Exchange Online SMTP AUTH 基本身份验证退役：在默认关闭前找出所有扫描仪和应用

一句话结论： 按照 Exchange 团队 2026 年 1 月 27 日发布、1 月 29 日最后修订（3.0 版）的最新时间表，SMTP AUTH 基本身份验证在 2026 年 12 月之前照常可用；12 月底起，现有租户默认关闭（管理员仍可重新开启）；最终移除日期，微软表示将在 2027 年下半年公布。接下来这八周，最该做的是列出所有仍用账号密码发信的打印机、扫描仪和应用，并为每一个换上 OAuth、连接器中继或其他发信方式。

SMTP AUTH 基本身份验证退役属于那种平时没人留意、直到某天早上多功能一体机"扫描到邮件"突然失灵才被发现的变化。Exchange Online 早在 2022 至 2023 年间就停止了 Outlook、ActiveSync、POP、IMAP 和远程 PowerShell 的基本身份验证。SMTP AUTH 客户端提交，也就是扫描仪、业务系统和老旧网站通过 smtp.office365.com 发信所用的协议，因为太多办公设备依赖它，被留到了最后。

本文讲实际操作：截至 2026 年 10 月 31 日微软到底公布了什么，怎样在租户里找出每一台仍用基本身份验证发信的设备和每一个应用，以及怎样为它们逐个选择替代方案。读者是一月份会被问到"扫描仪怎么不能发邮件了"的那个人。

退役的到底是什么？什么时候生效？

现行时间表来自 Exchange 团队 2026 年 1 月 27 日的博客文章《Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline》；该文的版本记录显示最后一次修订为 2026 年 1 月 29 日（3.0 版），本文依据的是这一版本。这篇文章取代了 2024 年 4 月的原公告（消息中心编号 MC786329）。原计划是 2026 年 3 月 1 日开始拒绝基本身份验证、4 月 30 日全部拒绝，这两个日期已经作废。如果供应商、论坛或旧文章还在引用它们，说明对方用的是被取代的旧计划。

截至 2026 年 10 月 31 日，我们在微软官方渠道上能找到的最新时间表仍是 1 月这篇（2026 年 1 月 29 日修订版）。它分三个阶段：

• 现在到 2026 年 12 月。 没有变化。凡是已经开启的地方，SMTP AUTH 基本身份验证照旧工作。
• 2026 年 12 月底。 现有租户的 SMTP AUTH 基本身份验证默认关闭。如果确实有设备来不及迁移，管理员仍可重新开启。2026 年 12 月之后新建的租户默认不提供基本身份验证，支持的方式是 OAuth。
• 最终移除。 微软尚未定下日期。Exchange 团队的文章表示会在 2027 年下半年公布；对应的消息中心条目（MC786329）只写了“2027 年”。

有两点需要说清楚，因为大部分误解都出在这里。

第一，微软关闭的不是 SMTP，而是 SMTP AUTH 客户端提交上的基本身份验证。用 OAuth 2.0 令牌登录 smtp.office365.com 的设备会继续工作；通过连接器中继或直接发送（Direct Send）发出的邮件也不受影响，因为这两种方式根本不用邮箱密码登录。

第二，"默认关闭、但可以重新开启"是一段宽限期，不是解决办法。一月份把开关重新打开的租户，只是把问题推迟到一个微软还没公布的日子，该做的工作迟早要做。在按本文任何日期做计划之前，请再看一次 Exchange 团队博客，这个日期已经改过一次。

扫描仪现在能用，为什么还要管？

因为这种故障在出事之前是悄无声息的。扫描仪认证失败不会自动开工单。员工按下"扫描到邮件"，邮件没到，过几天才有人提起。如果同一个租户里还有发送汇款通知的财务系统、网站联系表单，或者用邮件发告警的监控工具，它们也会一起停，而且有些并不显眼。

撇开微软的时间表，这件事本身也有安全上的理由。基本身份验证意味着邮箱密码存放在设备的设置页面或应用的配置文件里，往往是一个共用的"scanner@"账号，密码多年不变，而且因为设备无法响应验证提示，被排除在多重身份验证之外。这个账号就是条件访问设计里一个长期存在的例外。我们的小型租户条件访问基线一文解释了为什么阻止旧式身份验证应该是小型租户最先上线的策略之一，而每一个 SMTP AUTH 发信设备，都是当初没开这条策略的理由。

怎样找出所有仍在用 SMTP AUTH 基本身份验证的设备和应用？

从三个方向入手，因为每个方向都能抓到其他方向漏掉的东西。

先看 SMTP AUTH 客户端报告

Exchange 管理中心有一份专门的报告。在新版 Exchange 管理中心中，进入"报告"，再进入"邮件流"，打开"SMTP AUTH 客户端报告"。它列出通过 SMTP AUTH 发信的发件地址、域、所用身份验证协议（基本或新式）、各 TLS 版本的流量占比和邮件数量。默认只显示最近 7 天，请把日期范围放宽：只在月底扫描的设备，在 7 天窗口里是看不到的。

