Fin du SMTP basique Microsoft 365

Fin décembre 2026, Microsoft prévoit de désactiver par défaut l'« authentification de base » pour SMTP AUTH dans les environnements Microsoft 365 existants. Concrètement : tout site web, imprimante, scanner, outil de réservation ou vieux script qui envoie des e-mails via votre compte Microsoft 365 avec un simple identifiant et un mot de passe risque de cesser d'envoyer, sans prévenir personne.

La première victime est aussi la plus coûteuse : le formulaire de contact de votre site. Pour le visiteur, rien ne change. Le message « Merci, nous revenons vers vous » s'affiche toujours, mais la demande n'arrive jamais dans votre boîte. Pour une entreprise monégasque où un seul contact peut valoir une année de budget marketing, le vrai risque est là. Vous avez environ huit semaines pour vérifier, et la correction est généralement modeste.

Ce que Microsoft change, et quand

SMTP AUTH (ou « soumission client ») est la méthode utilisée par de nombreux appareils et logiciels pour envoyer du courrier via Exchange Online : ils se connectent à smtp.office365.com avec l'adresse d'une boîte et son mot de passe. Microsoft cherche depuis des années à supprimer cette connexion par mot de passe seul, car un mot de passe volé reste le moyen le plus simple d'entrer dans une messagerie.

Le calendrier a déjà bougé plusieurs fois. Le rejet progressif prévu à partir de mars 2026 a été suspendu en janvier 2026. Selon les nouvelles indications de Microsoft, publiées par l'équipe Exchange et largement relayées par les spécialistes Microsoft 365 :

• Jusqu'à fin décembre 2026 : rien ne change.
• Fin décembre 2026 : l'authentification de base pour SMTP AUTH est désactivée par défaut dans les environnements existants. Les administrateurs peuvent la réactiver.
• Les nouveaux environnements créés à partir de cette date ne peuvent plus du tout l'utiliser et doivent passer par OAuth.
• Second semestre 2027 : Microsoft indique qu'il annoncera la date de suppression définitive.

Le changement de décembre est donc réversible, pour l'instant. Mais « un administrateur peut la réactiver » suppose que quelqu'un remarque la panne, en comprenne la cause et dispose des droits d'administration pendant les fêtes. Les dates de Microsoft ont déjà évolué : consultez le dernier avis dans le Centre de messages de votre centre d'administration Microsoft 365 ou demandez confirmation à votre prestataire informatique.

Pourquoi c'est un sujet à Monaco

Microsoft 365 est la suite bureautique de référence en Principauté. Family offices, agences immobilières, courtiers en yachts, cabinets d'avocats, hôtels et sociétés fiduciaires travaillent très majoritairement sous Outlook et Exchange Online, souvent installés il y a des années par un prestataire qui n'intervient plus.

Les formulaires de site sont souvent reliés au mot de passe d'une boîte. Sur WordPress en particulier, une extension d'envoi est fréquemment configurée avec smtp.office365.com, le port 587 et le mot de passe de la boîte info@. Cela fonctionnait en 2019 et personne n'y a touché depuis. On retrouve la même configuration sur des sites PHP sur mesure, des moteurs de réservation et certains CRM.

La panne est silencieuse. Quand un formulaire n'arrive pas à envoyer, beaucoup de sites affichent quand même un message de confirmation. Vous l'apprenez le jour où un client demande pourquoi personne n'a répondu à sa demande sur l'appartement, la location du yacht ou la table pour douze.

Vos obligations en matière de données sont aussi concernées. La loi n° 1.565 du 3 décembre 2024, contrôlée par l'APDP, impose des mesures de sécurité adaptées au risque. Une messagerie protégée uniquement par un mot de passe stocké en clair dans une extension de site est difficile à défendre. Nous ne sommes pas juristes, faites donc valider vos obligations précises par un conseil qualifié, mais passer à une authentification moderne va clairement dans le bon sens. Notre page protection des données APDP détaille le cadre général.

