Exchange apaga l'SMTP bàsic al desembre i la seva alternativa el manté fins al 2028

550 5.7.30 Basic authentication is not supported for Client Submission. Aquesta és la línia que Microsoft publica com a resposta per quan el bàsic quedi apagat del tot. Si l'apagada del desembre arriba per l'interruptor d'SMTP AUTH de l'inquilí, el que veuràs és el 535 5.7.139 de sempre. Microsoft no ha dit quin dels dos et toca, i a efectes pràctics tant se val: l'important no és la data, ni el número de darrere. És el cinc del principi.

En SMTP, un 4xx significa «ara no, torna més tard»: el missatge es queda en cua i es reintenta. Un 5xx significa «no, i no insisteixis». La norma diu que el client no hauria de repetir, així que a la majoria dels aparells el correu deixa d'existir en el mateix segon en què intenten enviar-lo. I cap no té a qui queixar-se, perquè el rebuig passa en autenticar-se, abans que hi hagi missatge per tornar: no es genera informe de no lliurament, no rebota res, no arriba cap avís a ningú.

Tot el que segueix surt de dos avisos de l'equip d'Exchange i quatre pàgines de la seva documentació. Llegides per separat, cadascuna sembla clara. Llegides juntes, una et diu que no ho podràs tornar a encendre i una altra et diu que sí.

La data ja ha canviat tres vegades

El motiu de l'últim ajornament l'escriu Microsoft sense giragonses, i cal reconèixer que és honest: «We understand that many customers continue to face real challenges modernizing legacy email workflows and need sufficient time to adopt viable, secure alternatives». Traduït: hi ha massa gent que encara no pot.

La nostra lectura, i la diem marcada com a lectura: planificar contra la data és planificar contra l'única cosa que s'ha mogut. El que no s'ha mogut en dos anys d'ajornaments és el codi d'error i el que el provoca.

«No ho podràs tornar a encendre» i «ho podràs tornar a encendre»

L'anunci original continua publicat, amb el seu avís d'actualització a dalt apuntant al nou calendari, i manté intacta la seva secció de preguntes. Una d'elles és exactament la que faràs al gener: «Wait! I still need to use Basic auth; how can I get it re-enabled in my tenant once it gets disabled?». I la resposta és: «You will not be able to do this because Basic auth will be permanently disabled. Don't waste your time engaging Support, as they cannot re-enable Basic auth for you». La següent insisteix: «We cannot offer any exceptions».

No és una contradicció de les que cal denunciar: una frase descriu el desembre i l'altra descriu el final. Però l'ordre en què es llegeixen canvia el que fas. Si llegeixes només la del desembre, la tasca del gener és «tornar-ho a encendre i tancar la incidència». Si llegeixes totes dues, la tasca del gener és una altra.

Hi ha un precedent i és a la documentació oficial, no en un fòrum. Els altres protocols (ActiveSync, POP, IMAP, EWS, PowerShell remot, la llibreta d'adreces, Autodiscover) van passar pel mateix el 2022, i la pàgina que ho recull ho explica així: «Before December 31, 2022, you could re-enable the affected protocols if users and apps in your tenant couldn't connect. Now no one (you or Microsoft support) can re-enable Basic authentication in your tenant». L'interruptor de tornar a encendre va existir exactament durant una finestra, i després va desaparèixer. Això és el que vam explicar quan li va tocar a EWS, quan li va tocar al següent de la llista.

Qui hi ha al port 587

La resposta no cal imaginar-la, perquè Microsoft l'enumera a la seva pròpia pàgina d'SMTP AUTH: «Applications, reporting servers, and multifunction devices that generate and send email messages», a més dels clients POP i IMAP, que necessiten SMTP autenticat per poder enviar. El protocol viu «typically on TCP port 587» i els punts d'entrada afectats són smtp.office365.com i smtp-legacy.office365.com.

