Qué cambia exactamente en SMTP AUTH
Un escáner típico sigue configurado como hace diez años: servidor SMTP smtp.office365.com, puerto 587,
STARTTLS y el usuario y la contraseña de un buzón. Ese inicio de sesión es autenticación básica (Basic Auth)
de SMTP AUTH —Microsoft lo llama Client Submission— y es el último lugar de Exchange Online donde
todavía funciona una contraseña sin más.
Lo que desaparece es la contraseña, no SMTP AUTH: los dispositivos y aplicaciones que inician sesión con OAuth 2.0
siguen usando smtp.office365.com sin problema. Todos los demás necesitan otra vía.
Microsoft ha anunciado la retirada y ya ha aplazado las fechas más de una vez. Situación según la actualización del 27 de enero de 2026 (Centro de mensajes, MC786329):
- Finales de diciembre de 2026: la autenticación básica de SMTP AUTH queda desactivada de forma predeterminada en los inquilinos existentes. Los administradores aún pueden volver a activarla durante un tiempo.
- Los inquilinos nuevos creados después de esa fecha ya no la tendrán: solo OAuth.
- Segunda mitad de 2027: Microsoft prevé anunciar la fecha de retirada definitiva.
En muchos inquilinos ya es una realidad: los Valores predeterminados de seguridad (Security Defaults), las directivas de Acceso condicional que bloquean la autenticación heredada o la MFA en la cuenta del escáner ya impiden hoy SMTP AUTH con contraseña, aunque SMTP AUTH esté activado en el buzón.
Primero, interpreta el error: 535 5.7.139 y códigos relacionados
En el dispositivo suele aparecer solo «Error de autenticación SMTP» o «Error de envío»; el código está en el registro SMTP del dispositivo o en el informe de no entrega (NDR). No todos los códigos significan que necesites otra vía: a veces basta con cambiar un ajuste.
| Error | Causa probable | Qué revisar primero | ¿Hace falta otra vía? |
|---|---|---|---|
535 5.7.139 … basic authentication is disabled | El inicio de sesión con contraseña está bloqueado: valor predeterminado del inquilino, Valores predeterminados de seguridad o Acceso condicional | Valores predeterminados de seguridad, directivas que bloquean la autenticación heredada, MFA de la cuenta | Sí, si el dispositivo no admite OAuth y la directiva se mantiene |
535 5.7.139 … SmtpClientAuthentication is disabled for the Tenant | SMTP AUTH está desactivado para la organización o para el buzón | Get-TransportConfig y Get-CASMailbox, propiedad SmtpClientAuthenticationDisabled | Si no quieres volver a activarlo |
530 5.7.57 Client not authenticated to send mail | El dispositivo no inició sesión: autenticación desactivada o sin STARTTLS en el puerto 587 | «Autenticación SMTP» activada, puerto 587, STARTTLS / TLS activado, compatibilidad con TLS 1.2 | Normalmente no: es un ajuste |
535 5.7.3 Authentication unsuccessful | Contraseña incorrecta o caducada, el usuario no es la dirección completa, MFA, inicio de sesión bloqueado | Credenciales, nombre de usuario completo (usuario@dominio), MFA y estado de inicio de sesión de la cuenta | Si la causa es la MFA o una directiva |
Primero: encuentra todos los dispositivos que aún usan SMTP AUTH
Haz una lista antes de elegir una solución: los escáneres rara vez son los únicos remitentes.
- Centro de administración de Exchange → Informes → Flujo de correo → Informe de clientes SMTP AUTH: qué cuentas envían por SMTP AUTH y cuánto.
- Centro de administración de Microsoft Entra → Registros de inicio de sesión, filtro Aplicación cliente = SMTP autenticado (Authenticated SMTP): la cuenta, la dirección IP y si el inicio de sesión falló.
- Después, repasa la lista: impresoras multifunción, estaciones de escaneo, ERP y programas de contabilidad, avisos de NAS y SAI, sistemas de cámaras, monitorización, scripts.
