Mapa artykułu
Spis treści
W skrócie
SMTP AUTH (uwierzytelnione wysyłanie SMTP) to sposób, w jaki urządzenie lub program loguje się do serwera Microsoft 365 (smtp.office365.com, port 587) na konto skrzynki pocztowej, żeby wysłać e-mail w imieniu firmy.
- Koniec grudnia 2026 r. — Basic Auth dla SMTP AUTH zostanie domyślnie wyłączony w istniejących tenantach Microsoft 365.
- Administrator może go jeszcze włączyć, ale ostateczną datę usunięcia Microsoft ogłosi w 2. połowie 2027 r.
- Najbardziej narażone są skanery, drukarki, ERP, NAS i sklepy, które wysyłają maile loginem i hasłem.
- Sprawdzisz to w 5 minut — raport „SMTP AUTH clients” w centrum administracyjnym Exchange pokazuje, kto używa Basic Auth.
- Rozwiązania są cztery — OAuth, konektor SMTP relay, Direct Send (tylko wewnętrznie) albo usługa wysyłkowa Microsoft.
Co dokładnie zmienia Microsoft w grudniu 2026
Microsoft od kilku lat wygasza logowanie podstawowe (Basic Authentication), czyli przesyłanie loginu i hasła bez nowoczesnego mechanizmu tokenów. 1 października 2022 r. Basic Auth wyłączono już m.in. dla Exchange ActiveSync, POP, IMAP, EWS, Remote PowerShell i Outlooka — a także dla SMTP AUTH w tych tenantach, które z niego nie korzystały. Firmy, które SMTP AUTH używały, dostały czas. Ten czas właśnie się kończy.
Harmonogram według Microsoftu
| Kiedy | Co się dzieje | Co to znaczy dla firmy |
|---|---|---|
| Do grudnia 2026 r. | Działanie SMTP AUTH z Basic Auth bez zmian | Urządzenia i programy wysyłają maile jak dotąd |
| Koniec grudnia 2026 r. | Basic Auth dla SMTP AUTH wyłączony domyślnie w istniejących tenantach | Wysyłka loginem i hasłem przestaje działać, dopóki administrator jej świadomie nie włączy |
| Nowe tenanty po grudniu 2026 r. | Basic Auth dla SMTP AUTH niedostępny domyślnie, wspierany jest OAuth | Nowa firma lub nowe środowisko M365 od razu wymaga nowoczesnej metody |
| 2. połowa 2027 r. | Microsoft ogłosi ostateczną datę usunięcia Basic Auth dla SMTP AUTH | Ponowne włączenie to tylko odroczenie, nie rozwiązanie |
Co znaczy „wyłączony domyślnie”
To ważne rozróżnienie. Microsoft nie wyłącza protokołu SMTP ani samej wysyłki przez smtp.office365.com — wyłącza domyślnie jedną metodę logowania. Urządzenie, które potrafi zalogować się przez OAuth (nowoczesne uwierzytelnianie), dalej będzie wysyłać. Urządzenie, które zna tylko login i hasło, przestanie. Administrator może Basic Auth przywrócić, ale Microsoft wprost zapowiada, że w 2027 r. poda datę ostatecznego usunięcia.
Dlaczego Microsoft to robi
Login i hasło zapisane w skanerze, programie czy wtyczce sklepu to klucz do skrzynki firmowej, którego nie chroni MFA. Dlatego Microsoft w dokumentacji zaznacza, że SMTP AUTH z Basic Auth nie jest zgodny z Security defaults w Microsoft Entra ID — jeśli firma ma włączone domyślne zabezpieczenia, SMTP AUTH jest już wyłączony. Innymi słowy: wiele firm, które „mają to od lat”, trzyma w urządzeniach hasła do skrzynek z wyłączonymi zabezpieczeniami.
Kogo to dotyczy: urządzenia i programy, które wysyłają maile loginem i hasłem
Zmiana dotyczy każdego urządzenia lub programu, który wysyła pocztę przez smtp.office365.com, logując się loginem i hasłem skrzynki. W praktyce najczęściej są to:
- urządzenia wielofunkcyjne i skanery z funkcją „skanuj do e-maila”;
- programy księgowe, ERP i CRM, które wysyłają faktury, przypomnienia o płatnościach i dokumenty;
- serwery NAS (np. Synology i QNAP) wysyłające powiadomienia o błędach dysków i kopiach zapasowych;
- zasilacze UPS, rejestratory kamer i systemy monitoringu, które alarmują mailem;
- sklepy internetowe i strony WordPress z wtyczkami SMTP (potwierdzenia zamówień, formularze kontaktowe);
- skrypty i aplikacje wewnętrzne, np. raporty generowane nocą.