Aquella llista, traduïda a una oficina real, és la màquina de la planta dos que escaneja a correu, l'ERP que envia les factures, el servidor d'informes que envia el resum dels dilluns, el sistema d'alarma, la plataforma de fitxatges i aquell script que algú va deixar en una tasca programada. Gairebé cap d'ells no té ningú al davant quan falla. I aquí és on el 5xx es torna interessant: la impressora encén un pilot vermell que ningú no mira, l'ERP escriu una línia en un registre que ningú no llegeix, i la factura que creies enviada no es va enviar. El normal no és assabentar-se'n aquella tarda. El normal és assabentar-se'n quan el client truca al febrer preguntant per què no ha rebut res.

Per això la pregunta útil per a cada emissor de la teva llista no és «sap fer OAuth?». És «què fa això quan l'enviament es rebutja per sempre, i on es veu?». A la majoria de llocs aquesta pregunta no s'ha fet mai, perquè fins ara el correu sempre sortia.

La sortida oficial continua acceptant una contrasenya

Per als aparells que no poden fer OAuth, Microsoft assenyala High Volume Email com a destí. I a la mateixa pàgina on ho anuncia escriu això: «continued support for Basic Authentication until September 2028», amb el motiu explícit que «certain line-of-business (LOB) applications and devices may not support modern authentication yet».

És a dir: la resposta oficial a «la meva impressora només sap usuari i contrasenya» és un servei que continua acceptant usuari i contrasenya vint-i-un mesos més. No hi ha res d'escandalós, és pragmatisme, però convé dir-ho pel seu nom abans de muntar-ho: no és modernitzar res, és mudar el problema a un altre lloc amb una data nova. I hi ha lletra petita de debò.

La fila que importa és la tercera, i Microsoft la justifica així: «HVE will support exclusively internal (within the tenant) messaging capabilities. As a result, the ability to send email to external recipients will be removed». Per enviar a fora, remet a Azure Communication Services. Així que la factura que el teu ERP envia a un client no hi cap. Tampoc l'avís de lliurament al proveïdor ni l'acusament del formulari del web.

Cinc sortides, i la que decideix és el destinatari

Mirant la taula sencera es veu el que no diu cap titular: la columna que decideix no és l'autenticació, és el destinatari. Abans de poder triar sortida cal classificar cada emissor per on envia —només dins, només fora, o les dues coses—, i aquesta classificació no està escrita enlloc. Un multifunció que escaneja a companys i a clients és a les dues files alhora. I convé no saltar-se la quarta sortida per poc glamurosa: per a aquella màquina de la planta dos, en una oficina amb IP fixa, un connector d'entrada acostuma a ser més barat i més ràpid que obrir una subscripció d'Azure, i a més treu la contrasenya del mig en comptes de mudar-la.

Tres interruptors, i no tenen el mateix abast

Microsoft diu «disabled by default», i a l'Exchange Online «per defecte» té un significat tècnic molt concret. Hi ha tres mecanismes documentats que poden dir que no a un usuari i una contrasenya per SMTP, i no arriben a les mateixes bústies. Per quin d'ells arriba el desembre encara no ho ha publicat ningú, i no cal deduir-ho: el mateix missatge del centre de missatges tanca el bloc dient «We will provide detailed information in a follow up Message Center Post». Així que el detall està pendent, i el que segueix és una comprovació que pots fer avui, no una afirmació sobre com ho implementaran.

Les dues últimes files admeten excepcions posades a mà, bústia a bústia o usuari a usuari. I a la majoria d'inquilins aquestes excepcions existeixen: es van posar durant la neteja del 2022, perquè la impressora continués funcionant, i les va posar algú que potser ja no hi treballa. Aquesta és la llista que convé tenir al davant abans que arribi el desembre, s'implementi com s'implementi.

Hi ha a més un informe que fa la meitat de la feina i que hi és des de l'octubre del 2024: al centre d'administració de l'Exchange, l'informe de clients d'enviament SMTP AUTH distingeix des de llavors si cada emissor s'autentica amb bàsic o amb OAuth. No et diu a qui envia cadascun —aquesta columna l'has de posar tu—, però et dona els noms.