¿Tu impresora admite OAuth? La realidad por fabricante
Sobre el papel, «actualizar el firmware y pasar a OAuth» parece la solución obvia. En la práctica depende de la gama de tu impresora. Esto es lo que dicen públicamente los grandes fabricantes:
| Fabricante | Dónde está disponible OAuth 2.0 | Qué significa para una oficina pequeña |
|---|---|---|
| HP | OAuth para Microsoft 365 está documentado para LaserJet Enterprise y MFP Managed con FutureSmart 5.7 o posterior | LaserJet Pro, OfficeJet y Smart Tank no lo admiten en el firmware; HP ofrece en su lugar un relé en la nube |
| Canon | imageRUNNER ADVANCE DX en la plataforma de firmware unificada v3.18 o posterior, o mediante el servicio en la nube uniFLOW Online | Equipos de oficina; otras series, según el modelo |
| Xerox | AltaLink, VersaLink y varios modelos B/C más recientes | Gama media y superior; en equipos antiguos depende del firmware |
| Ricoh | MFP profesionales con la plataforma de firmware actual | Normalmente a través del servicio técnico del distribuidor |
| Konica Minolta | bizhub con firmware GC2-RF o posterior | Actualización de firmware por parte del servicio técnico |
| Sharp | Serie BP | La línea actual de copiadoras |
| Lexmark | Firmware FW24 o posterior | Solo modelos compatibles |
| Kyocera | Mediante el Kyocera Exchange Online Connector gratuito, una herramienta de Windows en un PC aparte | Un componente más que instalar y mantener |
| Brother | Algunos modelos recientes, a menudo tras actualizar el firmware | Muchos modelos antiguos y de gama de entrada, no |
| Epson | Escáneres y MFP profesionales actuales con Web Config | Equipos domésticos y de gama de entrada: comprueba el modelo |
Elaborado a partir de la documentación pública de los fabricantes, a octubre de 2026; los nombres de las marcas enlazan a la fuente (normalmente en inglés). Las listas cambian con cada versión de firmware: comprueba siempre tu modelo y versión de firmware exactos.
Es un análisis de documentación publicada, no una estadística de ventas, pero de él se desprenden tres conclusiones:
- Las oficinas pequeñas suelen quedarse fuera. OAuth llega primero a las gamas empresariales y de impresión gestionada. Las MFP de escritorio económicas que compran de verdad las oficinas pequeñas rara vez aparecen en las listas de la documentación revisada.
- Las impresoras no se renuevan al ritmo de Microsoft. Un equipo comprado hace cinco o siete años imprime perfectamente, y nadie presupuesta un parque de impresoras nuevo por un cambio en el inicio de sesión.
- Incluso donde existe OAuth, no es una simple casilla. Actualización de firmware, registro de aplicación o consentimiento del administrador en Microsoft Entra ID, inicio de sesión en la interfaz web del dispositivo, un token que hay que renovar… y algunas implementaciones ni siquiera envían por SMTP, sino a través de Exchange Web Services o Microsoft Graph, lo que pone en juego las licencias.
Incluso con OAuth, el buzón del escáner cuesta dinero
Un dispositivo que inicia sesión con OAuth lo hace como usuario. Un buzón compartido no puede iniciar sesión por sí mismo, así que el escáner necesita una cuenta normal con licencia. Que una cuenta pueda enviar desde varias direcciones depende del dispositivo: con el permiso Enviar como, algunos equipos permiten indicar otro remitente, pero muchos envían siempre desde la cuenta con la que iniciaron sesión, y entonces cada dirección de remitente es una licencia más.
- Exchange Online Kiosk (unos 2 USD por usuario al mes) parece la opción lógica, y es la que más falla. Kiosk no tiene IMAP ni Exchange Web Services, y desde 2026 Microsoft bloquea EWS para los buzones que solo tienen licencia Kiosk. Las integraciones de impresoras a través de EWS o Graph simplemente no funcionan con ella.
- En la práctica hace falta Exchange Online Plan 1 (unos 4 USD por usuario al mes) o Microsoft 365 Empresa Básico (Business Basic, 7 USD por usuario al mes desde julio de 2026), o un plan superior.
- Ejemplo: cinco sedes cuyos dispositivos inician sesión cada uno con su propia cuenta son cinco licencias, unos 240–420 USD al año a precio de catálogo, antes de escanear una sola página.
Precios de catálogo de EE. UU. con compromiso anual, comprobados en octubre de 2026 en las páginas de Microsoft sobre Exchange Online y Microsoft 365 para empresas; los precios en euros o en moneda local y los descuentos de partners varían.
En comparación, un buzón compartido como scan@tudominio.com no necesita licencia hasta 50 GB. Un buzón así se conecta a un escáner o a cualquier otro dispositivo con la aplicación PostMount.
Cinco formas de mantener el escaneo a correo funcionando
1 · OAuth 2.0 en el firmware del dispositivo
Lo mejor, si tu modelo lo admiteVarios grandes fabricantes de MFP han añadido a sus modelos más recientes, mediante actualizaciones de firmware, el inicio de sesión en Microsoft 365 con OAuth 2.0. Donde existe, el dispositivo inicia sesión por sí mismo en Exchange Online de forma moderna.
- Modelo a modelo: consulta la información del fabricante para tu modelo y firmware exactos.
- A menudo requiere un registro de aplicación en Microsoft Entra ID y un token que hay que renovar.
- Los equipos antiguos y de gama de entrada no lo recibirán nunca: consulta el resumen por fabricante.
- El dispositivo inicia sesión como usuario con licencia; Kiosk normalmente no basta (por qué).
