Disabilitare l’autenticazione legacy in Exchange Online è stata per anni una delle attività fondamentali di hardening di Microsoft 365. Nel 2026, però, il tema va affrontato in modo diverso rispetto alle vecchie guide: Microsoft ha già eliminato la Basic Authentication dai principali protocolli di Exchange Online e non è più possibile riabilitarla per Outlook, Exchange ActiveSync, POP, IMAP, EWS, Autodiscover, Offline Address Book e Remote PowerShell.
Resta invece un caso specifico da gestire con attenzione: SMTP AUTH. Il protocollo SMTP AUTH è ancora disponibile in Exchange Online e supporta OAuth 2.0, ma alcune applicazioni, stampanti multifunzione e sistemi legacy continuano a usarlo con username e password. È proprio questa dipendenza che deve essere censita e rimossa in modo controllato.
L’obiettivo quindi non è più “abilitare la Modern Authentication” con una vecchia opzione dell’Admin Center, ma verificare quali workload dipendono ancora da metodi legacy, ridurre l’uso di SMTP AUTH e migrare le applicazioni verso OAuth o modalità di invio più moderne.
Basic Authentication in Exchange Online: qual è lo stato nel 2026
Microsoft considera conclusa la dismissione della Basic Authentication per i principali protocolli di accesso a Exchange Online. La conseguenza pratica è che un tenant moderno non deve più essere progettato attorno a eccezioni per client POP, IMAP, EWS o ActiveSync che utilizzano username e password in Basic Auth: tali applicazioni devono usare OAuth 2.0 o essere sostituite.
Protocollo / servizio | Basic Auth nel 2026 | Indicazione operativa |
Outlook / MAPI e servizi correlati | Disabilitata | Usare client supportati con Modern Authentication. |
Exchange ActiveSync | Disabilitata | Aggiornare o sostituire i client legacy. |
POP / IMAP | Disabilitata | Se necessari, usare OAuth 2.0. |
Exchange Web Services (EWS) | Disabilitata | Aggiornare l’app verso OAuth; valutare Microsoft Graph per nuovi sviluppi. |
Remote PowerShell | Disabilitata | Usare il modulo Exchange Online PowerShell moderno. |
Autodiscover / OAB | Disabilitata | Nessuna eccezione Basic Auth da mantenere. |
SMTP AUTH | Protocollo disponibile; Basic Auth ancora eccezione temporanea | Preferire OAuth e disabilitare SMTP AUTH dove non serve. |
Vuoi verificare il tenant Microsoft 365?
Un assessment tecnico può controllare autenticazione, Exchange Online, MFA, Conditional Access, configurazioni mail e altre aree di hardening.
SMTP AUTH non significa necessariamente autenticazione legacy
È importante separare il protocollo dal metodo di autenticazione. SMTP AUTH può essere usato con OAuth 2.0: quindi “disabilitare la Basic Authentication” non equivale necessariamente a “vietare ogni uso di SMTP AUTH”. Per molte organizzazioni, tuttavia, la configurazione più sicura è disabilitare SMTP AUTH a livello tenant e abilitarlo solo sulle mailbox che hanno una necessità reale e documentata.
Nel 2026 Microsoft ha inoltre rivisto la roadmap per la Basic Authentication di SMTP AUTH: fino a dicembre 2026 il comportamento rimane invariato; a fine dicembre 2026 la Basic Auth su SMTP AUTH sarà disabilitata di default nei tenant esistenti. Gli amministratori potranno ancora abilitarla se necessario; per i nuovi tenant creati dopo dicembre 2026 non sarà disponibile di default. La data di rimozione definitiva sarà comunicata successivamente.
Come individuare utilizzi legacy prima di intervenire
Prima di disabilitare SMTP AUTH o modificare policy di autenticazione è necessario censire applicazioni, dispositivi e account tecnici. I casi più frequenti sono stampanti multifunzione, applicazioni gestionali, ERP, sistemi di monitoraggio, appliance, scanner, software di backup e script sviluppati internamente.
- Controllare i log di accesso in Microsoft Entra ID e analizzare il campo Client app / protocollo utilizzato.
- Correlare gli accessi con mailbox, indirizzo IP, applicazione e proprietario del servizio.