微软在 Microsoft Learn 的《SMTP AUTH clients report in the new EAC in Exchange Online》一文中说明了这份报告。查看它需要文中列出的 Exchange 或安全读取类角色之一，安全读者（Security Reader）就可以运行，不需要任何写权限。

再查邮件从哪里发出

报告告诉你是哪个邮箱发了信，但不告诉你是哪张桌子上的哪台设备。要找到设备，请打开 Microsoft Entra 管理中心的登录日志，把客户端应用筛选为"Authenticated SMTP"。每条记录都有账号、时间和来源 IP。办公室的 IP 指向现场设备；云服务商网段里的 IP 通常是托管在云上的应用或网站；不认识的 IP 值得细看，因为 SMTP AUTH 也是攻击者用盗来的凭据发信的途径。

把结果整理成一张简单的登记表，每个发信方一行：所用账号、是什么设备或应用、负责人、所在位置、发信频率，以及收件人是内部还是外部。最后一列决定了可以选哪种替代方案。

最后核对哪些邮箱被允许使用 SMTP AUTH

在 Exchange Online PowerShell 中，Get-TransportConfig | Format-List SmtpClientAuthenticationDisabled 显示组织级设置；Get-CASMailbox -ResultSize Unlimited | Where-Object { $_.SmtpClientAuthenticationDisabled -eq $false } 列出单独开启了 SMTP AUTH 的邮箱。微软的《Enable or disable SMTP AUTH in Exchange Online》一文说明了优先级：邮箱级的 true 或 false 会覆盖组织级设置，留空则跟随组织设置。

把这份名单和登记表对一下。开启了但过去一个月没发过信的邮箱，是一个应该直接删掉的例外；发了信却不在任何已知设备名单上的邮箱，是最先要查的那一个。

有哪些替代方案？怎样选？

微软针对打印机、扫描仪和业务应用的故障排查文章列出了几种主要方式。选哪一种，取决于设备能做什么，以及邮件要发到哪里。

OAuth、连接器中继还是直接发送？

• 使用 OAuth 2.0 的 SMTP AUTH。 设备或应用继续通过 587 端口向 smtp.office365.com 发信，只是改用令牌而不是密码登录。这是最干净的做法，也是微软给新租户指定的方式。它的限制在设备本身：很多 2020 年前后之前的扫描仪没有 OAuth 选项，有些要靠固件升级才能获得。请先查厂商最新的固件说明，不要想当然。
• 通过连接器中继。 在 Exchange Online 里建一个入站连接器，接受来自办公室固定公网 IP 或证书的邮件，设备不登录、直接发往你的 MX 端点。它可以发给外部收件人。前提是有固定 IP，而且该 IP 后面的所有设备都能中继，所以最好配一条防火墙规则，只允许打印机所在网段访问外部 25 端口。
• 直接发送（Direct Send）。 设备不认证、不经连接器，直接发往你的 MX 端点。设置最简单，但只能投递给本组织内部的收件人。扫描到自己邮箱通常够用；需要给客户发邮件的系统就不行。
• 业务应用改用 Microsoft Graph。 自建或第三方业务应用可以通过 Microsoft Graph 的 sendMail 接口发信，使用带 Mail.Send 权限的应用注册，并把权限限定在它应该用的邮箱上。这样就彻底绕开了 SMTP，也是大多数现代应用框架支持的方式。
• Microsoft 365 高容量邮件（High Volume Email）。 这是微软为向内部收件人批量发信设计的服务，例如发给全员的系统通知。使用前请在 Microsoft Learn 上核对它当前的授权、限额和身份验证方式，这项服务预览期很长，条款之后也有过调整。

对于给客户发送大量邮件的应用，第三方事务邮件服务也是合理的选择，但那是另一次采购，也要另外维护一套 SPF、DKIM 和 DMARC 记录。

一条简单的判断规则

设备支持 OAuth，就用 OAuth。不支持、且只发给自己员工，就用直接发送。不支持、但必须发到外部，就用固定 IP 的连接器中继。是你能控制的软件，就迁到 Graph。每一行的决定都写进登记表，因为两年后不会有人记得仓库那台打印机为什么有自己的连接器。

