Eind december 2026 zet Microsoft basisauthenticatie voor SMTP AUTH in Microsoft 365 standaard uit. Scanners, printers en programma’s die met een gebruikersnaam en wachtwoord via smtp.office365.com mailen, versturen dan niets meer, tot ze OAuth gebruiken of op een andere manier mailen.
Beheerders kunnen het tijdelijk opnieuw aanzetten, maar Microsoft kondigt de definitieve einddatum aan in de tweede helft van 2027. Het meeste werk zit in uitzoeken welke toestellen en programma’s mailen. Het rapport SMTP AUTH-clients in het Exchange-beheercentrum toont dat per afzender.
In het kort
- Vanaf eind december 2026 staat basisauthenticatie voor SMTP AUTH standaard uit in bestaande Microsoft 365-omgevingen, volgens de Exchange Team-blog van Microsoft van 27 januari 2026.
- Geraakt is alles wat met een wachtwoord via smtp.office365.com mailt: scan naar e-mail, facturen uit een boekhoudpakket, meldingen van alarm- en back-upsystemen.
- Toestellen die al OAuth gebruiken en een SMTP-relay via een connector vallen buiten de wijziging.
- Opnieuw aanzetten kan voorlopig, maar de definitieve einddatum volgt in 2027.
SMTP AUTH uitschakelen: wat doet Microsoft eind december 2026 precies?
SMTP AUTH is de manier waarop toestellen en programma’s die zelf geen mailserver zijn, toch mail versturen via een Microsoft 365-mailbox. Tot nu kan dat met een gewone gebruikersnaam en een wachtwoord, wat Microsoft basisauthenticatie noemt. Voor Outlook, de mobiele mailapps, POP en IMAP schakelde Microsoft die aanmeldmethode al uit in 2022 en begin 2023. SMTP AUTH was de laatste uitzondering, en die verdwijnt nu stap voor stap.
| Wanneer | Wat verandert |
|---|---|
| Nu tot december 2026 | Niets. Basisauthenticatie werkt waar ze aanstaat. |
| Eind december 2026 | Standaard uit voor bestaande Microsoft 365-omgevingen. Beheerders kunnen het nog opnieuw inschakelen. |
| Na december 2026 | Nieuwe Microsoft 365-omgevingen krijgen geen basisauthenticatie meer. OAuth is de ondersteunde methode. |
| Tweede helft van 2027 | Microsoft maakt de definitieve verwijderingsdatum bekend. |
De datum verschoof al drie keer. In april 2024 kondigde Microsoft september 2025 aan, daarna werd het een geleidelijke uitschakeling van maart tot eind april 2026, en op 27 januari 2026 publiceerde het Exchange-team de tijdlijn hierboven. Veel handleidingen van printerfabrikanten en IT-blogs noemen daarom nog een oudere datum. De bekendmaking van januari 2026 is de stand die vandaag geldt.
Wie op Google zoekt naar “SMTP AUTH uitschakelen”, krijgt vaak uitleg over hoe u het protocol zelf uitzet. Dat raadt Microsoft al jaren aan voor organisaties die het niet gebruiken. Wat eind december gebeurt, is iets anders: het protocol blijft bestaan, alleen het aanmelden met een wachtwoord verdwijnt.
Wat valt eronder en wat niet?
Geraakt zijn toestellen en programma’s die aanmelden op smtp.office365.com of smtp-legacy.office365.com met een gebruikersnaam en wachtwoord. Een toestel dat na de uitschakeling zo probeert te mailen, krijgt volgens Microsoft het antwoord “550 5.7.30 Basic authentication is not supported for Client Submission”. Op het scherm van een printer ziet u dat meestal als een algemene verzendfout met een eigen foutcode van de fabrikant.
Niet geraakt zijn:
- SMTP AUTH met OAuth 2.0. Het toestel meldt aan met een token van Microsoft in plaats van een wachtwoord.
- Een SMTP-relay via een connector in Exchange Online, die het toestel herkent aan een certificaat of een vast IP-adres.
- Outlook en de meeste moderne mailapps. Die gebruiken volgens Microsoft geen SMTP AUTH om te versturen.
Welke toestellen en programma’s in een kmo mailen nog met een wachtwoord?