- Distinguere l’uso di SMTP AUTH con OAuth dall’uso con Basic Authentication.
- Censire account tecnici condivisi o con password statiche e verificare se possono essere eliminati o sostituiti.
- Eseguire un pilot prima di applicare modifiche a livello tenant.
Per una baseline più ampia del tenant consulta anche la guida Sicurezza Microsoft 365 per PMI senza duplicarne i controlli in questa pagina.
Come verificare la presenza di protocolli Legacy di autenticazione in 365
Una volta effettuato l'accesso al portale di amministrazione Azure (portal.azure.com) e da lì una volta selezionato il blade Azure Active Directory, nella sezione Monitoraggio troviamo il pulsante "Log di Accesso".
All'interno di questa schermata sarà possibile vedere tutti i tentativi di sign-in su Azure AD, inclusi i diversi logon ai diversi servizi di Microsoft 365 da tutti i vostri client. Tra tutte le informazioni riportate la colonna che in questo caso ci interessa è la "Client App".
Qualora non fosse direttamente disponibile come informazione sarà possibile andare ad aggiungerla come campo:
E poi da lì filtrare ed evidenziare tutto ciò cheè legacy come protocollo di autenticazione:
Se come risultato del filtro la lista è vuota allora significa che siete gà in Modern Authentication e quindi state rispettando le Best Practices di sicurezza, altrimenti sarà necessario eseguire una configurazione da admin center grafico per forzare l'autenticazione moderna e disabilitare quella legacy.
Controllare SMTP AUTH con Exchange Online PowerShell
Il controllo più utile è verificare prima l’impostazione a livello organizzazione e poi le eventuali eccezioni per mailbox. Il valore SmtpClientAuthenticationDisabled indica se l’uso del protocollo è disabilitato.
Get-TransportConfig | Format-List SmtpClientAuthenticationDisabled Get-CASMailbox -ResultSize Unlimited | Select-Object DisplayName,PrimarySmtpAddress,SmtpClientAuthenticationDisabled |
A livello mailbox, il valore può ereditare l’impostazione del tenant oppure forzarla. Prima di modificare una singola mailbox è quindi necessario leggere insieme configurazione organizzativa ed eccezione locale.
Disabilitare SMTP AUTH a livello organizzazione
Set-TransportConfig -SmtpClientAuthenticationDisabled $true |
Questa impostazione riduce la superficie esposta quando nessun workload necessita più di SMTP AUTH. La modifica va applicata solo dopo aver verificato dipendenze e sistemi applicativi.
Gestire un’eccezione temporanea per una mailbox
Set-CASMailbox -Identity servizio@contoso.com -SmtpClientAuthenticationDisabled $false |
Un’eccezione di questo tipo deve essere considerata transitoria, documentata e accompagnata da un piano di migrazione verso OAuth o un metodo di invio alternativo. Non va trasformata in una configurazione permanente per aggirare l’hardening del tenant.
Come disabilitare i protocolli di autenticazione legacy in Office 365
Per procedere alla disabilitazione dei protocolli di autenticazione legacy su Office 365 sarà possibile tramite l'Admin Center di Office 365 accedere a Settings -> Org settings -> e scegliere Modern Authentication dalla lista di servizi che verranno mostrati nella pagina.
Nella pagina della Modern Authentication sarà quindi possibile disabilitare i protocolli legacy non più in uso:
Prima della disabilitazione il setting sarà impostato in questa maniera:
Poi per la disabilitazione si potrà procedere deselezionando i servizi per la Basic Authentication:
Disabilitare la legacy authentication su Exchange Online è solo il primo passo passo per mantenere il vostro ambiente più sicuro da attacchi particolari come ad esempio "Password Spray" o "Brute Force".
Authentication Policy: quando ha ancora senso verificarla
Le Authentication Policy di Exchange Online consentono di bloccare Basic Authentication per specifici protocolli. Nei tenant che hanno policy storiche conviene inventariarle, verificare a quali utenti siano assegnate e controllare eventuali impostazioni relative a SMTP. Per i protocolli per cui Microsoft ha già rimosso Basic Auth, una vecchia policy non può ripristinare una funzionalità che il servizio non supporta più.
