Wat er precies verandert aan SMTP AUTH
Een gemiddelde scanner is nog ingesteld zoals tien jaar geleden: SMTP-server smtp.office365.com, poort 587,
STARTTLS en de gebruikersnaam en het wachtwoord van een postvak. Die aanmelding is basisverificatie (Basic Auth)
voor SMTP AUTH – bij Microsoft Client Submission – en de laatste plek in Exchange Online waar een
gewoon wachtwoord nog werkt.
Wat verdwijnt is het wachtwoord, niet SMTP AUTH: apparaten en toepassingen die zich aanmelden met OAuth 2.0 blijven
smtp.office365.com gewoon gebruiken. Voor alle andere is een andere route nodig.
Microsoft heeft de uitschakeling aangekondigd en de data al meerdere keren verschoven. Stand van de update van 27 januari 2026 (Berichtencentrum MC786329):
- Eind december 2026 – basisverificatie voor SMTP AUTH wordt in bestaande tenants standaard uitgeschakeld. Beheerders kunnen die voorlopig weer inschakelen.
- Nieuwe tenants die daarna worden aangemaakt, krijgen het helemaal niet meer – alleen OAuth.
- Tweede helft van 2027 – Microsoft wil de definitieve uitschakeldatum bekendmaken.
In veel tenants is het nu al zover: Beveiligingsstandaarden (Security Defaults), beleid voor Voorwaardelijke toegang dat verouderde verificatie blokkeert, of MFA op het scanneraccount houden SMTP AUTH met wachtwoord nu al tegen – ook als SMTP AUTH op het postvak is ingeschakeld.
Eerst de foutmelding duiden: 535 5.7.139 en verwante codes
Op het apparaat verschijnt meestal alleen „SMTP-verificatiefout” of „Verzenden mislukt”; de code staat in het SMTP-logboek van het apparaat of in het onbestelbaarheidsbericht (NDR). Niet elke code betekent dat u een andere route nodig hebt – soms is het alleen een instelling.
| Fout | Waarschijnlijke oorzaak | Eerst controleren | Andere route nodig? |
|---|---|---|---|
535 5.7.139 … basic authentication is disabled | Aanmelden met wachtwoord geblokkeerd: tenantstandaard, Beveiligingsstandaarden of Voorwaardelijke toegang | Beveiligingsstandaarden, beleid tegen verouderde verificatie, MFA van het account | Ja – als het apparaat geen OAuth kan en het beleid blijft |
535 5.7.139 … SmtpClientAuthentication is disabled for the Tenant | SMTP AUTH staat uit voor de organisatie of het postvak | Get-TransportConfig en Get-CASMailbox, eigenschap SmtpClientAuthenticationDisabled | Als u het niet weer wilt inschakelen |
530 5.7.57 Client not authenticated to send mail | Het apparaat heeft zich niet aangemeld: verificatie uit of geen STARTTLS op poort 587 | „SMTP-verificatie” aan, poort 587, STARTTLS / TLS aan, ondersteuning voor TLS 1.2 | Meestal niet – alleen een instelling |
535 5.7.3 Authentication unsuccessful | Wachtwoord onjuist of verlopen, gebruikersnaam niet het volledige adres, MFA, aanmelding geblokkeerd | Aanmeldgegevens, volledige gebruikersnaam (naam@domein), MFA en aanmeldstatus van het account | Als MFA of een beleid de oorzaak is |
Eerst: alle apparaten vinden die nog SMTP AUTH gebruiken
Maak een lijst voordat u een oplossing kiest – scanners zijn zelden de enige afzenders.
- Exchange-beheercentrum → Rapporten → E-mailstroom → Rapport SMTP AUTH-clients – welke accounts via SMTP AUTH verzenden en hoeveel.
- Microsoft Entra-beheercentrum → Aanmeldingslogboeken, filter Client-app = Geverifieerde SMTP (Authenticated SMTP) – account, IP-adres en of de aanmelding mislukte.
- Werk daarna de lijst af: multifunctionele printers, scanstations, ERP- en boekhoudpakketten, meldingen van NAS en UPS, camerasystemen, monitoring, scripts.
