Exchange Online : SMTP AUTH, POP et IMAP, ces protocoles hérités encore ouverts
Beaucoup d'administrateurs pensent que la question des protocoles hérités est réglée depuis que Microsoft a retiré l'authentification de base de la plupart des protocoles d'Exchange Online. Pourtant, SMTP AUTH, POP et IMAP restent fréquemment activés sur toutes les boîtes aux lettres, sans que personne ne les utilise.
Où en est l'authentification de base
Microsoft a désactivé l'authentification de base pour la plupart des protocoles d'Exchange Online (EWS, ActiveSync, POP, IMAP, PowerShell distant). SMTP AUTH a fait l'objet d'un traitement à part, avec un calendrier de retrait annoncé puis ajusté à plusieurs reprises. Consultez la communication officielle de Microsoft pour connaître l'état exact dans votre tenant, et ne considérez pas le sujet comme clos.
Surtout, la disparition de l'authentification de base ne signifie pas la disparition des protocoles : POP, IMAP et SMTP AUTH fonctionnent toujours avec OAuth. Un protocole activé mais inutilisé reste une surface d'attaque, notamment pour les attaques par pulvérisation de mots de passe et les clients qui échappent à certains contrôles.
SMTP AUTH : un réglage à deux niveaux
La soumission SMTP authentifiée (port 587) se contrôle au niveau de l'organisation et peut être redéfinie boîte par boîte. La bonne pratique consiste à la désactiver globalement, puis à l'autoriser uniquement pour les rares comptes qui en ont besoin.
Set-TransportConfig -SmtpClientAuthenticationDisabled $true
Set-CASMailbox -Identity scanner@contoso.com -SmtpClientAuthenticationDisabled $false
Get-CASMailbox -ResultSize Unlimited | Where-Object { $_.SmtpClientAuthenticationDisabled -eq $false }
Attention : une valeur vide au niveau de la boîte signifie que le réglage de l'organisation s'applique.
POP et IMAP boîte par boîte
POP et IMAP sont activés par défaut sur les nouvelles boîtes aux lettres. Ils se désactivent avec Set-CASMailbox, et il est recommandé de modifier aussi les plans de boîtes aux lettres (Set-CASMailboxPlan) pour que les futures boîtes soient créées avec ces protocoles fermés.
Get-CASMailbox -ResultSize Unlimited | Set-CASMailbox -PopEnabled $false -ImapEnabled $false Get-CASMailboxPlan | Set-CASMailboxPlan -PopEnabled $false -ImapEnabled $false
Stratégies d'authentification et accès conditionnel
Les stratégies d'authentification d'Exchange Online permettent de bloquer l'authentification de base par protocole et par utilisateur. Leur intérêt a diminué avec le retrait de l'authentification de base, mais elles restent utiles tant que SMTP AUTH en dépend. En complément, une stratégie d'accès conditionnel bloquant les « autres clients » (authentification héritée) couvre l'ensemble du tenant et offre une visibilité dans les journaux de connexion.
Imprimantes, scanners et applications : les bonnes alternatives
La raison la plus fréquente de laisser SMTP AUTH ouvert est un copieur ou une application métier. Les alternatives :
- Relais SMTP via un connecteur entrant, restreint par adresse IP publique ou par certificat.
- Microsoft Graph (envoi de message) pour les applications, avec une inscription d'application dont l'accès est limité à la seule boîte d'envoi.
- Un relais local qui s'authentifie en OAuth ou via un connecteur pour les équipements les plus anciens.
L'envoi direct (Direct Send), souvent utilisé par défaut, ne demande aucune authentification et peut être détourné pour usurper des adresses internes : il mérite d'être évalué, voire restreint, plutôt que retenu par facilité.
Méthode. Avant de fermer quoi que ce soit, consultez les rapports d'utilisation et les journaux de connexion pour identifier les comptes qui utilisent réellement SMTP AUTH, POP ou IMAP. Vous saurez qui prévenir et quels équipements migrer.
Ce qu'un audit vérifie
- L'état de SMTP AUTH au niveau de l'organisation et les exceptions par boîte.
- Le nombre de boîtes avec POP ou IMAP activé, et les plans de boîtes aux lettres.
- La présence d'une stratégie d'accès conditionnel bloquant l'authentification héritée.
- Les connecteurs de relais et leurs restrictions.