Què faríem nosaltres al novembre

Res d'heroic, i cap en un matí. Treure l'informe i quedar-se amb els emissors que van amb bàsic. Creuar-ho amb les bústies que tenen l'excepció posada a mà, perquè gairebé sempre n'apareix alguna que ja ningú no fa servir i que fa quatre anys que té una contrasenya permanent a sobre. Afegir a cada fila dues columnes que l'inventari no porta mai: on envia —només dins, només fora, les dues coses— i on es veuria l'error si demà li diguessin que no.

Amb aquella taula al davant les decisions surten soles, i la meitat són d'apagar: el que es mou a OAuth, el que es passa a un connector, el que es jubila perquè feia dos anys que enviava a una llista de distribució buida, i el que es queda esperant amb una data pròpia escrita. El bo és que aquella taula no caduca quan Microsoft mogui la data una altra vegada, i la mouran. Les polítiques de l'inquilí, quina bústia fa servir cada aparell i què es veu quan alguna cosa es rebutja és govern de Microsoft 365; quina integració de l'ERP envia aquell correu, si pot parlar OAuth i quant costa que el parli és terreny de dades i aplicacions. Si vols que ho mirem amb tu, hi ha el formulari de contacte.

A finals de desembre no sonarà cap alarma. Un 5xx no sona: és un silenci molt net, i els silencis nets són els cars. La diferència entre l'equip a qui això costa un matí i l'equip a qui costa una reclamació d'un client al febrer no la marca la rapidesa amb què reaccioni al gener. La marca si algú es va asseure al novembre a escriure la llista.

Fonts. Consultades el 3 de novembre de 2026. El calendari vigent i les seves fites citades literalment són de l'avís «Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline», de l'equip de missatgeria de Microsoft 365, publicat el 27 de gener del 2026, que a dia d'avui continua sent l'últim. El calendari anterior (1 de març i 30 d'abril del 2026, i abans setembre del 2025), el codi 550 5.7.30 i la seva condició «once Basic auth is permanently disabled», els dos punts d'entrada, les alternatives i les dues preguntes del FAQ sobre tornar-ho a encendre són de l'avís original, «Exchange Online to retire Basic auth for Client Submission (SMTP AUTH)», que continua publicat amb la seva nota d'actualització. La pausa del juny del 2025 («has been put on hold») i la frase sobre el detall pendent («We will provide detailed information in a follow up Message Center Post») són del missatge MC786329 del centre de missatges, que també recull la columna de protocol d'autenticació afegida a l'informe l'octubre del 2024. El precedent del 2022, la frase sobre que ja ningú no ho pot reactivar i els protocols afectats llavors són de «Deprecation of Basic authentication in Exchange Online». La llista de qui fa servir SMTP AUTH, el port 587, l'ajust per organització i per bústia, la precedència de la bústia i la nota sobre els valors predeterminats de seguretat són de «Enable or disable SMTP AUTH in Exchange Online». El commutador AllowBasicAuthSmtp i la precedència de les polítiques assignades sobre la política per defecte són de «Disable Basic authentication in Exchange Online». El relay SMTP amb connector d'entrada, la seva autenticació per certificat o IP fixa, el port 25 i la frase sobre quan aplica són de «How to set up a multifunction device or application to send email». El suport de bàsic fins al setembre del 2028, el pas a destinataris exclusivament interns i la taula de límits són de «High Volume Email: Continued support for Basic Authentication»; la disponibilitat general, l'inici de facturació l'1 de juny del 2026, els 42 dòlars per milió de destinataris i l'avís d'interrupció si no es configura la facturació són del missatge MC1243552. El 535 5.7.139 és l'error documentat quan SMTP AUTH està deshabilitat a l'inquilí o a la bústia, i el citem com l'altra possibilitat precisament perquè el mecanisme del desembre no està publicat. Les cites es deixen en el seu anglès original perquè es puguin cercar literalment. La fotografia de la imatge social és «Konica Minolta Bizhub C454e photocopier», de Baron Maddock, CC BY 4.0 via Wikimedia Commons.