De systemer, der sender mail, opgøres ved at finde hver enhed og hvert program, der afleverer mail, og notere hvordan: med hvilken konto, gennem hvilken server og med hvilken godkendelse. Listen er driftens egen, og den er nødvendig, før DMARC strammes, og før gamle godkendelsesformer forsvinder.
Spørgsmålet er aktuelt for virksomheder på Exchange Online. Ifølge Microsofts egen tidsplan ændres standarden for SMTP AUTH med Basic-godkendelse, når 2026 slutter.
Hvad Microsoft har annonceret
Status pr. 13. november 2026, efter Exchange-teamets blogindlæg fra 27. januar 2026, opdateret 29. januar 2026:
- Indtil december 2026 er SMTP AUTH med Basic-godkendelse uændret.
- Ved udgangen af december 2026 slås det fra som standard i eksisterende lejere. Administratorer kan slå det til igen.
- Nye lejere oprettet efter december 2026 har det ikke slået til som standard.
- OAuth er den understøttede metode.
- I anden halvdel af 2027 vil Microsoft annoncere den endelige dato for fjernelse.
Microsoft Learn-siden om afviklingen, dateret 10. juli 2026, oplyser, at Basic-godkendelse allerede er slået fra i alle lejere for bl.a. POP, IMAP, EWS og Remote PowerShell. SMTP AUTH er slået fra i lejere, hvor det ikke blev brugt, og er ellers stadig tilgængeligt. Andre veje til godkendt afsendelse er bl.a. Microsoft Graph API.
Intet af det med december 2026 er sket endnu. Det er annonceret. Datoerne kan flytte sig, og den endelige fjernelse er endnu ikke fastsat. Læs blogindlægget og Learn-siden igen, før I planlægger efter dem.
CISA’s baseline for Exchange Online er mere kontant: “SMTP AUTH SHALL be disabled” (MS.EXO.5.1v1). Den binder kun føderale civile myndigheder i USA.
Hvem sender?
En typisk liste rummer flere slags afsendere. Eksemplerne er tænkte:
- multifunktionsprintere og scannere, der sender scannede dokumenter
- fagsystemer, der sender fakturaer, ordrebekræftelser eller påmindelser
- overvågning og backup, der sender alarmer og rapporter
- et internt relæ, som andre systemer afleverer mail til
- webformularer på hjemmesiden
- eksterne tjenester, der sender på jeres vegne, fx nyhedsbreve
For hver afsender noteres:
- (Scanner på 1. sal) · Afsenderadresse: (scan@firma.dk) · Vej: (Direkte til Exchange Online) · Godkendelse: (SMTP AUTH med Basic) · Ejer: (Facility)
- (Fakturasystem) · Afsenderadresse: (faktura@firma.dk) · Vej: (Internt relæ) · Godkendelse: (Ingen, relæet stoler på adressen) · Ejer: (Økonomi)
Hvor findes de?
Opgørelsen er driftens metode. Den bygger på flere kilder:
- login-hændelser for de konti, der bruges til at sende, i lejerens logs
- relæets egen log over, hvem der afleverer mail
- konfigurationen af printere og fagsystemer
- SPF-posterne, der viser, hvem I selv har godkendt til at sende
- DMARC-rapporterne, der viser, hvem der faktisk sender i jeres navn
DMARC-rapporterne er den mest fuldstændige kilde, fordi de viser alt, der når modtagerne. Kommer der ingen, står vejen til dem i SPF, DKIM og DMARC.
Efter opgørelsen
Når listen er færdig, deles afsenderne i tre grupper. Den første kan skifte til OAuth eller en anden godkendt vej med en indstilling eller en opdatering. Den anden kan flyttes til et relæ eller en tjeneste, der sender for dem. Den tredje kan ingen af delene, typisk ældre udstyr, og her må der tages stilling til udskiftning eller en tidsbegrænset undtagelse. Grupperingen er vores praksis. Den viser, hvor meget arbejde der ligger, før standarden ændres.
Hver afsender, der flyttes, skal også stå rigtigt i SPF og signeres med DKIM, hvis den sender ud af huset. Ellers rammer den DMARC i stedet.
Det gamle relæ
Et internt relæ, der accepterer mail uden godkendelse fra bestemte adresser, er ofte det sted, hvor alle de gamle afsendere ender. Gennemgangen ser på, hvilke adresser relæet stoler på, om det kun sender for jeres egne domæner, og om det kan nås fra andre net end dem, der skal bruge det.
Det kan driften selv
Begynd med listen over konti, der bruger SMTP AUTH. Den kan findes i lejerens login-hændelser. For hver konto findes enheden eller systemet bag, og ejeren spørges, om systemet kan bruge OAuth eller en anden godkendt vej. Kan det ikke, skal der en plan til, før Microsofts ændring rammer.
Hvad det kræver, og hvad det koster at lade være
Det kræver adgang til lejerens logs, relæets log og DMARC-rapporterne. Det tunge er at finde ejeren til den scanner eller det fagsystem, ingen længere ved, hvem der satte op.
Systemer, ingen har på listen, holder op med at sende mail den dag, godkendelsen ændres, og ingen ved, hvorfor fakturaerne ikke kommer frem. Og et relæ, der stoler på et helt net, kan bruges af alt i det net.
Det skal I lade være med
- At slå SMTP AUTH til igen for hele lejeren · slå det til for de konti, der har brug for det, og kun indtil de er flyttet.
- At lade relæet stole på hele klientnettet · begræns det til de afsendere, der skal bruge det.
- At stramme DMARC, før listen er færdig · ukendte afsendere får deres mail afvist.
Det skal gennemgangen kunne vise
- ☐ En liste over alle afsendende systemer med adresse, vej, godkendelse og ejer.
- ☐ En plan for hver afsender, der bruger Basic-godkendelse.
- ☐ Relæets tilladte afsendere og domæner.
- ☐ Afstemning mellem listen, SPF og DMARC-rapporterne.
Kilder
- Microsoft, Updated Exchange Online SMTP AUTH Basic Authentication Deprecation timeline (27. januar 2026, opdateret 29. januar 2026), læst 13. november 2026.
- Microsoft Learn, Deprecation of Basic authentication in Exchange Online (10. juli 2026), læst 13. november 2026.
- CISA, ScubaGear-baseline for Exchange Online, MS.EXO.5.1v1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de konti, der sender med SMTP AUTH, og skriv systemet og ejeren op ud for hver.
Læs også: Servicekonti · Integrationer mellem systemer
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
