykorzystywanego przez firmę. W tym miejscu prosi się Klientów o nie zgłaszanie chęci do przywrócenia Basic auth w komunikacji z supportem usług chmurowych Microsoft 365. Dział pomocy technicznej nie będzie w stanie zaoferować żadnych odstępstw od powyższej reguły.

Podsumowując, do września 2025 firmy powinny zaktualizować klienta lub wykorzystywane aplikacje do obsługi OAuth lub zmienić klienta lub wykorzystywane aplikacje, na takie, które zapewniają wsparcie dla OAuth. Inną możliwą drogą jest skorzystanie z High Volume Email lub Azure Communication Services for Email.

Zmiana wymaga określonych dostosowań po stronie działów IT w firmach, ale jest niezbędna do zwiększenia bezpieczeństwa danych i niezawodności usługi email.