Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Perché Microsoft avviò la dismissione
Con la Basic Authentication il client invia credenziali a ogni richiesta e l’integrazione con MFA e valutazioni contestuali è limitata o assente. Microsoft indicò il rischio di furto e riutilizzo delle credenziali come uno dei motivi per passare alla Modern Authentication basata su OAuth 2.0.
A partire dal 1° ottobre 2022 iniziò la disattivazione permanente nei tenant per protocolli come EWS, POP, IMAP, Exchange ActiveSync, Remote PowerShell e altri percorsi documentati. Il programma proseguì nel 2023 per i tenant che avevano ottenuto estensioni temporanee.
- Password inviata con ogni richiesta
- Difficile applicare MFA ai flussi legacy
- Credenziali spesso memorizzate su app e dispositivi
- Passaggio a token OAuth limitati per applicazione e risorsa
- Disattivazione per più protocolli e client
Il problema erano le dipendenze invisibili
Molte organizzazioni scoprirono l’uso della Basic Authentication non nei client principali, ma in scanner, applicazioni gestionali, script, dispositivi multifunzione, archiviatori, connettori e software non più mantenuto. L’inventario delle identità applicative risultò importante quanto quello degli utenti.
La migrazione richiedeva associare ogni accesso a proprietario, funzione, protocollo e alternativa: aggiornamento, OAuth, Microsoft Graph, relay adeguato, sostituzione o rimozione. Riattivare temporaneamente un protocollo senza una data di chiusura avrebbe soltanto rinviato il rischio.
- Report degli accessi legacy
- Account tecnici e mailbox condivise
- Scanner, stampanti e applicazioni line-of-business
- Script PowerShell e integrazioni
- Fornitore e piano di sostituzione
Che cosa insegna ancora oggi
Disabilitare un protocollo legacy non completa il lavoro sulle identità. Occorre separare account umani e workload identities, applicare privilegi minimi, preferire autenticazione forte, governare segreti e certificati e riesaminare le autorizzazioni concesse alle applicazioni.
Le roadmap dei servizi cloud cambiano. Le date relative a protocolli ancora interessati, incluso SMTP AUTH, devono essere controllate sulla documentazione Microsoft aggiornata prima di ogni decisione. Il metodo resta stabile: osservare l’utilizzo reale, individuare dipendenze, testare l’alternativa e rimuovere l’eccezione.
- Conditional Access per gli accessi interattivi
- OAuth e identità applicative governate
- Segreti protetti e con scadenza
- Riesame delle autorizzazioni alle app
- Monitoraggio continuo dei protocolli legacy
Domande frequenti
Basic Authentication e autenticazione moderna sono la stessa cosa?+
No. La Basic Authentication usa direttamente username e password; la Modern Authentication utilizza OAuth 2.0 e token, rendendo possibili controlli più granulari e una migliore integrazione con MFA.
La dismissione del 2022 riguardava anche SMTP AUTH?+
SMTP AUTH ha seguito un percorso distinto e la relativa tempistica è stata aggiornata più volte. Prima di pianificare una migrazione bisogna verificare la pagina Microsoft corrente e l’utilizzo effettivo nel tenant.
Dove si nascondono più spesso le dipendenze legacy?+
In applicazioni gestionali, scanner, dispositivi multifunzione, script, integrazioni, client non aggiornati e account tecnici. I log di accesso e i report del tenant aiutano a ricostruire l’uso reale.