Kan uw printer OAuth? De praktijk per merk
Op papier klinkt „firmware bijwerken en overstappen op OAuth” als de voor de hand liggende oplossing. In de praktijk hangt het af van de apparaatklasse van uw printer. Dit zeggen de grote fabrikanten publiek:
| Fabrikant | Waar OAuth 2.0 beschikbaar is | Wat dat betekent voor een klein kantoor |
|---|---|---|
| HP | OAuth voor Microsoft 365 is gedocumenteerd voor LaserJet Enterprise en Managed MFP's vanaf FutureSmart 5.7 | LaserJet Pro, OfficeJet en Smart Tank kunnen het niet in de firmware; HP biedt in plaats daarvan een cloudrelay aan |
| Canon | imageRUNNER ADVANCE DX op het uniforme firmwareplatform vanaf v3.18 of via de clouddienst uniFLOW Online | Kantoorapparaten; andere series – afhankelijk van het model |
| Xerox | AltaLink, VersaLink en enkele nieuwere B/C-modellen | Middenklasse en hoger; oudere apparaten hangen af van de firmware |
| Ricoh | Zakelijke MFP's op het actuele firmwareplatform | Meestal via de service van de dealer |
| Konica Minolta | bizhub met firmware GC2-RF of nieuwer | Firmware-update door de servicepartner |
| Sharp | BP-serie | De huidige kopieerlijn |
| Lexmark | Firmware FW24 of nieuwer | Alleen ondersteunde modellen |
| Kyocera | Via de gratis Kyocera Exchange Online Connector – een Windows-tool op een aparte pc | Nog een onderdeel om te installeren en te onderhouden |
| Brother | Bepaalde nieuwere modellen, vaak na een firmware-update | Veel oudere en instapmodellen – nee |
| Epson | Actuele zakelijke scanners en MFP's met Web Config | Thuis- en instapapparaten – controleer het model |
Samengesteld uit openbare documentatie van de fabrikanten, stand oktober 2026 – de merknamen linken naar de bron (meestal Engelstalig). De lijsten veranderen met elke firmwareversie – controleer altijd uw exacte model en firmwareversie.
Dit is een analyse van gepubliceerde documentatie, geen verkoopstatistiek – maar drie conclusies liggen voor de hand:
- Kleine kantoren vallen meestal buiten de boot. OAuth komt eerst in enterprise- en managed-printseries. De goedkope desktop-MFP's die kleine kantoren echt kopen, staan in de bekeken documentatie zelden op de lijsten.
- Printers worden niet volgens Microsofts planning vervangen. Een apparaat dat vijf of zeven jaar geleden is gekocht, print prima – en niemand budgetteert een nieuw printerpark vanwege een gewijzigde aanmelding.
- Ook waar OAuth bestaat, is het geen vinkje. Firmware-update, app-registratie of beheerderstoestemming in Microsoft Entra ID, aanmelden in de webinterface van het apparaat, een token dat vernieuwd moet worden – en sommige implementaties versturen helemaal niet via SMTP, maar via Exchange Web Services of Microsoft Graph, waardoor licentievragen meespelen.
Ook met OAuth kost het scannerpostvak geld
Een apparaat dat zich met OAuth aanmeldt, meldt zich aan als gebruiker. Een gedeeld postvak kan zich niet zelf aanmelden – de scanner heeft dus een gewoon account met licentie nodig. Of één account vanaf meerdere adressen kan verzenden, hangt van het apparaat af: met de machtiging Verzenden als staan sommige apparaten een andere afzender toe, maar veel verzenden altijd vanaf het aangemelde account – dan is elk afzenderadres een extra licentie.
- Exchange Online Kiosk (ongeveer $ 2 per gebruiker per maand) lijkt voor de hand te liggen – en loopt het vaakst vast. Kiosk heeft geen IMAP en geen Exchange Web Services, en sinds 2026 blokkeert Microsoft EWS voor postvakken die alleen een Kiosk-licentie hebben. Printerintegraties via EWS of Graph werken daarmee simpelweg niet.
- In de praktijk is Exchange Online Abonnement 1 (Plan 1, ongeveer $ 4 per gebruiker per maand) of Microsoft 365 Business Basic ($ 7 per gebruiker per maand sinds juli 2026) nodig – of een hoger abonnement.
- Voorbeeld: vijf vestigingen waarvan de apparaten zich elk met een eigen account aanmelden, zijn vijf licenties – ongeveer $ 240–420 per jaar tegen catalogusprijzen, nog voordat er één pagina is gescand.
Amerikaanse catalogusprijzen bij een jaarcontract, gecontroleerd in oktober 2026 op Microsofts pagina's over Exchange Online en Microsoft 365 voor bedrijven; europrijzen in Nederland en België en partnerkortingen wijken af.
Ter vergelijking: een gedeeld postvak zoals scan@uwdomein.nl heeft tot 50 GB geen licentie nodig. Zo'n postvak koppelt u met de app PostMount aan een scanner of elk ander apparaat.
Vijf manieren om scannen naar e-mail werkend te houden
1 · OAuth 2.0 in de firmware van het apparaat
Het beste – als uw model het kanVerschillende grote MFP-fabrikanten hebben nieuwere modellen via een firmware-update leren aanmelden bij Microsoft 365 met OAuth 2.0. Waar dat bestaat, meldt het apparaat zich zelf modern aan bij Exchange Online.
- Model per model: controleer de informatie van de fabrikant voor uw exacte model en firmware.
- Vaak is een app-registratie in Microsoft Entra ID nodig, plus een token dat vernieuwd moet worden.
- Oudere en instapapparaten krijgen het nooit – zie het overzicht per merk.