Get-AuthenticationPolicy |
Quale remediation usare per applicazioni, stampanti e sistemi legacy
Scenario | Remediation preferita | Da evitare |
Applicazione compatibile OAuth | Configurare OAuth 2.0 per SMTP AUTH o API moderna. | Mantenere password statiche per comodità. |
Nuovo sviluppo | Valutare Microsoft Graph o altra modalità moderna supportata. | Progettare una nuova integrazione su Basic Auth. |
Stampante / appliance non compatibile OAuth | Valutare relay SMTP appropriato o aggiornamento del dispositivo/applicazione. | Account utente privilegiato dedicato alla stampante. |
Applicazione legacy critica | Eccezione minima e temporanea, logging, owner e piano di sostituzione. | Eccezione tenant-wide senza scadenza. |
Conditional Access e Security Defaults
Conditional Access e Security Defaults aggiungono controlli a livello identità, ma non devono essere usati come giustificazione per lasciare dipendenze legacy. I protocolli che non supportano autenticazione moderna non possono beneficiare pienamente di MFA e valutazioni contestuali. L’obiettivo resta eliminare la dipendenza da Basic Authentication, non semplicemente nasconderla dietro una policy.
Per la parte specifica sui metodi di autenticazione moderni consulta MFA Microsoft Entra ID: errori da evitare.
Checklist operativa 2026
- Verificare che applicazioni e client utilizzino Modern Authentication / OAuth.
- Censire tutti gli account che inviano tramite SMTP AUTH.
- Leggere il valore SmtpClientAuthenticationDisabled a livello tenant e mailbox.
- Disabilitare SMTP AUTH globalmente se non necessario.
- Limitare eventuali eccezioni a mailbox tecniche specifiche.
- Migrare Basic SMTP verso OAuth o altra architettura supportata.
- Controllare Authentication Policy e policy Entra ID esistenti.
- Documentare owner, motivazione e data di rimozione di ogni eccezione.
- Ripetere il controllo prima della modifica di default prevista a fine dicembre 2026.
Formazione per amministratori Microsoft 365
Per gestire Exchange Online, identità, sicurezza e amministrazione del tenant in modo strutturato, Nexsys eroga formazione dedicata agli IT administrator
Domande frequenti
La Basic Authentication è ancora disponibile in Exchange Online?
Per i principali protocolli no. Microsoft l’ha rimossa da Outlook, EAS, POP, IMAP, EWS, OAB, Autodiscover e Remote PowerShell. SMTP AUTH rappresenta ancora un’eccezione temporanea per l’uso della Basic Authentication.
SMTP AUTH è un protocollo legacy?
SMTP AUTH non è automaticamente sinonimo di autenticazione legacy: può usare OAuth 2.0. Il rischio riguarda soprattutto applicazioni e dispositivi che continuano a usarlo con username e password.
Quando cambia SMTP AUTH Basic Authentication?
Secondo la roadmap Microsoft aggiornata nel gennaio 2026, fino a dicembre 2026 il comportamento resta invariato. A fine dicembre 2026 Basic Auth per SMTP AUTH sarà disabilitata di default nei tenant esistenti, con possibilità amministrativa di riabilitazione temporanea.
Come verifico se una mailbox usa SMTP AUTH?
Occorre correlare i log di accesso in Microsoft Entra ID con le impostazioni Exchange Online e con l’inventario delle applicazioni. In PowerShell è utile verificare SmtpClientAuthenticationDisabled a livello organizzazione e mailbox.
È consigliabile lasciare SMTP AUTH abilitato per tutto il tenant?
No, se non è necessario. Microsoft raccomanda di disabilitarlo a livello organizzazione e abilitarlo solo sulle mailbox che ne hanno effettivamente bisogno.
Le app password risolvono il problema della Basic Authentication?
No. Le app password dipendono da scenari legacy e non rappresentano una strategia moderna per Exchange Online. La remediation corretta è migrare verso OAuth o un metodo di invio supportato.
Conditional Access sostituisce la migrazione a OAuth?
No. Conditional Access rafforza il controllo degli accessi, ma non rende moderno un protocollo o un’applicazione che dipende dalla Basic Authentication.