Najgroźniejsze są te ostatnie pozycje, bo nikt nie patrzy na nie codziennie. Skaner ktoś zauważy po godzinie. Brak powiadomienia z NAS o padającym dysku zauważysz dopiero wtedy, gdy padnie drugi. Dlatego w obsłudze IT tak ważny jest monitoring IT, który nie opiera się wyłącznie na mailach.
| Źródło wysyłki | Typowy skutek wyłączenia Basic Auth | Kto zauważy pierwszy |
|---|---|---|
| Skaner / urządzenie wielofunkcyjne | Skany nie dochodzą na maila | Pracownicy — szybko |
| Program księgowy / ERP | Faktury i ponaglenia nie wychodzą do klientów | Klient lub księgowość — po kilku dniach |
| NAS / backup | Brak alertów o awariach i nieudanych kopiach | Nikt — aż do awarii |
| Sklep / formularz WWW | Brak potwierdzeń zamówień i zapytań z formularza | Klienci, dział sprzedaży |
| UPS / kamery / monitoring | Brak alarmów | Nikt — aż do incydentu |
Jak sprawdzić, czy Twoja firma używa SMTP AUTH z Basic Auth — krok po kroku
Nie trzeba zgadywać. Microsoft 365 sam pokazuje, kto wysyła pocztę starą metodą. Procedura dla administratora:
- Zaloguj się do nowego centrum administracyjnego Exchange (Exchange admin center) kontem z uprawnieniami administratora.
- Otwórz Raporty → Przepływ poczty → raport „SMTP AUTH clients”. Domyślnie pokazuje ostatnie 7 dni — rozszerz zakres do 90 dni, żeby złapać urządzenia, które wysyłają rzadko (np. raporty miesięczne).
- Sprawdź kolumnę protokołu uwierzytelniania. Wartość TlsAuthLogin oznacza Basic Auth, a XOAUTH2 — nowoczesne uwierzytelnianie. Interesują Cię wszystkie wiersze z TlsAuthLogin.
- Spisz nadawców — każdy adres z TlsAuthLogin to konkretne urządzenie, program lub skrypt. Przypisz każdemu właściciela i lokalizację.
- Sprawdź ustawienie organizacji i skrzynek w PowerShell:
Get-TransportConfig | Format-List SmtpClientAuthenticationDisabledoraz ustawienia per skrzynka (Set-CASMailbox … -SmtpClientAuthenticationDisabled). Ustawienie skrzynki ma pierwszeństwo przed ustawieniem organizacji. - Dla każdego nadawcy wybierz docelową metodę (OAuth, relay, Direct Send lub usługa wysyłkowa) — patrz tabela niżej.
- Przetestuj zmianę przed końcem grudnia, najlepiej na jednym urządzeniu z każdej grupy, i zapisz konfigurację w dokumentacji IT.
Jeśli raport jest pusty, nie oznacza to automatycznie, że problemu nie ma — Microsoft sam radzi zmienić wtedy zakres dat. Część urządzeń wysyła pocztę raz na kwartał.
Mit czy fakt — 6 przekonań o końcu SMTP AUTH Basic
| Przekonanie | Mit czy fakt | Jak jest naprawdę |
|---|---|---|
| „Microsoft wyłącza SMTP w Microsoft 365.” | Mit | Wyłącza domyślnie jedną metodę logowania (Basic Auth). SMTP AUTH z OAuth nadal działa. |
| „Jak skaner działa dziś, to w styczniu też będzie.” | Mit — często | Jeśli loguje się loginem i hasłem, po zmianie domyślnego ustawienia przestanie wysyłać. |
| „Włączymy Basic Auth z powrotem i temat zamknięty.” | Mit | Microsoft ogłosi ostateczną datę usunięcia w 2. połowie 2027 r. Ponowne włączenie to tylko odroczenie. |
| „Direct Send załatwi wszystko.” | Mit | Direct Send wysyła tylko do odbiorców wewnątrz Twojej organizacji M365 — faktura do klienta nie wyjdzie. |
| „Security defaults i SMTP AUTH się wykluczają.” | Fakt | Przy włączonych Security defaults SMTP AUTH jest już wyłączony. |
| „Nowe środowiska M365 nie będą miały Basic Auth dla SMTP.” | Fakt | Tenanty utworzone po grudniu 2026 r. domyślnie wspierają tylko OAuth. |
Co wybrać: cztery drogi zamiast loginu i hasła
Nie ma jednego rozwiązania dla wszystkich urządzeń. Dobór zależy od tego, czy urządzenie obsługuje OAuth, czy musi wysyłać do klientów i czy firma ma stały adres IP. Porównanie na podstawie dokumentacji Microsoft:
| Metoda | Odbiorcy zewnętrzni | Wymaga skrzynki z licencją | Uwierzytelnianie | Kiedy wybrać |
|---|---|---|---|---|
| SMTP AUTH z OAuth | tak | tak | OAuth (token) | Urządzenie lub program obsługuje OAuth — najprostsza zmiana |
| SMTP relay (konektor) | tak | nie | Stały, niewspółdzielony adres IP lub certyfikat TLS | Starsze urządzenia bez OAuth, wysyłka do klientów, biuro ze stałym IP |
| Direct Send | nie — tylko wewnętrzni | nie | Brak (wymaga SPF, DKIM, DMARC) | Skany i alerty tylko do pracowników |
| Usługa wysyłkowa Microsoft (HVE lub Azure Communication Services Email) | HVE: nie; ACS: tak | nie | Zależnie od usługi | Aplikacje i systemy wysyłające dużo wiadomości |
Kiedy wystarczy OAuth
Wiele nowszych urządzeń i programów ma już opcję logowania kontem Microsoft (OAuth). Często wystarczy aktualizacja oprogramowania urządzenia i ponowna konfiguracja poczty — bez zmian w sieci. Warto zacząć od tego, bo wiadomości trafiają do „Elementów wysłanych” i działają z każdego miejsca.
