Microsoft 365 e SMTP: cosa cambia

A fine dicembre 2026 Microsoft prevede di disattivare di default l'«autenticazione di base» per SMTP AUTH negli ambienti Microsoft 365 esistenti. Tradotto: qualsiasi sito web, stampante, scanner, strumento di prenotazione o vecchio script che invia email tramite il vostro account Microsoft 365 con un semplice nome utente e password potrebbe smettere di inviare, senza avvisare nessuno.

La vittima più frequente è anche la più costosa: il modulo di contatto del sito. Per il visitatore tutto sembra normale, il messaggio «Grazie, vi ricontatteremo» compare come sempre, ma la richiesta non arriva mai nella vostra casella. Per un'azienda monegasca, dove un solo contatto può valere un anno di budget marketing, il vero rischio è questo. Avete circa otto settimane per verificare, e la soluzione di solito è contenuta.

Cosa cambia Microsoft, e quando

SMTP AUTH (detto anche «client submission») è il metodo con cui molti dispositivi e applicazioni inviano posta tramite Exchange Online: si collegano a smtp.office365.com e accedono con indirizzo e password di una casella. Microsoft vuole eliminare da anni questo accesso con sola password, perché una password rubata è il modo più semplice per entrare in una casella di posta.

Il calendario è già cambiato più volte. Il blocco graduale previsto da marzo 2026 è stato sospeso a gennaio 2026. Secondo le indicazioni aggiornate di Microsoft, pubblicate dal team Exchange e ampiamente riprese dagli specialisti Microsoft 365:

• Fino a fine dicembre 2026: non cambia nulla.
• Fine dicembre 2026: l'autenticazione di base per SMTP AUTH viene disattivata di default negli ambienti esistenti. Gli amministratori possono riattivarla.
• I nuovi ambienti creati da quel momento non potranno più usarla e dovranno passare a OAuth.
• Seconda metà del 2027: Microsoft dichiara che annuncerà la data di rimozione definitiva.

Il cambiamento di dicembre è quindi reversibile, per ora. Ma «un amministratore può riattivarla» presuppone che qualcuno si accorga del guasto, ne capisca la causa e abbia i diritti di amministrazione durante le feste. Le date di Microsoft sono già slittate in passato: controllate l'ultimo avviso nel Centro messaggi dell'interfaccia di amministrazione Microsoft 365 o chiedete conferma al vostro fornitore IT.

Perché riguarda le aziende di Monaco

Microsoft 365 è la suite d'ufficio di riferimento nel Principato. Family office, agenzie immobiliari, broker di yacht, studi legali, hotel e società fiduciarie lavorano in larga maggioranza con Outlook ed Exchange Online, spesso configurati anni fa da un fornitore esterno che oggi non segue più l'azienda.

I moduli dei siti sono spesso collegati alla password di una casella. Soprattutto su WordPress, un plugin di invio è spesso configurato con smtp.office365.com, la porta 587 e la password della casella info@. Funzionava nel 2019 e nessuno lo ha più toccato. Lo stesso schema si ritrova su siti PHP su misura, motori di prenotazione e alcuni CRM.

Il guasto è silenzioso. Quando un modulo non riesce a inviare, molti siti mostrano comunque un messaggio di conferma. Lo scoprite solo quando un cliente chiede perché nessuno abbia risposto alla sua richiesta sull'appartamento, sul charter o sul tavolo per dodici.

Sono coinvolti anche i vostri obblighi sui dati. La Legge n. 1.565 del 3 dicembre 2024, vigilata dall'APDP, richiede misure di sicurezza adeguate al rischio. Una casella protetta solo da una password salvata in chiaro in un plugin del sito è difficile da giustificare. Non siamo avvocati, quindi fate verificare i vostri obblighi specifici da un consulente qualificato, ma passare a un'autenticazione moderna va chiaramente nella giusta direzione. La nostra pagina sulla protezione dei dati APDP illustra il quadro generale.

Come capire se siete coinvolti

Fate l'elenco di tutto ciò che invia email «a nome» della vostra azienda, non solo dei colleghi che usano Outlook:

1. Moduli di contatto, preventivo e prenotazione, su ogni sito e sottodominio.
2. Stampanti e scanner con la funzione «scansione su email».
3. Negozi online che inviano le conferme d'ordine dalla vostra casella.
4. CRM, sistemi di prenotazione, software contabili, impianti di allarme o videosorveglianza con un'impostazione SMTP.
5. Script e automazioni creati da un ex sviluppatore o fornitore.

Per ciascuno, cercate un'impostazione di invio che riporti smtp.office365.com con nome utente e password. L'amministratore Microsoft 365 può anche consultare i registri di accesso per individuare gli invii SMTP con autenticazione di base: mostrano esattamente quali account e dispositivi ne dipendono ancora. Se in azienda nessuno ha l'accesso di amministratore al vostro ambiente, risolvete prima questo.

Poi il test più semplice di tutti: compilate oggi il modulo del vostro sito e verificate che l'email arrivi. Ripetetelo dopo ogni modifica.

Come intervenire, dal più semplice al più solido

Passare il sito a OAuth. La maggior parte dei plugin di invio WordPress affidabili e dei framework moderni può inviare tramite Microsoft 365 con OAuth (tramite un'app registrata in Microsoft Entra ID) o tramite l'API Microsoft Graph. Sul sito non resta più alcuna password di posta. È la soluzione più pulita per la maggior parte dei siti e rientra normalmente nella manutenzione del sito.

Usare un servizio di email transazionali. Per siti e negozi che inviano conferme d'ordine, reimpostazioni di password o notifiche, un servizio dedicato è spesso più affidabile della casella di un collaboratore, con registri di invio che dimostrano cosa è partito. Configurate correttamente SPF, DKIM e DMARC sul vostro dominio per evitare lo spam.

Gestire i dispositivi che non supportano OAuth. Stampanti e scanner più vecchi spesso non si possono aggiornare. Le opzioni: le alternative di Microsoft per la posta interna, un relay SMTP di terze parti o la sostituzione del dispositivo. Il vostro fornitore IT dovrebbe scegliere in base alla vostra configurazione.

Evitare la trappola del «riattiviamo e basta». Riattivare l'autenticazione di base a gennaio può ripristinare il servizio in fretta, ma sposta il problema solo fino alla rimozione definitiva e lascia aperto il metodo di accesso più debole.

Un calendario ragionevole per le prossime otto settimane

• Questo mese: inventario, test di ogni modulo, verifica di chi ha i diritti di amministrazione su Microsoft 365.
• Entro metà dicembre: passaggio di siti e negozi a OAuth o a un servizio transazionale; piano d'azione per i dispositivi.
• Ultima settimana di dicembre: nuovo test di ogni modulo e controllo dei registri. Assicuratevi che qualcuno sia reperibile all'inizio di gennaio.
• In seguito: inserite «testare il modulo di contatto» nella manutenzione mensile. È l'assicurazione più economica per un'attività che vive di richieste in entrata.

Se il vostro sito è stato realizzato da un fornitore che nel frattempo è sparito, è il momento giusto per rivederne la manutenzione nel complesso. Il nostro team di sviluppo web prende regolarmente in carico siti di questo tipo e, se le richieste confluiscono in un CRM, il nostro lavoro su email marketing e CRM garantisce che ogni contatto arrivi dove deve.

Non sapete come il vostro sito invia le email? Contattateci: controlliamo i vostri moduli e vi diciamo esattamente cosa va cambiato prima di fine dicembre.