Microsoft 365 e SMTP AUTH disattivato: che fare con stampanti, scanner e applicazioni?
Quando SMTP AUTH è disattivato in Microsoft 365, i dispositivi e le applicazioni che inviano tramite una casella con nome utente e password — multifunzione, scanner, sistemi d'allarme, NAS, monitoraggio, software gestionale datato — di colpo non riescono più a inviare. Puoi riabilitarli uno per uno, con tutti i limiti di una casella, oppure spostare tutta la posta automatica su un SMTP relay con un accesso proprio per applicazione. La seconda strada è di norma la soluzione duratura: i tuoi collaboratori continuano a lavorare in Microsoft 365, i dispositivi inviano tramite il relay.
Che cosa succede esattamente
Microsoft smantella passo dopo passo l'accesso classico con nome utente e password, perché non supporta la verifica in due passaggi ed è quindi un bersaglio ambito. Negli ambienti nuovi l'accesso per la posta in uscita via SMTP è disattivato di base, e Microsoft ha annunciato che anche le eccezioni residue col tempo spariranno. Il sintomo è sempre lo stesso: un dispositivo che per anni ha inviato documenti scansionati segnala di colpo un errore di autenticazione. Oppure un'applicazione aziendale che inviava fatture registra "authentication unsuccessful" e si ferma. Nessuno ha cambiato nulla; è cambiata l'impostazione dalla parte di Microsoft.
Perché colpisce i dispositivi
Una stampante o uno scanner conosce un solo modo di inviare posta: un nome di server, una porta, un accesso e una password. Vale anche per la maggior parte degli impianti d'allarme, dei sistemi di videosorveglianza, dei software di backup e dei pacchetti ERP datati. Non supportano l'accesso moderno con token, e il produttore non glielo aggiungerà più. Il dispositivo non è guasto; parla semplicemente una lingua che Microsoft 365 non vuole più sentire.
Le opzioni in fila
Opzione 1: riattivare SMTP AUTH per singola casella
Si può, finché Microsoft lo consente. Crei una casella separata per dispositivo, attivi lì l'impostazione e speri che continui a funzionare. Gli svantaggi: i limiti d'invio di una casella valgono anche per il dispositivo, ogni casella costa una licenza o richiede un'eccezione, e costruisci su una funzione di cui è già stata annunciata la disattivazione. Per un solo scanner è una soluzione temporanea; per dieci applicazioni è manutenzione.
Opzione 2: consegna diretta senza accesso
Microsoft offre modi per inviare alla propria organizzazione da un indirizzo IP fisso senza credenziali. Comodo per le notifiche interne, ma limitato: funziona da un indirizzo fisso, spesso solo verso le tue caselle o con limiti severi verso l'esterno, e richiede una configurazione nell'ambiente di amministrazione che non tutti conoscono.
Opzione 3: un relay per tutta la posta automatica
Dài a ogni dispositivo e a ogni applicazione un accesso proprio su un relay. Lo scanner, il sistema d'allarme e il pacchetto di fatturazione inviano sulla porta 587 con STARTTLS, esattamente come hanno sempre fatto, solo verso un altro nome di server. Il relay invia con SPF e DKIM per il tuo dominio, tiene un registro per ogni messaggio e non conosce i limiti di una casella. Microsoft 365 resta ciò che è: l'ambiente in cui le tue persone scrivono e si riuniscono. Perché quella separazione è saggia anche a prescindere da SMTP AUTH lo leggi sulla pagina sull'e-mail transazionale.
Come si passa
- Fa' un elenco di tutto ciò che invia tramite Microsoft 365 senza una persona dietro. Chiedi al partner IT, al fornitore del sistema d'allarme e al commercialista; l'elenco è sempre più lungo del previsto.
- Crea un accesso sul relay per ogni applicazione. Un accesso per dispositivo, così puoi revocarne uno senza toccare il resto.
- Aggiungi il relay al tuo record SPF e attiva DKIM per il tuo dominio. I record esistenti per Microsoft 365 restano; aggiungi, non sostituisci.
- Cambia per ogni dispositivo il nome del server, la porta e l'accesso. Manda un messaggio di prova a un indirizzo esterno, non a te stesso.
- Nella prima settimana controlla nel registro del relay che tutto arrivi.
Che cosa non fare
Mettere nello scanner la password condivisa di un collaboratore. Funziona finché quel collaboratore cambia password o se ne va, e dà a un apparecchio in corridoio l'accesso a una casella intera. Un accesso di relay può solo inviare, e solo ciò che gli consenti.
Domande frequenti
Cambia qualcosa per i miei collaboratori?
No. Outlook, Teams e la webmail continuano a funzionare come sempre. Solo i dispositivi e le applicazioni ricevono un altro server in uscita.
E le applicazioni che supportano l'accesso moderno?
Possono restare su Microsoft 365. Ma anche allora valgono i limiti d'invio di una casella; per volumi maggiori un relay è comunque la strada migliore.
Posso mantenere l'indirizzo mittente?
Sì. Lo scanner continua a inviare da scanner@tuaazienda.be; cambia solo la strada che il messaggio percorre.