Kiedy konektor SMTP relay
Gdy urządzenie nie obsługuje OAuth, a musi wysyłać do klientów (np. faktury z programu księgowego), sprawdzonym wyjściem jest konektor w Exchange Online, który przyjmuje pocztę z Twojego stałego adresu IP lub z certyfikatem. Nie wymaga osobnej licencji skrzynki, ale wymaga poprawnie skonfigurowanej sieci i rekordów SPF — to zadanie dla administratora, nie dla pracownika biura.
Kiedy Direct Send
Direct Send ma sens, gdy skaner wysyła wyłącznie do pracowników firmy. Jest prosty, ale nie wyśle nic na zewnątrz, a wiadomości są traktowane jak anonimowa poczta z internetu i przechodzą przez filtry antyspamowe.
Plan na IV kwartał 2026: co zrobić do świąt
Grudzień w firmach to zamknięcia roku, urlopy i zmniejszona obsada. To najgorszy moment na odkrywanie, że faktury nie wychodzą. Proponujemy prosty harmonogram:
| Termin | Zadanie | Efekt |
|---|---|---|
| Październik | Raport SMTP AUTH za 90 dni, lista nadawców z właścicielami | Wiesz, co przestanie działać |
| Listopad | Przełączenie urządzeń na OAuth lub relay, aktualizacje firmware | Najważniejsze procesy (faktury, alerty) działają już po nowemu |
| Pierwsza połowa grudnia | Test wyłączenia Basic Auth na grupie skrzynek, poprawki | Brak niespodzianek po zmianie domyślnej |
| Druga połowa grudnia | Dyżur i plan awaryjny na wypadek pominiętego urządzenia | Szybka reakcja zamiast przestoju |
Jeśli firma i tak planuje porządki w Microsoft 365 — licencje, zabezpieczenia, pocztę — to dobry moment, żeby zrobić to razem. Opisujemy to na stronach Microsoft 365 Business Basic, Standard i Premium, migracja do Microsoft 365 i migracja poczty do Microsoft 365, a ile to trwa w praktyce — w artykule o wdrożeniu Microsoft 365 w firmie.
Najczęstsze błędy przy przełączaniu
- Jedno wspólne konto „skaner@” dla wszystkich urządzeń — po zmianie hasła lub metody logowania pada wszystko naraz. Lepiej rozdzielić nadawców i opisać ich w dokumentacji.
- Hasło do skrzynki technicznej zapisane w kilkunastu miejscach — w urządzeniach, programach i wtyczkach. Przy przejściu na OAuth lub relay warto je zmienić, bo przez lata mogło trafić w niepowołane ręce.
- Włączenie relay bez kontroli adresów IP — źle ustawiony konektor może pozwolić na wysyłkę poczty, której nie planowałeś. Konektor ma przyjmować pocztę tylko ze stałych adresów firmy lub z certyfikatem.
- Brak rekordów SPF, DKIM i DMARC przy Direct Send — wiadomości lądują w spamie albo są odrzucane.
- Test tylko „czy mail doszedł do mnie” — sprawdź też wysyłkę do odbiorcy zewnętrznego, bo tu różnią się metody.
Co sprawdzić przy okazji
Skoro i tak przeglądasz, kto wysyła pocztę z Twojej domeny, to dobry moment na przegląd skrzynek technicznych i ich uprawnień, wyłączenie nieużywanych kont i sprawdzenie, czy konta administratorów mają MFA. Takie porządki zmniejszają ryzyko przejęcia skrzynki i przydają się także przy audytach bezpieczeństwa oraz wymaganiach ubezpieczycieli cyber.