2 · Direct Send
Solo destinatarios internosEl dispositivo envía sin iniciar sesión, directamente a tu punto de conexión MX tudominio-com.mail.protection.outlook.com por el puerto 25.
- Entrega solo a buzones de tu propia organización: nada de escaneos a proveedores ni a la gestoría o el contador externo.
- Requiere el puerto 25 de salida, que muchos proveedores de Internet bloquean.
- Los mensajes no están autenticados: tu IP pública tiene que estar en el registro SPF o acabarán en Correo no deseado.
- Microsoft ha añadido un ajuste de organización que rechaza Direct Send por completo (
Set-OrganizationConfig -RejectDirectSend $true), porque el método se usa para suplantar remitentes; si está activado, los dispositivos reciben550 5.7.68. Pregunta a tu administrador de Microsoft 365 si Direct Send está permitido antes de confiar en él.
3 · Relé SMTP mediante un conector
IP fija y trabajo de administraciónUn conector de entrada en Exchange Online reconoce a tu organización por su dirección IP pública o por un certificado TLS y retransmite el correo a cualquier destinatario.
- Requiere una IP pública fija o un certificado TLS presentado por tu propio servidor de correo. Las impresoras no pueden presentar un certificado por sí mismas, así que para ellas suele quedar la IP fija; para sedes con dirección dinámica o conexión 4G no es una opción.
- Requiere el puerto 25 de salida, un conector, cambios en SPF… y alguien que lo mantenga.
- Todo lo que hay detrás de esa IP puede retransmitir: la propia red se convierte en la frontera de seguridad.
- ¿Todavía tienes un Exchange local (híbrido)? Puede servir de relé: los dispositivos envían al Exchange local, que reenvía a Exchange Online mediante un conector con certificado. Funciona bien mientras el servidor siga en marcha, actualizado y con licencia. Si piensas apagarlo después de la migración, necesitarás otra vía.
4 · Volver a activar la autenticación básica de SMTP AUTH
Gana tiempo, no es una soluciónPor ahora puedes volver a activar SMTP AUTH para el inquilino (Set-TransportConfig -SmtpClientAuthenticationDisabled $false) o para un solo buzón (Set-CASMailbox -Identity scan@tudominio.com -SmtpClientAuthenticationDisabled $false).
- Solo funciona hasta que Microsoft retire la autenticación básica definitivamente.
- No sirve si los Valores predeterminados de seguridad, el Acceso condicional o la MFA afectan a la cuenta.
- La contraseña del buzón queda guardada en el dispositivo, en muchas interfaces web visible como texto sin cifrar.
5 · Un relé SMTP local con inicio de sesión moderno
Funciona con la mayoría de los dispositivosEl dispositivo sigue hablando SMTP normal, pero con un equipo de tu propia red. Ese equipo inicia sesión en Microsoft 365 con OAuth y envía el mensaje a través de Microsoft Graph. Es exactamente lo que hace la puerta de enlace de PostMount.
- Cualquier destinatario, interno o externo; sin IP fija, sin conector y sin puerto 25 hacia Internet.
- Ninguna contraseña de Microsoft 365 en el dispositivo; la MFA y el Acceso condicional siguen activos.
- Sin servicio de relé de terceros: los correos van del PC directamente a Microsoft 365 y no pasan por servidores ajenos, un punto a favor de la privacidad según el RGPD.
- Solo pueden enviar las direcciones IP que permitas: no es un relé abierto.
- El dispositivo debe poder enviar SMTP a un servidor y puerto que tú elijas, sin STARTTLS; compruébalo en su configuración.
- Requiere un PC o servidor Windows siempre encendido y el plan PostMount Standard o Pro.
Las cinco formas comparadas: OAuth, Direct Send, relé SMTP
Cada columna está formulada como una ventaja: sí, una limitación, funciona con condiciones.
| Vía | Destinatarios externos | Sin licencia adicional de Microsoft 365 | Sin IP fija | Sin contraseña en el dispositivo | La MFA y el Acceso condicional siguen activos | Dispositivos antiguos | Tras la retirada definitiva | Configuración |
|---|---|---|---|---|---|---|---|---|
| OAuth en el firmwareAdecuado para: modelos recientes compatibles con Microsoft 365 | Sí | Nousuario con licencia (Plan 1 / Basic) | Sí | Sí | Sí | Norara vez compatible | Sí | Con condicionessegún el modelo, registro de aplicación |
| Direct SendAdecuado para: solo avisos internos | Nosolo internos | Sísin inicio de sesión | Con condicionesrecomendada para SPF | Sí | Sísin inicio de sesión | Sí | Con condicionessalvo que se rechace Direct Send | Sísencilla |
| Relé SMTP mediante conectorAdecuado para: oficinas con IP fija | Sí | Sí | NoIP fija o certificado | Sí | Sí | Sí | Sí | Noconector, SPF, puerto 25 |
| Volver a activar SMTP AUTHAdecuado para: ganar tiempo | Sí | Nousuario con licencia | Sí | Noguardada en el dispositivo | Nohay que excluir la cuenta | Sí | Nodeja de funcionar | Síun comando |
| Relé local – PostMountAdecuado para: dispositivos sin OAuth, oficinas sin IP fija | Sí | Síbuzón compartido | Sí | Sí | Sí | SíSMTP sin STARTTLS | Sí | Con condicionesun PC Windows siempre encendido |
Qué vía encaja con tu oficina
- El dispositivo admite OAuth 2.0 para Microsoft 365 → úsalo; no hace falta nada más.
