migrace – Miroslav Šraga

Exchange Online: Microsoft vypne Basic authentication pro Client Submission (SMTP AUTH)

Miroslav Šraga — Mon, 05 Jan 2026 09:53:22 +0000

Microsoft provede postupné vypnutí (ukončení podpory) Basic autentizace pro „Client Submission“ (SMTP AUTH) v Exchange Online. Start je 1. března 2026 s postupným odmítáním části požadavků a finální vypnutí proběhne 30. dubna 2026. Po tomto datu musí všechny aplikace a zařízení při odesílání přes SMTP AUTH používat OAuth (Modern Authentication), jinak pokus o odeslání skončí chybou.

Co přesně se mění

Microsoft ukončí podporu (vypne) Basic autentizace (uživatelské jméno + heslo v prostém textu) pro Client Submission / SMTP AUTH v Exchange Online.
Po dokončení se pokusy odesílat poštu přes Basic auth vrátí chybu 550 5.7.30 – Basic authentication is not supported for Client Submission. [techcommun…rosoft.com]
Zůstává funkční SMTP AUTH s OAuth (XOAUTH2), tedy moderní (tokenová) autentizace s podporou MFA a Conditional Access.

Proč se to děje

No, přece, abychom se my, „ajťáci“ měli čím bavit v prvním kvartále.

Ale teď vážně. Naprosté většině firem a zejména konzervativním ajťákům, se tato změna líbit opravdu nebude. Na druhou stranu – basic autentizace je zastaralá a riziková: přihlašovací údaje se posílají při každém požadavku v textové podobě a tento typ ověření neumožňuje bezpečnostní politiky jako MFA.

Microsoft dlouhodobě migruje své služby na moderní autentizaci; hlavní protokoly (EAS/IMAP/POP/EWS/Autodiscover) byly vypnuty už v roce 2022–2023; Pro SMTP AUTH byla tehdy výjimka, kterou nyní Microsoft definitivně uzavírá. O tomto plánu víme již od roku 2019, ale přiznejme si, kdo z vás to řešil a připravoval se? Chápu.

A víte, že původní plán, vypnutí podpory basic autentizace pro SMTP byl původně plánován na září 2025?

Koho se změny dotknou?

Line-of-business aplikace, skripty, tiskárny/MFD, skenery, dohledové systémy, ERP/CRM a další řešení, která dnes posílají poštu přes smtp.office365.com s uživatelským jménem/heslem.
Hybridní prostředí s Exchange On‑Prem, která přes cloud relayují poštu základní autentizací.

Jak bude změna probíhat (harmonogram)

1. března 2026: Microsoft provede zahájení – malá část pokusů o autentizaci Basic bude odmítnuta (globálně, napříč tenanty).
Do 30. dubna 2026: Microsoft provede plné vypnutí – 100 % pokusů o Basic bude odmítnuto.
Po 30. dubnu 2026: Basic už nebude na koncových bodech smtp.office365.com a smtp-legacy.office365.com podporován.

Poznámka Microsoft o změně informoval i přes Message Center (MC786329); v červnu 2025 byla oficiálně potvrzena aktualizace termínu na březen–duben 2026.

Co udělat teď: praktický plán v 5 krocích

1) Zmapujte používání Basic SMTP v tenantu

V Exchange Admin Center (EAC) je k dispozici SMTP AUTH Clients Submission Report (sloupec Authentication Protocol vám ukáže Basic vs. OAuth).

Report je možné vyžádat i jako detailní export.

Exchange Online Admin Center > Reports > Mail Flow> SMTP AUTH clients report

Přímý odkaz: https://admin.cloud.microsoft/exchange?#/reports/smtpauthmailflowdetails

Na obrázku je vidět cílový stav, tedy v ideálním neprobíhá žádná SMTP autentizace. Nicméně, realita bude v produkčních tenantech jiná. To, na co se zamřte, je sloupec Authentication Protocol a v něm hodnota Basic Authentication

Alternativně využijte Exchange Online PowerShell Historical Search k rychlé identifikaci zdrojů Basic SMTP:


# Vytvoření historického reportu pro SMTP Client Submission
Start-HistoricalSearch -ReportTitle "SMTPBasicAuth_Audit" -ReportType "SmtpCSReport" `
  -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -NotifyAddress admin@domena.cz

# Kontrola průběhu
Get-HistoricalSearch | Select Identity, SubmitDate, Status, ReportTitle, EstimatedCompletionTime, JobProgress

