Fim do Basic Auth SMTP no Microsoft Exchange Online: cronograma, erro 550 5.7.30 e guia de migração

Desde 2019, a Microsoft elimina progressivamente a autenticação Basic (nome de usuário + senha) dos seus protocolos Exchange Online. EAS, POP, IMAP, EWS, PowerShell: todos foram migrados para Modern Auth no final de 2022. O último bastião que restava era o SMTP AUTH Client Submission, o protocolo utilizado por impressoras multifuncionais, scripts de envio e aplicações corporativas para enviar emails via smtp.office365.com na porta 587.

Em abril de 2024, a Microsoft anunciou o fim desse último bastião. Após vários adiamentos (setembro de 2025, depois março de 2026), o cronograma revisado de janeiro de 2026 concede um prazo adicional, mas a mensagem permanece clara: Basic Auth SMTP está condenado, e cada organização precisa planejar sua migração.

Este artigo detalha o cronograma exato, os sistemas impactados, as cinco alternativas disponíveis e um checklist concreto de migração.

O que é Basic Auth SMTP e por que é um problema?

A autenticação Basic para SMTP funciona de forma simples: o cliente codifica o nome de usuário e a senha em Base64 e os transmite ao servidor no comando AUTH LOGIN ou AUTH PLAIN. Mesmo que a conexão seja criptografada por TLS (STARTTLS na porta 587), as credenciais são reutilizáveis, sem expiração e sem segundo fator.

C: AUTH LOGIN
S: 334 VXNlcm5hbWU6
C: dXNlckBjYXB0YWluZG5zLmNvbQ==
S: 334 UGFzc3dvcmQ6
C: bW90ZGVwYXNzZQ==
S: 235 2.7.0 Authentication successful

Esse mecanismo apresenta três problemas principais:

OAuth 2.0 resolve esses três problemas: os tokens são temporários (60 min por padrão), revogáveis, vinculados a um scope específico (SMTP.Send) e compatíveis com MFA e acesso condicional.

SMTP AUTH Client Submission vs SMTP Relay

É importante distinguir dois mecanismos de envio via Exchange Online:

A retirada do Basic Auth afeta apenas o Client Submission. Os relays SMTP baseados em endereço IP (opção 2 da documentação da Microsoft) não são afetados.

Cronograma completo da retirada

O cronograma foi revisado várias vezes. Aqui está a linha do tempo consolidada em 19 de fevereiro de 2026:

O erro 550 5.7.30

Após a desativação, todo cliente que tentar uma autenticação Basic receberá:

550 5.7.30 Basic authentication is not supported for Client Submission.

Esse erro é uma rejeição permanente (código 5xx). O servidor remetente não tentará novamente. Os emails não são colocados em fila: são perdidos imediatamente.

Quem é impactado?

Todo aplicativo ou dispositivo que envia emails via smtp.office365.com ou smtp-legacy.office365.com com um nome de usuário e senha é afetado.

Sistemas tipicamente impactados

Como identificar os remetentes em Basic Auth?

A Microsoft atualizou o relatório SMTP AUTH no Exchange Admin Center (EAC) em outubro de 2024 para distinguir conexões Basic Auth de conexões OAuth.

1. Acesse admin.exchange.microsoft.com
2. Vá em Relatórios > Fluxo de emails > Relatório de clientes SMTP Auth
3. Filtre por tipo de autenticação para isolar os remetentes em Basic Auth

Cada linha indica o endereço do remetente, o número de mensagens e o tipo de autenticação utilizado.

Alternativa 1: OAuth 2.0 para SMTP AUTH

Esta é a solução recomendada pela Microsoft para clientes e aplicações capazes de gerenciar tokens OAuth.

Pré-requisitos

1. Registrar uma aplicação no Microsoft Entra (Azure AD)
2. Adicionar a permissão SMTP.Send (fluxo interativo) ou SMTP.SendAsApp (fluxo de aplicação)
3. Obter o consentimento de admin do tenant

Dois fluxos possíveis

Sessão SMTP com OAuth

O cliente utiliza o mecanismo SASL XOAUTH2:

C: AUTH XOAUTH2 dXNlcj1hbGVydHNAY2FwdGFpbmRucy5jb20BYXV0aD1CZWFyZXIgZXl
KMGVYQUlPaUpLVjFRaUxDSmhiR2NpT2lKU1V6STFOaUo5Li4uAQE=
S: 235 2.7.0 Authentication successful

O token Base64 codifica user=alerts@captaindns.com seguido do Bearer token OAuth. O token expira após 60 minutos; o cliente deve gerenciar a renovação via refresh token.

Limitações

• Impressoras MFP e dispositivos IoT geralmente não suportam OAuth
• Requer registro de aplicação no Entra ID
• O fluxo Client Credentials requer o registro de um Service Principal no Exchange Online via PowerShell

Alternativa 2: High Volume Email (HVE)

O serviço HVE foi projetado para envios internos de alto volume a partir de aplicações e dispositivos.

Quando usar HVE?