Meestal gaat het om een handvol toestellen en pakketten die ooit met een vaste mailbox en een wachtwoord zijn ingesteld en daarna nooit meer bekeken.
| Type | Wat stopt | Mogelijke oplossing |
|---|---|---|
| Multifunctionele printer of scanner | Scan naar e-mail, fax naar e-mail, meldingen van het toestel | Firmware bijwerken en OAuth instellen; anders een relay, scannen naar een map, OneDrive of SharePoint, of een hulpprogramma van de fabrikant |
| Boekhoud-, ERP- of CRM-pakket | Facturen, herinneringen en offertes per mail | OAuth inschakelen als het pakket dat ondersteunt, of de leverancier om een update vragen |
| Alarm-, toegangs- of camerasysteem | Meldingen per mail | Software of firmware van de leverancier nakijken; anders een relay |
| NAS, back-upsoftware of noodstroomvoeding | Waarschuwingen per mail | OAuth als het toestel dat kan; anders een relay |
| Webformulieren en zelfgeschreven scripts | Bevestigingen, contactformulieren, automatische rapporten | OAuth of Microsoft Graph; een aparte maildienst voor de website |
De laatste twee rijen zijn het verraderlijkst. Een printer die niet meer scant, valt meteen op. Een back-upwaarschuwing die niet meer binnenkomt, merkt niemand, tot de back-up nodig is.
Printers en scanners: wat de fabrikanten zeggen
De meeste grote merken brachten in 2025 en 2026 firmware uit waarmee hun toestellen OAuth gebruiken. Niet elk model krijgt die update.
- Canon documenteert de instelling OAuth 2.0 (Microsoft) via de webinterface Remote UI op ondersteunde imageRUNNER ADVANCE-toestellen.
- Ricoh ondersteunt OAuth per model via een firmware-update en publiceert een lijst (bijgewerkt op 30 januari 2026). Modellen die er niet op staan, krijgen geen ondersteuning. Scannen naar een map of naar USB is niet geraakt.
- Konica Minolta brengt sinds juli 2025 gefaseerd OAuth-firmware uit voor de meeste bizhub-toestellen; enkele oudere modellen krijgen geen update. Bij sommige modellen vraagt u het token aan op het bedieningspaneel zelf.
- Kyocera ondersteunt OAuth op recente toestellen. Voor oudere toestellen is er het gratis hulpprogramma Kyocera Exchange Online Connector; Kyocera België publiceert een handleiding voor beide routes.
- HP ondersteunt OAuth voor scan naar e-mail op Enterprise-toestellen met recente firmware. Volgens HP ondersteunden LaserJet Pro-multifunctionals in het voorjaar van 2026 geen OAuth voor SMTP.
- Epson voegde OAuth 2.0 toe voor een lange reeks printers en scanners, via een firmware-update.
Staat uw merk er niet tussen, vraag het dan na bij uw printerpartner met het exacte model en de firmwareversie. Firmware bijwerken hoort bovendien gewoon bij goed patchmanagement voor kmo’s.
Boekhoud-, ERP- en andere bedrijfssoftware
Voor software hangt het af van de leverancier. Microsoft beschrijft voor Business Central hoe u verzenden via OAuth instelt, en Odoo documenteert de koppeling met Outlook via OAuth. Voor andere pakketten vraagt u de leverancier of het verzenden via Microsoft 365 met OAuth ondersteunt, en vanaf welke versie.
Hoe vindt u wat er mailt? In vijf stappen
Dit is het werk dat de meeste tijd vraagt. U kunt de stappen zo aan uw IT-partner doorgeven.
- Trek het rapport SMTP AUTH-clients. In het Exchange-beheercentrum staat het onder Rapporten, Mail flow. Kies een periode van 90 dagen en exporteer naar een csv-bestand. De kolom Authentication Protocol toont per afzender Basic Auth (TlsAuthLogin) of Modern Auth (XOAUTH2). Elke regel met Basic Auth stopt eind december.
- Koppel elke afzender aan een toestel of programma. Het rapport toont een mailbox, geen toestel. In de aanmeldlogboeken van Microsoft Entra, gefilterd op Client App, ziet u het IP-adres van waaruit die mailbox aanmeldt. Kijk ook op het tabblad met niet-interactieve aanmeldingen. Vraag daarna intern na welke printer, welk pakket of welk systeem die mailbox gebruikt.
- Kies per toestel een oplossing. Werkt OAuth na een firmware-update of een nieuwe softwareversie, dan is dat de eerste keuze. Zo niet: een relay via een connector, scannen naar een map, of een hulpprogramma van de fabrikant.
- Test vóór december. Stel de nieuwe methode in, verstuur een testmail en kijk in het rapport of de afzender nu als Modern Auth verschijnt.
- Zet basisauthenticatie zelf uit zodra niets het nog gebruikt. Per mailbox kan dat in het Microsoft 365-beheercentrum onder Gebruikers, Actieve gebruikers, Mail, E-mailapps beheren, met het vinkje Geverifieerde SMTP. Zo kiest u zelf het moment, in plaats van het in de eindejaarsperiode te ontdekken.
