Microsoft 365 con SMTP AUTH desactivado: ¿qué pasa con su impresora, su escáner y sus aplicaciones?
Cuando SMTP AUTH está desactivado en Microsoft 365, los dispositivos y aplicaciones que envían correo con un nombre de usuario y una contraseña a través de un buzón —multifunción, escáneres, sistemas de alarma, dispositivos NAS, monitorización, software empresarial antiguo— dejan de poder enviar de repente. Puede volver a autorizar esos dispositivos uno a uno, con todas las limitaciones de un buzón, o trasladar todo el correo automático a un relay SMTP con credenciales propias por aplicación. Esto último suele ser la solución duradera: sus empleados siguen trabajando en Microsoft 365 y los dispositivos envían por el relay.
Qué ocurre exactamente
Microsoft está retirando paso a paso el acceso clásico con nombre de usuario y contraseña, porque no admite verificación en dos pasos y es por tanto un objetivo apetecible. En los entornos nuevos, el acceso para el correo saliente por SMTP está desactivado por defecto, y Microsoft ha anunciado que las excepciones restantes también desaparecerán con el tiempo. El síntoma es siempre el mismo: un dispositivo que llevaba años enviando documentos escaneados avisa de repente de un error de autenticación. O una aplicación empresarial que enviaba facturas registra «authentication unsuccessful» y se detiene. Nadie ha cambiado nada; lo que ha cambiado es el ajuste del lado de Microsoft.
Por qué afecta a los dispositivos
Una impresora o un escáner solo conocen una manera de enviar correo: un nombre de servidor, un puerto, unas credenciales y una contraseña. Lo mismo vale para la mayoría de las instalaciones de alarma, los sistemas de cámaras, el software de copias de seguridad y los ERP antiguos. No admiten el acceso moderno con tokens, y el fabricante no se lo va a añadir. El dispositivo no está roto: sencillamente habla un idioma que Microsoft 365 ya no quiere oír.
Las opciones
Opción 1: volver a activar SMTP AUTH por buzón
Es posible mientras Microsoft lo permita. Crea un buzón aparte por dispositivo, activa ahí el ajuste y espera que siga funcionando. Los inconvenientes: los límites de envío de un buzón valen también para el dispositivo, cada buzón cuesta una licencia o exige una excepción, y construye sobre una función cuya desactivación ya está anunciada. Para un escáner es una solución temporal; para diez aplicaciones es mantenimiento.
Opción 2: entrega directa sin autenticación
Microsoft ofrece formas de enviar a la propia organización desde una dirección IP fija sin credenciales. Práctico para avisos internos, pero limitado: funciona desde una dirección fija, a menudo solo hacia sus propios buzones o con límites estrictos hacia fuera, y exige una configuración en el entorno de administración que no todo el mundo domina.
Opción 3: un relay para todo el correo automático
Da a cada dispositivo y a cada aplicación unas credenciales propias en un relay. El escáner, el sistema de alarma y el programa de facturación envían por el puerto 587 con STARTTLS, exactamente como siempre, solo que a otro nombre de servidor. El relay envía con SPF y DKIM para su dominio, lleva un registro por mensaje y no tiene límites de buzón. Microsoft 365 sigue siendo lo que es: el entorno en el que su gente escribe correo y se reúne. Por qué esa separación es sensata también al margen de SMTP AUTH está en la página sobre correo transaccional.
Cómo hacer el cambio
- Haga una lista de todo lo que envía correo por Microsoft 365 sin que haya una persona detrás. Pregunte a su empresa de informática, al proveedor del sistema de alarma y al contable; la lista siempre es más larga de lo que se piensa.
- Cree unas credenciales por aplicación en el relay. Unas por dispositivo, para poder revocar unas sin tocar el resto.
- Añada el relay a su registro SPF y active DKIM para su dominio. Sus registros actuales de Microsoft 365 se quedan; usted añade, no sustituye.
- Cambie por dispositivo el nombre de servidor, el puerto y las credenciales. Envíe un mensaje de prueba a una dirección externa, no a usted mismo.
- Mire durante la primera semana en el registro del relay si todo llega.
Lo que no debe hacer
Poner en el escáner la contraseña compartida de un empleado. Eso funciona hasta que ese empleado cambia su contraseña o se marcha, y da a un aparato del pasillo acceso a un buzón completo. Unas credenciales de relay solo pueden enviar, y solo lo que usted autorice.
Preguntas frecuentes
¿Cambia algo para mis empleados?
No. Outlook, Teams y el webmail siguen funcionando como siempre. Solo los dispositivos y las aplicaciones reciben otro servidor saliente.
¿Y las aplicaciones que sí admiten el acceso moderno?
Pueden quedarse en Microsoft 365. Pero también ahí rigen los límites de envío de un buzón; para volúmenes mayores, un relay es de todos modos el mejor camino.
¿Puedo conservar la dirección de remitente?
Sí. El escáner sigue enviando desde escaner@suempresa.be; solo cambia el camino que recorre el mensaje.