Savoir si vous êtes concerné

Dressez la liste de tout ce qui envoie des e-mails « au nom » de votre société, pas seulement vos collaborateurs dans Outlook :

1. Formulaires de contact, de devis et de réservation, sur chaque site et sous-domaine.
2. Imprimantes et scanners avec la fonction « scan vers e-mail ».
3. Boutiques en ligne qui envoient les confirmations de commande depuis votre boîte.
4. CRM, outils de réservation, logiciels comptables, systèmes d'alarme ou de vidéosurveillance disposant d'un réglage SMTP.
5. Scripts et automatisations mis en place par un ancien développeur ou prestataire.

Pour chacun, cherchez un paramètre d'envoi qui mentionne smtp.office365.com avec un identifiant et un mot de passe. Votre administrateur Microsoft 365 peut aussi consulter les journaux de connexion pour repérer les envois SMTP en authentification de base : ils montrent précisément quels comptes et appareils en dépendent encore. Si personne dans l'entreprise n'a d'accès administrateur à votre propre environnement, réglez ce point en premier.

Puis faites le test le plus simple qui soit : remplissez aujourd'hui votre propre formulaire et vérifiez que l'e-mail arrive. Recommencez après chaque modification.

Comment corriger, du plus simple au plus solide

Passer le site en OAuth. La plupart des extensions d'envoi WordPress sérieuses et des frameworks récents savent envoyer via Microsoft 365 en OAuth (grâce à une application enregistrée dans Microsoft Entra ID) ou via l'API Microsoft Graph. Plus aucun mot de passe de messagerie n'est stocké sur le site. C'est la solution la plus propre pour la majorité des sites, et elle relève normalement de la maintenance de site.

Utiliser un service d'e-mail transactionnel. Pour les sites et boutiques qui envoient confirmations de commande, réinitialisations de mot de passe ou notifications, un service transactionnel dédié est souvent plus fiable qu'une boîte de collaborateur, avec des journaux d'envoi pour prouver ce qui est parti. Configurez correctement SPF, DKIM et DMARC sur votre domaine pour éviter les spams.

Traiter les appareils incompatibles avec OAuth. Les imprimantes et scanners anciens ne peuvent souvent pas être mis à jour. Les options : les alternatives proposées par Microsoft pour le courrier interne, un relais SMTP tiers ou le remplacement de l'appareil. Votre prestataire informatique doit trancher selon votre configuration.

Éviter le piège du « on réactive et on verra ». Réactiver l'authentification de base en janvier peut rétablir le service rapidement, mais cela repousse seulement le problème à la suppression définitive et laisse ouverte la méthode de connexion la plus faible.

Un calendrier raisonnable pour les huit prochaines semaines

• Ce mois-ci : inventaire, test de chaque formulaire, identification des administrateurs de votre environnement Microsoft 365.
• Avant la mi-décembre : passage des sites et boutiques en OAuth ou vers un service transactionnel ; plan d'action pour les appareils.
• Dernière semaine de décembre : nouveau test de chaque formulaire et contrôle des journaux. Prévoyez quelqu'un de joignable début janvier.
• Ensuite : ajoutez « tester le formulaire de contact » à votre routine de maintenance mensuelle. C'est l'assurance la moins chère qui soit pour une activité qui vit de ses demandes entrantes.

Si votre site a été réalisé par un prestataire qui a disparu depuis, c'est le bon moment pour revoir sa maintenance dans son ensemble. Notre équipe de développement web reprend régulièrement ce type de site et, lorsque vos demandes alimentent un CRM, notre accompagnement e-mail marketing et CRM garantit que chaque contact arrive au bon endroit.

Vous ne savez pas comment votre site envoie ses e-mails ? Contactez-nous : nous vérifions vos formulaires et vous disons précisément ce qui doit changer avant fin décembre.