Dlaczego takie zmiany to zadanie dla stałej obsługi IT
Koniec SMTP AUTH Basic to nie jednorazowy problem, tylko przykład zmian, które Microsoft wprowadza co kwartał. Ktoś musi czytać Centrum wiadomości Microsoft 365, wiedzieć, które urządzenia w firmie korzystają z danej funkcji, i zaplanować zmianę, zanim coś przestanie działać. W firmie bez działu IT zwykle nikt tego nie robi — aż do awarii.
Dlatego w ramach outsourcingu IT prowadzimy dokumentację urządzeń i usług, monitorujemy komunikaty dostawców i planujemy takie migracje z wyprzedzeniem. Pracownicy zgłaszają problemy do helpdesku IT, a administratorzy pilnują rzeczy, których nikt nie widzi — jak kopie zapasowe Microsoft 365 czy filtrowanie poczty (SpamTitan). Jak wygląda to od pierwszego dnia, opisujemy w tekście kompleksowa obsługa IT krok po kroku. Firmy z regionu łódzkiego obsługujemy także na miejscu — zobacz outsourcing IT w Łodzi. A jeśli Twoja firma podlega nowym przepisom o cyberbezpieczeństwie, sprawdź też, jak wpisać firmę do wykazu KSC.
FAQ — SMTP AUTH w Microsoft 365
Kiedy Microsoft wyłączy Basic Auth dla SMTP AUTH?
Pod koniec grudnia 2026 r. Basic Auth dla SMTP AUTH zostanie domyślnie wyłączony w istniejących tenantach. Ostateczną datę usunięcia Microsoft ogłosi w 2. połowie 2027 r.
Czy skaner przestanie wysyłać maile po zmianie?
Tak, jeśli wysyła przez smtp.office365.com, logując się loginem i hasłem. Urządzenia z OAuth, relay lub Direct Send nie są objęte tą zmianą.
Jak sprawdzić, które urządzenia używają Basic Auth?
W centrum administracyjnym Exchange: Raporty → Przepływ poczty → „SMTP AUTH clients”. Wiersze z protokołem TlsAuthLogin to Basic Auth; zakres dat można rozszerzyć do 90 dni.
Czy można z powrotem włączyć Basic Auth dla SMTP?
Tak, administrator może go włączyć po zmianie domyślnej, ale to rozwiązanie tymczasowe — Microsoft zapowiedział ogłoszenie ostatecznej daty usunięcia w 2027 r.
Co zrobić, jeśli urządzenie nie obsługuje OAuth?
Najczęściej skonfigurować konektor SMTP relay w Exchange Online (stały adres IP lub certyfikat), a dla wysyłki tylko do pracowników — Direct Send. Czasem wystarczy aktualizacja firmware.
Czy Direct Send wyśle fakturę do klienta?
Nie. Direct Send dostarcza pocztę tylko do odbiorców w Twojej organizacji Microsoft 365. Do klientów potrzebny jest OAuth, relay lub usługa wysyłkowa.
Źródła i metodologia
Wszystkie daty i parametry techniczne pochodzą z dokumentów Microsoftu, które sprawdziliśmy u źródła 30 września 2026 r. Tabele „skutki wyłączenia” i „plan na IV kwartał” to nasze zestawienia praktyczne — oznaczyliśmy je w podpisach.
- Microsoft Exchange Team Blog — „Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline” (27.01.2026).
- Centrum wiadomości Microsoft 365, komunikat MC786329 — „Exchange Online to retire Basic Auth for Client Submission (SMTP AUTH)”, wersja z 27.01.2026.
- Microsoft Learn — „Deprecation of Basic authentication in Exchange Online” (wyłączenia z 1.10.2022).
- Microsoft Learn — „How to set up a multifunction device or application to send email using Microsoft 365” (metody wysyłki, limity, Security defaults).
- Microsoft Learn — „Enable or disable SMTP AUTH in Exchange Online” (polecenia PowerShell) oraz „SMTP AUTH clients report” (TlsAuthLogin / XOAUTH2, zakres 90 dni).
Data aktualizacji: 30 września 2026 r. Microsoft może ponownie zmienić harmonogram — wtedy zaktualizujemy ten artykuł.
Nie czekaj, aż faktury przestaną wychodzić. Sprawdzimy Twój Microsoft 365, zanim zrobi to Microsoft.
W ramach bezpłatnej konsultacji przejrzymy raport SMTP AUTH, wskażemy urządzenia i programy zagrożone zmianą i zaproponujemy plan przejścia — OAuth, relay lub Direct Send, z testami przed końcem grudnia. A jeśli chcesz mieć takie zmiany z głowy na stałe — porozmawiamy o obsłudze IT Twojej firmy.