- Los escaneos solo van a compañeros de tu organización y tu administrador permite Direct Send → Direct Send puede bastar.
- Todavía tienes un Exchange local que va a seguir funcionando de todos modos → úsalo como relé con un conector.
- Tienes una IP pública fija y el puerto 25 de salida abierto, y alguien que mantenga el conector → relé SMTP mediante un conector.
- El dispositivo no admite OAuth, los escaneos van a destinatarios externos o la oficina no tiene IP fija → una puerta de enlace local como PostMount.
- Necesitas una semana para planificar → volver a activar SMTP AUTH para un buzón te da tiempo, nada más.
Configuración con PostMount
Transparencia: esta guía la ha escrito el fabricante de PostMount. Las otras cuatro vías de arriba funcionan sin nuestro software.
- Instala PostMount desde Microsoft Store en un PC o servidor que esté siempre encendido.
- Inicia sesión con tu cuenta de Microsoft 365. El primer inicio de sesión requiere una aprobación única del administrador de tu inquilino.
- Elige el remitente. Tu propio buzón o, mejor, un buzón compartido como
scan@tudominio.com: los buzones compartidos de hasta 50 GB no necesitan licencia. - Activa la puerta de enlace y añade las direcciones IP de tus escáneres a la lista de permitidas. Los dispositivos de la red requieren el plan Standard o Pro; Basic solo cubre las aplicaciones del mismo PC.
- Configura el dispositivo para que use PostMount:
| Servidor SMTP | Dirección IP del equipo con PostMount, p. ej. 192.168.1.10 |
|---|---|
| Puerto | 25, 587 o 2525 |
| Cifrado | Ninguno (sin STARTTLS); consulta la nota de seguridad más abajo |
| Autenticación | Desactivada: sin usuario ni contraseña |
| Dirección del remitente | El buzón elegido, p. ej. scan@tudominio.com |
Envía un escaneo de prueba. En la lista de la puerta de enlace de PostMount verás el dispositivo con su nombre e IP, el último envío y los posibles errores. Si Microsoft 365 no está disponible un momento, los mensajes esperan en una cola y salen solos más tarde.
Preguntas frecuentes
¿Funciona con mi impresora?
Normalmente sí, si en el dispositivo puedes indicar el servidor SMTP y el puerto, puede enviar sin STARTTLS y usa una dirección de remitente para la que tienes permisos. La prueba gratuita de 14 días es la forma más rápida de comprobar tu modelo exacto.
¿El buzón del escáner necesita una licencia de Microsoft 365?
No, si envías desde un buzón compartido de hasta 50 GB, como scan@tudominio.com. No hace falta una licencia aparte para el escáner: la cuenta con la que inicias sesión en PostMount solo necesita el permiso «Enviar como» sobre ese buzón.
¿Pueden ir los escaneos a destinatarios externos?
Sí: con PostMount, con un conector o con SMTP AUTH. Direct Send solo entrega dentro de la organización.
¿Necesito una IP fija o abrir puertos hacia Internet?
No. Los dispositivos llegan al PC con PostMount por la red local; PostMount solo necesita HTTPS de salida hacia Microsoft 365.
¿Mis correos pasan por un servidor de terceros?
No. PostMount se ejecuta en tu propio PC y envía directamente a Microsoft 365, a diferencia de los servicios de relé en la nube de terceros. Nuestro servidor de licencias solo recibe la dirección de correo, el nombre del equipo y un identificador del equipo, nunca tus mensajes.
Fuentes
- Microsoft Exchange Team – Exchange Online to retire Basic auth for Client Submission (SMTP AUTH) (en inglés).
- Office 365 for IT Pros – SMTP AUTH Client Submission retirement delayed (en inglés).
- Microsoft Learn – Configurar un dispositivo multifunción o una aplicación para enviar correo electrónico mediante Microsoft 365.
- Office 365 for IT Pros – Reject Direct Send in Exchange Online (en inglés).
- Microsoft Learn – Valores predeterminados de seguridad en Microsoft Entra ID.