Bijgewerkt
Microsoft heeft basic auth uitgezet. Bent u dan klaar?
Niet helemaal. In Exchange Online is basic authenticatie voor Exchange ActiveSync, POP, IMAP, EWS, Remote PowerShell, het offline adresboek, Autodiscover en Outlook vanaf 1 oktober 2022 uitgezet, en dat is niet terug te draaien.
Geauthenticeerde SMTP (SMTP AUTH) is de uitzondering, omdat printers, scanners en bedrijfsapplicaties het gebruiken om mail te versturen. Volgens Microsofts huidige planning, bijgewerkt in januari 2026, wordt basic auth voor SMTP AUTH eind december 2026 standaard uitgezet voor bestaande tenants, kunnen beheerders het nog weer aanzetten, en maakt Microsoft de definitieve einddatum in de tweede helft van 2027 bekend. Controleer Microsofts Exchange-blog voordat u op deze data plant.
Blokkeert u legacy authenticatie ook in Entra ID, dan kan een gestolen wachtwoord via deze protocollen helemaal niet meer worden geprobeerd, wat Exchange ook nog toestaat.
Zo vindt u wat het nog gebruikt
De menunamen hieronder zijn die van de Engelstalige portal.
- Ga in het Entra admin center naar Entra ID > Monitoring & health > Sign-in logs.
- Kies Add filters > Client app en selecteer de legacy clients: Exchange ActiveSync, IMAP, POP, Authenticated SMTP en de overige clients onder 'Legacy authentication clients'.
- Zet de periode op de laatste 30 dagen en controleer zowel het tabblad 'User sign-ins (interactive)' als 'User sign-ins (non-interactive)'.
- Noteer de accounts en applicaties die verschijnen. Geslaagde aanmeldingen zijn de afhankelijkheden die u eerst moet verhuizen; mislukte zijn meestal aanvallen.
In Exchange Online PowerShell ziet u of SMTP AUTH voor de organisatie uitstaat en welke mailboxen een uitzondering hebben:
Get-TransportConfig | Format-List SmtpClientAuthenticationDisabled
Get-CASMailbox -ResultSize Unlimited |
Where-Object { $_.SmtpClientAuthenticationDisabled -eq $false } |
Select-Object PrimarySmtpAddressZo blokkeert u het zonder de printer te breken
- Verhuis elke afhankelijkheid die u vond: een multifunctionele printer of applicatie kan via een SMTP-relay met een connector in Exchange Online versturen, of OAuth gebruiken. Moderne versies van Outlook en mobiele mailapps gebruiken al moderne authenticatie.
- Zet SMTP AUTH uit voor de organisatie met Set-TransportConfig -SmtpClientAuthenticationDisabled $true, en laat alleen een uitzondering per mailbox staan waar een apparaat echt nog niet te verhuizen is.
- Maak in Entra ID > Conditional Access een beleid vanuit de template 'Block legacy authentication'. Het richt zich op de client-apps 'Exchange ActiveSync clients' en 'Other clients' en kent Block access toe. Voeg uw break-glass-accounts toe als uitsluiting.
- Laat het beleid een week in Report-only staan, controleer in de aanmeldlogboeken wat het zou hebben geblokkeerd en zet het dan op On.
Op tenants zonder Entra ID P1 blokkeren security defaults legacy authenticatie ook.
Veelgestelde vragen
Microsoft heeft basic authenticatie in 2022 uitgezet. Waarom het nog eens blokkeren?
De wijziging van 2022 gold voor de meeste Exchange Online-protocollen, maar niet voor SMTP AUTH, dat Microsoft pas vanaf eind 2026 standaard uitzet. Een Conditional Access-blokkade houdt legacy aanmeldingen bovendien tegen op identiteitsniveau, zodat een gestolen wachtwoord er niet mee kan worden getest.
Werkt mijn scanner nog als ik legacy authenticatie blokkeer?
Niet als de scanner mail verstuurt via SMTP AUTH met gebruikersnaam en wachtwoord. Zoek die apparaten eerst op in de aanmeldlogboeken en verhuis ze naar een SMTP-relayconnector of OAuth voordat u de blokkade aanzet.
Heb ik Entra ID P1 nodig?
Voor een Conditional Access-beleid wel. Security defaults blokkeren legacy authenticatie ook en zijn gratis, maar zijn niet te combineren met eigen Conditional Access-beleid.