2) Zvolte adekvátní náhradu

Primárně: přejděte na OAuth pro SMTP AUTH (XOAUTH2).
Postup „Authenticate an IMAP, POP or SMTP connection using OAuth“ popisuje registraci aplikace, přidělení oprávnění a získání tokenu.
Pokud OAuth není k dispozici:
- Microsoft 365 High Volume Email (HVE) – hromadná interní pošta v tenantu (GA cíl: březen 2026);
  Microsoft prodloužil podporu Basic autentizace v HVE do září 2028 pro vybrané scénáře.
- Exchange On‑Prem (hybrid) – vytvořte Receive Connector pro relay; autentizaci Basic ponecháte on‑prem (mimo Exchange Online).
- Azure Communication Services Email – pro odesílání na interní i externí adresy.
  
  Azure Communication Services od A po Z

3) Upravte nastavení v Exchange Online

Doporučuji na úrovni celého tenantu vypnout podporu Client SMTP AUTH


# Globálně zakázat Basic SMTP AUTH
Set-TransportConfig -SmtpClientAuthenticationDisabled $true

Následně pal Client SMTP Auth povolit jen pro vybrané schránky.

(Pozn.: nastavujte podle aktuálního stavu používání; Basic bude i tak vypnut Microsoftem globálně k 30. 4. 2026.)
(Oficiální kontext k odstavení základní autentizace a dopadům na protokoly viz dokumentace.)

# ZAKÁZAT Basic SMTP AUTH na vybraném mailboxu
Set-CASMailbox user@domena.cz -SmtpClientAuthenticationDisabled $true


# POVOLIT Basic SMTP AUTH na vybraném mailboxu
Set-CASMailbox user@domena.cz -SmtpClientAuthenticationDisabled $false

4) Firmware & kompatibilita zařízení

U MFD/tiskáren ověřte podporu OAuth/XOAUTH2; u mnoha výrobců je dostupná přes aktualizaci firmware nebo doplňkové moduly.
Pokud zařízení OAuth nepodporuje a není reálný upgrade, zvažte HVE, ACS Email nebo on‑prem relay výše nebo služby třetích stran

Doporučení Pokud je to možné, doporučuji přejít na Azure Communication Services

5) Testujte a sledujte chyby

Po úpravách sledujte výskyt „550 5.7.30 Basic authentication is not supported for Client Submission“ — je to jasný signál, že klient stále zkouší Basic.

Nejčastější otázky (FAQ)

Bude ještě možné dočasně „zapnout“ Basic?
Ne. Microsoft už neumožní znovu aktivovat Basic v Exchange Online (tato možnost skončila po 31. 12. 2022); na SMTP AUTH teď proběhne definitivní vypnutí v březen/duben 2026.

Co když mám aplikaci, která umí jen Basic a musí posílat externě?
Zvažte Azure Communication Services – Email nebo on‑prem relay; případně řešení třetích stran (s ohledem na bezpečnost a compliance).

Jak zjistím, kdo u nás ještě Basic používá?
Využijte EAC report s „Authentication Protocol“ a/nebo Historical Search v PowerShellu (viz výše).

Další kontext a doporučené postupy (navíc k oficiálnímu oznámení)

Conditional Access + MFA: přechod na OAuth umožní u SMTP scénářů uplatnit zásady CA a MFA (typicky přes „application permissions“ a tok klientského přístupového tokenu). To výrazně snižuje riziko útoků na uložené heslo v zařízení.
Endpointy: po dokončení změny přestanou požadavky na Basic ověření fungovat na smtp.office365.com i na smtp-legacy.office365.com. Plánujte aktualizaci konfigurací, dokumentace a runbooků.
HVE roadmapa: pokud posíláte velké objemy interní pošty (notifikace, IoT, tiskárny), HVE dává smysl — pamatujte ale, že je jen pro interní adresáty a Basic v HVE má rozšířenou podporu do 09/2028; přesto doporučuji plánovat přechod na OAuth co nejdříve.
High Volume Email: Continued support for Basic Authentication & other important updates | Microsoft Community Hub

Další relevantní zdroje

Microsoft Community Hub (Exchange Team):
Exchange Online to retire Basic auth for Client Submission (SMTP AUTH) — harmonogram, EAC report, alternativy (OAuth, ACS, HVE).

Microsoft Community Hub (Exchange Team):
High Volume Email: Continued support for Basic Authentication & other important updates — GA cíl březen 2026, Basic v HVE podporován do 09/2028.

Microsoft Learn:
Deprecation of Basic authentication in Exchange Online — pozadí, dopady, zásady a best practices.