Waarom doet Microsoft dit?
Een wachtwoord dat bij elke aanmelding meegaat, is makkelijk te onderscheppen of te raden, en tweestapsverificatie werkt er niet mee samen. Volgens Microsofts eigen analyse, vermeld op Microsoft Learn in 2026, gebruikt meer dan 99 procent van de password-spray-aanvallen en meer dan 97 procent van de credential-stuffing-aanvallen zulke verouderde aanmeldprotocollen. Bij password spraying proberen aanvallers een paar veelgebruikte wachtwoorden op heel veel accounts tegelijk. Waarom een wachtwoord alleen niet meer volstaat, leest u in ons artikel over MFA en waarom sms niet meer veilig is.
Basisauthenticatie opnieuw aanzetten: kan het, en is het verstandig?
Het kan. Voor een kmo met één oude printer die over enkele maanden vervangen wordt, is dat een verdedigbare tussenoplossing. Er zijn wel twee grenzen. Microsoft kondigt in de tweede helft van 2027 de definitieve einddatum aan, dus het probleem komt terug. En elke mailbox waarop basisauthenticatie aanstaat, blijft een doelwit voor de aanvallen hierboven.
Kiest u toch voor heractiveren, beperk het dan tot de ene mailbox die het nodig heeft, geef die een sterk en uniek wachtwoord, en spreek af wanneer het toestel vervangen of omgezet wordt. Een relay via een connector is een alternatief voor toestellen zonder OAuth. Die vraagt een certificaat of een vast IP-adres dat alleen van uw organisatie is, en een vermelding in uw SPF-record (zie ons artikel over DMARC, SPF en DKIM voor uw kmo). Bespreek die keuze met uw IT-partner.
Uw Microsoft 365-omgeving laten nakijken
Cyberplan brengt in een cybersecurity-audit in kaart waar uw organisatie kwetsbaar is, ook in de configuratie van Microsoft 365. Wat zo’n controle van Microsoft 365 omvat, leest u in ons artikel over de Microsoft 365 security audit. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Vraag de gratis scan aan.
Veelgestelde vragen
Wanneer stopt basisauthenticatie voor SMTP AUTH in Microsoft 365?
Eind december 2026 zet Microsoft basisauthenticatie voor SMTP AUTH standaard uit in bestaande Microsoft 365-omgevingen. Beheerders kunnen het daarna nog opnieuw inschakelen. Nieuwe omgevingen van na december 2026 krijgen het niet meer. De definitieve verwijderingsdatum maakt Microsoft bekend in de tweede helft van 2027.
Stopt scan naar e-mail op elke printer?
Nee. Enkel toestellen die met een gebruikersnaam en wachtwoord via smtp.office365.com mailen, stoppen eind december 2026. Printers die al OAuth gebruiken of via een connector mailen, werken verder. Veel fabrikanten brachten firmware met OAuth uit, maar niet voor elk model; vraag het na met het exacte model en de firmwareversie.
Kan ik basisauthenticatie na december opnieuw aanzetten?
Ja, voorlopig wel. Volgens de Exchange Team-blog van januari 2026 kunnen beheerders basisauthenticatie voor SMTP AUTH na eind december 2026 opnieuw inschakelen. Het is een overgangsregeling: de definitieve einddatum volgt in 2027. Beperk het tot de mailbox die het echt nodig heeft en plan de vervanging.
Is een SMTP-relay via een connector ook geraakt?
Nee. De wijziging geldt alleen voor aanmelden met een wachtwoord op smtp.office365.com. Een relay via een inkomende connector in Exchange Online, die het toestel herkent aan een certificaat of een vast IP-adres, valt erbuiten. Die oplossing vraagt wel technische voorwaarden en een correct SPF-record; bespreek ze met uw IT-partner.
Welke foutmelding krijg ik als het niet meer werkt?
Microsoft noemt als antwoord voor een toestel dat nog met basisauthenticatie aanmeldt: “550 5.7.30 Basic authentication is not supported for Client Submission”. Op een printer of in een programma verschijnt dat vaak als een algemene verzendfout met een eigen foutcode van de fabrikant of de leverancier.
Is High Volume Email een oplossing voor scanners?
Soms. High Volume Email is een dienst van Microsoft voor toestellen en programma’s die naar ontvangers binnen uw eigen organisatie mailen, met aparte accounts zonder licentie. Mail naar externe adressen kan er niet mee. De dienst wordt per ontvanger aangerekend. Voor scan naar uw eigen collega’s kan het passen, voor facturen aan klanten niet.
