Dlaczego SMTP nie jest bezpieczne?

Podstawowe uwierzytelnienie zawiera tylko login i hasło. Jak wiadomo, to zdecydowanie za mało, aby skutecznie chronić dostęp do poczty. Dlatego podstawowe uwierzytelnienie dla poczty wychodzącej tzw. SMTP zostanie za rok całkowicie wycofane z usługi poczty w Microsoft 365 / Exchange Online. I tak długo się utrzymał.

SMTP AUTH (Simple Mail Transfer Protocol) używany jest od lat 80-tych przez tzw. klienta poczty (aplikację lub urządzenie) jako metoda uwierzytelnienia dla wiadomości wychodzących. Ponieważ logowanie tego typu transmituje login i hasło przez Internet nie może być traktowane jako metoda bezpieczna.

Kiedy Microsoft wyłączy SMTP?

We wrześniu 2025 Microsoft zablokuje tradycyjne SMTP w usłudze poczty.

Powód dla utrzymywania SMTP był jeden: użytkownik jest w stanie potwierdzić swoje logowanie w formie interaktywnej, ale aplikacja lub urządzenie (np. drukarka) już nie.

‍
Jak realizowane będzie wyłączenie SMTP?

W centrum administracyjnym Exchange Admin Center dostępny jest już raport wysyłek realizowanych przez podstawowe SMTP. Pozwala on oszacować skalę użycia protokołu w organizacji.

‍

‍

‍

W styczniu 2025 administratorzy korzystający z SMTP otrzymają wiadomość zapowiadającą wycofanie SMTP.

We wrześniu domeny wysyłkowe dla SMTP przestaną działać:

• smtp.office365.com
• smtp-legacy.office365.com

Po wyłączeniu SMTP genereowany będzie komunkat błedu:

• 50 5.7.30 Basic authentication is not supported for Client Submission

‍

Jak poradzić sobie bez SMTP?

Jeśli aplikacja z funkcją wysyłania poczty obsługuje nowoczesne uwierzytelnienie OAuth – należy od nowa skonfigurować połączenie.

Problemem nie są jednak aplikacje tylko urządzenia, których funkcjonalności nigdy nie zostaną unowocześnione. Największą grupą są drukarki z funkcją skanera, które wysyłają skany na adres e-mail. Wyzwaniem będą również formularze na stronach www.

Jeśli używaliśmy SMTP do wysyłki poczty wewnętrznej, czyli w ramach tej samej dzierżawy – należy przejść na nową usługę High Volume Email for Microsoft 365.

Ilość kont wysyłających ograniczona jest (aktualnie) do maksymalnie 20 adresów nadawcy.

Wysyłanie poczty odbywa się z innych urządzeń brzegowych niż dotychczasowe serwery obsługujące SMTP w Exchange Online.

Niezależnie od powyższej rekomendacji, poczta zostanie poprawnie dostarczona również do zewnętrznych adresatów. Maksymalna ilość adresów odbiorców na dobę to 100 tys. dla adresatow wewnętrznych i 2 tys. per konto dla wysylek zewnętrznych.

Konto HVE nie wymaga licencji. Usługa jest teraz w fazie wstępnego wdrożenia (preview).

‍
Jeżeli używaliśmy SMTP do wysyłki wewnętrznej oraz zewnętrznej, należy przejść na Azure Communication Services Email.

Tak przedstawiają się oficjalne rekomendacje Microsoft.

‍
Pomoc w migracji do High Volume Email for Microsoft 365 (HVE).

RedFlag realizuje projekty migracyjne. Pomagamy organizacjom pracować bezpieczniej. W tym również bez SMTP. Nie czekaj, zapytaj nas – kalendarz wolnych terminów znajdziesz na naszej stronie.

‍

Komunikat Microsoft:

https://techcommunity.microsoft.com/t5/exchange-team-blog/public-preview-high-volume-email-for-microsoft-365/ba-p/4102271

Instrukcje techniczne:
‍
https://learn.microsoft.com/en-us/Exchange/mail-flow-best-practices/high-volume-mails-m365

‍