Sharepoint List – přesun z tenantu do tenantu

Miroslav Šraga — Sat, 08 Feb 2025 11:45:16 +0000

Narazil jsem na potřebu přesunout nějaké Sharepoint seznamy (Sharepoint List) z jednoho tenantu do druhého teantnu a nechtělo se mi všechny sloupce ručně přepisovat a zakládat. S oblibou na operace se Sharepointem používám PowerShell modul PnP Powershell. Zjišťoval jsem, zda by nebylo možné pomocí Pnp PowerShellu také nějak exportovat sharepoint seznamy a přišel jsem na to, že pokud ze seznamu udělám šablonu, tak tuto šablonu mohu z jednoho tenantu exportovat a do druhého tenantu zase importovat. Jak na to:

Povolení "Publishing" funkcí ve zdrojovém tenantu

Nejprve je potřeba povolit funkci „publikování na webu“ Sharepointu ve zdrojovém tenantu. Spusťte níže uvedený skript PnP PowerShell jako správce:

# Enterprise Application ID for Pnp PowerShell
$ClientID = "cf1fd5c4-XXXX-YYYYY-ZZZZ-e0b2e4170a9e"

Connect-PnPOnline -url https://ZDROJOVYtenant.sharepoint.com/sites/vaseSite -Interactive -ClientId $ClientID

#SharePoint Online - Publishing Infrastructure of Site Collection 
Enable-PnPFeature -Identity f6924d36-2fa8-4f0b-b16d-06b7250180fa -force -Scope site   

#SharePoint Online - Publishing of Site   
Enable-PnPFeature -Identity 94c94ca6-b32f-4da9-a9e3-1f3d343d7ecb -force -Scope web

Uložení seznamu ve formě šablony

Přejděte na Sharepoint seznam ve zdrojovém tenantu: Nastavení seznamu >> Uložit seznam jako šablonu

Zvolte název a popis šablony.

Pokud chcete, aby nové seznamy vytvořené z této šablony zahrnovaly položky v tomto seznamu, zaškrtněte volbu „Zahrnout obsah / Include Content“.
Zahrnutím obsahu se může zvětšit celková velikost šablony.

Klikněte na odkaz „list template gallery„, pokud si chete zobrazit uložené šablony. V opačném případě klikněte na tlačítko OK.

TIP Pokud si omylem seznam šablon zavřete, dostanete se do něj následujícím způsobem: Sharepoint site - Ozubené kolečko pro nastavení - Site information - View All site information - List templates

Označte šablony, které chcete přenést a v menu Files (Soubory) zvolte možnost Download a Copy (Stáhnout kopii).

Povolení "Publishing" funkcí v cílovém tenantu

Stejně jako ve zdrojovém tenantu, tak i v cílovém tenantu je potřeba povolit funkci „publikování na webu“ Sharepointu. Spusťte níže uvedený skript PnP PowerShell jako správce:

# Enterprise Application ID for Pnp PowerShell
$ClientID = "cf1fd5c4-XXXX-YYYYY-ZZZZ-e0b2e4170a9e"

Connect-PnPOnline -url https://CILOVYtenant.sharepoint.com/sites/vaseSite -Interactive -ClientId $ClientID

#SharePoint Online - Publishing Infrastructure of Site Collection 
Enable-PnPFeature -Identity f6924d36-2fa8-4f0b-b16d-06b7250180fa -force -Scope site   

#SharePoint Online - Publishing of Site   
Enable-PnPFeature -Identity 94c94ca6-b32f-4da9-a9e3-1f3d343d7ecb -force -Scope web

Pozor Nezapomeňte zadat ClientID CÍLOVÉHO tenantu a stejně tak i URL

Import seznamu ve formě šablony

Pro import šablony jděte do Nastavení Sharepoint site – Site information – View all settings – List templates

Na stránce „List templates Gallery“ přejděte na kartu FILES (SOUBORY) a kliknutím na Nahrát dokument nahrajte šablonu seznamu, kterou jste exportovali ze zdrojového tenantu.

Přejděte na stránku Site contents (Obsah webu) cílového tenantu, klikněte na Nový >> Aplikace

Na stránce aplikací SharePoint klikněte na odkaz classic experience (klasické prostředí).

Na stránce Klasické aplikace vyberte importovanou šablonu seznamu (pozor, aplikace může být na další stránce)

Zvolte název seznamu. Pokud chcete doplnit i popis, kliněte na Advanced Options

V Site contents je nyní dostupný seznam, který je vytvořen ze šablony.