怎样赶在微软之前自己关掉基本身份验证？

按自己的日子关，好过按微软的日子被关。计划好的切换可以选一个清闲的星期，提前通知经常扫描的同事，并安排人在现场。

1. 把登记表上的每个发信方迁到新方式，并确认测试邮件能送达内部，必要时也确认能送达外部。
2. 用 Set-CASMailbox -Identity scanner@yourdomain.com -SmtpClientAuthenticationDisabled $true 删除邮箱级例外，或者设为 $null，让它跟随组织设置。
3. 关闭组织级 SMTP AUTH。在 Exchange 管理中心，这是"邮件流设置"页面上的"Turn off SMTP AUTH protocol for your organization"选项；在 PowerShell 中是 Set-TransportConfig -SmtpClientAuthenticationDisabled $true。
4. 之后两周持续观察 SMTP AUTH 客户端报告和 Authenticated SMTP 登录记录。还出现的，就是漏掉的发信方。
5. 确认没有合法发信方之后，新增或确认阻止旧式身份验证的条件访问策略，并把共用扫描账号移出所有 MFA 排除组。

如果租户启用了安全默认值，SMTP AUTH 本来就是关闭的，现在能用的设备一定走的是其他方式。微软还提到，阻止基本身份验证的身份验证策略，即使邮箱和组织设置都允许，也会让 SMTP AUTH 失效，这是"明明开了还是不行"的常见原因。

Microsoft 365 安全审计在这里检查什么？

旧式身份验证是我们 Microsoft 365 安全审计清单里的一个检查领域，而剩下的例外通常就藏在 SMTP AUTH 里。审计时，我们读取组织级和邮箱级 SMTP AUTH 设置、SMTP AUTH 客户端报告和 Authenticated SMTP 登录记录，再与条件访问策略及其排除项逐一对照。报告逐个列出发信方、所用账号、该账号是否被排除在 MFA 之外，以及建议的替代方式，所以每条发现都附带方案，而不只是一句警告。

Microsoft 365 安全审计示例报告（英文页）以一家虚构公司展示了这类发现的写法：一条发现、背后的证据、关闭它需要的工作量，以及它属于修复计划的哪个阶段。审计只读、远程交付，全局管理员授予只读访问后 5 到 7 个工作日出报告。价格按人数固定，10 位用户以内 450 美元起，各档价格和完整范围见 Microsoft 365 安全审计定价页。

对英国的团队来说，旧式身份验证还关系到 Cyber Essentials，它要求云服务启用 MFA，对无法使用 MFA 的账号会追问。对澳大利亚及其他地区的团队来说，这是大多数网络保险投保问卷都会问的问题。两种情况下，报告都是为了在这类对话中用作证据而设计的，最终结论由评估方或保险公司自己作出。

如果你需要的是有人长期负责邮件流、连接器和过滤，而不是一次性复核，Brocent 的托管邮件安全服务可以承担这部分工作。

常见问题

微软要关闭 Exchange Online 的 SMTP 吗？

不是。退役的只是 SMTP AUTH 客户端提交上的基本身份验证。使用 OAuth 的 SMTP AUTH 照常工作，连接器中继和直接发送也照常工作，因为它们不用邮箱密码认证。

2026 年 12 月底会发生什么？

根据 Exchange 团队 2026 年 1 月的更新（1 月 27 日发布、1 月 29 日修订），现有租户的 SMTP AUTH 基本身份验证将默认关闭，管理员仍可在需要时重新开启。微软表示最终移除日期将在 2027 年下半年公布。

一月份直接把基本身份验证重新打开行不行？

目前可以。对一台来不及更换的设备来说，这是合理的短期措施。但它不是计划：这个设置终究会被移除，而它依赖的账号在此之前一直是 MFA 策略里一个只靠密码的例外。

怎样判断扫描仪是否支持 OAuth？

查看厂商最新的文档和固件更新说明，在邮件设置部分找"OAuth""新式身份验证"或"Microsoft 365"字样。如果设备设置页只要求填写用户名和密码，几乎可以肯定它用的是基本身份验证。

我们的扫描仪只发给自己员工，最简单的办法是什么？

用直接发送，发往你的 MX 端点，不需要账号也不需要密码。它只能投递到组织内部，而扫描到邮件通常也只需要这么多。

公司网站发出的邮件会受影响吗？

如果网站是用邮箱用户名和密码登录 smtp.office365.com 发信的，就会受影响。请检查网站的邮件设置或插件配置；改用 Microsoft Graph 或专门的事务邮件服务通常是更好的做法。

微软在哪里公布时间表的变化？

在 Exchange 团队博客和 Microsoft 365 管理中心的消息中心。Microsoft Learn 上的《Deprecation of Basic authentication in Exchange Online》页面也会指向当前公告。

这周从哪里开始

打开 SMTP AUTH 客户端报告，把日期范围设为最近 90 天并导出。把这一份名单和 Authenticated SMTP 登录记录对上，你就知道从现在到 12 月底有多少工作要做。如果希望由团队之外的人检查租户，并交回一份排好优先级、每个发信方都附替代方式的清单，请联系顾问。