HVE é adequado quando:

• O dispositivo não suporta OAuth (MFP, IoT)
• Os emails são exclusivamente internos (alertas, notificações, scan-to-email para caixas do tenant)
• O volume é alto (sem rate-limit nos destinatários)

Criação de uma conta HVE

Pelo EAC: Fluxo de emails > High Volume Email (Preview) > Adicionar uma conta HVE.

Ou via PowerShell:

New-MailUser -HVEAccount -Name "Scanner Alerts" -PrimarySmtpAddress "scanner-alerts@captaindns.com"

Atenção: HVE está em preview pública. A Microsoft se reserva o direito de suspender o serviço. Não atribua licenças às contas HVE.

Alternativa 3: Azure Communication Services Email

O Azure Communication Services (ACS) Email permite o envio interno e externo via API REST ou SDKs (.NET, Python, JavaScript, Java).

ACS é adequado para aplicações cloud-native que podem integrar um SDK. Não é adequado para dispositivos físicos (impressoras, scanners) que operam apenas via SMTP.

Alternativa 4: relay SMTP on-premises

Para organizações em configuração híbrida (Exchange Online + Exchange Server on-premises), o relay SMTP local continua sendo uma opção.

Funcionamento

1. Os dispositivos (MFP, IoT, scripts) enviam para o servidor Exchange local via porta 25 (anonymous relay)
2. O conector Receive é configurado para aceitar conexões de uma rede IP interna
3. O servidor Exchange local encaminha para o Exchange Online via conector Send

Configuração do conector Receive

New-ReceiveConnector -Name "Anonymous Relay" `
  -TransportRole FrontendTransport `
  -Usage Custom `
  -Bindings 0.0.0.0:25 `
  -RemoteIPRanges 192.168.1.0/24 `
  -PermissionGroups AnonymousUsers

Vantagens e desvantagens

Alternativa 5: Microsoft Graph API

Para scripts e aplicações, a Graph API oferece o endpoint /users/{id}/sendMail que substitui o SMTP com vantagens.

curl -X POST "https://graph.microsoft.com/v1.0/users/alerts@captaindns.com/sendMail" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "message": {
      "subject": "Alerta monitoring",
      "body": {"contentType": "Text", "content": "O servidor DNS está indisponível."},
      "toRecipients": [{"emailAddress": {"address": "ops@captaindns.com"}}]
    }
  }'

A Graph API é ideal para substituir scripts PowerShell (Send-MailMessage está depreciado) e aplicações de servidor. Não é adequada para dispositivos de hardware que executam apenas SMTP.

Tabela comparativa das alternativas

Checklist de migração

Impacto na entregabilidade e na segurança

A retirada do Basic Auth não afeta SPF, DKIM nem DMARC. Esses protocolos de autenticação de email funcionam no nível do DNS e permanecem independentes do método de autenticação SMTP.

Por outro lado, a migração oferece uma oportunidade de reforçar sua postura de segurança:

• MFA em toda parte: OAuth permite impor autenticação multifator nas contas de envio interativas
• Tokens revogáveis: diferente de uma senha comprometida que permanece válida até a alteração, um token OAuth expira automaticamente
• Acesso condicional: você pode restringir o envio SMTP a faixas de IP, dispositivos em conformidade ou horários específicos
• Auditoria granular: as conexões OAuth são rastreáveis nos logs do Entra ID com detalhes da aplicação e do scope utilizado

Esse movimento da Microsoft se insere em uma tendência mais ampla. Google e Yahoo impuseram requisitos de autenticação reforçados para remetentes em volume desde 2024. A segurança do canal de envio SMTP é a sequência lógica.

Glossário

• Basic Auth: método de autenticação que transmite o nome de usuário e a senha codificados em Base64. Nenhuma proteção intrínseca contra replay.
• OAuth 2.0: protocolo de autorização baseado em tokens temporários. Suporta MFA e acesso condicional.
• SASL XOAUTH2: mecanismo SASL utilizado para transmitir um token OAuth 2.0 em uma sessão SMTP, IMAP ou POP.
• Client Submission: método de envio SMTP autenticado via smtp.office365.com (porta 587). O remetente se autentica com credenciais.
• SMTP Relay: método de envio SMTP baseado no endereço IP de origem, sem credenciais. Utiliza um conector de entrada do Exchange Online.
• HVE (High Volume Email): serviço Microsoft 365 que permite envio interno de alto volume via smtp-hve.office365.com. Preview pública.
• Microsoft Entra: novo nome do Azure Active Directory. Gerencia registros de aplicações, permissões e tokens OAuth.
• Service Principal: identidade de aplicação no Exchange Online, necessária para o fluxo Client Credentials OAuth.
• MFA: autenticação multifator. Impossível com Basic Auth, nativa com OAuth 2.0.

Fontes

• Exchange Online to retire Basic auth for Client Submission (SMTP AUTH) - Exchange Team Blog, abril de 2024
• Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline - Exchange Team Blog, janeiro de 2026
• Deprecation of Basic authentication in Exchange Online - Microsoft Learn
• Authenticate an IMAP, POP or SMTP connection using OAuth - Microsoft Learn
• Manage High Volume Email for Microsoft 365 - Microsoft Learn