- Het apparaat meldt zich aan als gebruiker met licentie – Kiosk volstaat meestal niet (waarom).
2 · Direct Send
Alleen interne ontvangersHet apparaat verstuurt zonder aanmelding rechtstreeks naar uw MX-eindpunt uwdomein-nl.mail.protection.outlook.com op poort 25.
- Bezorgt alleen bij postvakken van uw eigen organisatie – geen scans naar leveranciers of de externe accountant.
- Vereist uitgaande poort 25, die veel internetproviders blokkeren.
- De berichten zijn niet geverifieerd: uw openbare IP-adres moet in het SPF-record, anders belanden ze in de map Ongewenste e-mail.
- Microsoft heeft een organisatie-instelling ingevoerd die Direct Send volledig weigert (
Set-OrganizationConfig -RejectDirectSend $true), omdat de methode wordt misbruikt voor spoofing; staat die aan, dan krijgen apparaten550 5.7.68. Vraag uw Microsoft 365-beheerder of Direct Send is toegestaan.
3 · SMTP-relay via een connector
Vast IP-adres en beheerwerkEen inkomende connector in Exchange Online herkent uw organisatie aan het openbare IP-adres of aan een TLS-certificaat en stuurt e-mail door naar willekeurige ontvangers.
- Vereist een vast openbaar IP-adres of een TLS-certificaat van uw eigen mailserver. Printers kunnen zelf geen certificaat aanbieden – voor hen blijft meestal het vaste IP-adres over; voor vestigingen met een dynamisch adres of een 4G-verbinding geen optie.
- Vereist uitgaande poort 25, een connector, aanpassingen in SPF – en iemand die dat onderhoudt.
- Alles achter dat IP-adres kan relayen – het netwerk zelf wordt de beveiligingsgrens.
- Nog een lokale Exchange-server (hybride)? Dan kan die als relay dienen: apparaten versturen naar de lokale Exchange, die via een connector met certificaat doorstuurt naar Exchange Online. Dat werkt goed – zolang de server blijft draaien, wordt gepatcht en gelicentieerd. Wie hem na de migratie wil uitzetten, heeft een andere route nodig.
4 · Basisverificatie voor SMTP AUTH weer inschakelen
Koopt tijd, geen oplossingVoorlopig kunt u SMTP AUTH weer inschakelen voor de tenant (Set-TransportConfig -SmtpClientAuthenticationDisabled $false) of voor één postvak (Set-CASMailbox -Identity scan@uwdomein.nl -SmtpClientAuthenticationDisabled $false).
- Werkt alleen totdat Microsoft basisverificatie definitief verwijdert.
- Helpt niet als Beveiligingsstandaarden, Voorwaardelijke toegang of MFA het account raken.
- Het wachtwoord van het postvak staat op het apparaat – in veel webinterfaces leesbaar als platte tekst.
5 · Een lokale SMTP-relay met moderne aanmelding
Werkt met de meeste apparatenHet apparaat blijft gewoon SMTP spreken – maar met een computer in uw eigen netwerk. Die meldt zich met OAuth aan bij Microsoft 365 en verstuurt het bericht via Microsoft Graph. Precies dat doet de Mailgateway van PostMount.
- Willekeurige ontvangers, intern en extern; geen vast IP-adres, geen connector, geen poort 25 naar internet.
- Geen Microsoft 365-wachtwoord op het apparaat; MFA en Voorwaardelijke toegang blijven actief.
- Geen relaydienst van een derde partij: de e-mails gaan van de pc rechtstreeks naar Microsoft 365 en lopen niet via vreemde servers – een pluspunt voor de privacy onder de AVG.
- Alleen toegestane IP-adressen kunnen verzenden – geen open relay.
- Het apparaat moet SMTP kunnen versturen naar een vrij te kiezen server en poort, zonder STARTTLS – controleer dat in de instellingen.
- Vereist een Windows-pc of -server die continu draait, en het abonnement PostMount Standard of Pro.
De vijf manieren vergeleken: OAuth, Direct Send, SMTP-relay
Elke kolom is geformuleerd als voordeel: ja, een beperking, werkt onder voorwaarden.
| Methode | Externe ontvangers | Geen extra Microsoft 365-licentie | Geen vast IP-adres | Geen wachtwoord op het apparaat | MFA en voorwaardelijke toegang blijven aan | Oudere apparaten | Na de definitieve uitschakeling | Instellen |
|---|---|---|---|---|---|---|---|---|
| OAuth in de firmwareGeschikt voor: nieuwere modellen met Microsoft 365-ondersteuning | Ja | Neegebruiker met licentie (Plan 1 / Basic) | Ja | Ja | Ja | Neezelden ondersteund | Ja | Onder voorwaardenper model, app-registratie |
| Direct SendGeschikt voor: alleen interne meldingen | Neealleen intern | Jageen aanmelding | Onder voorwaardenaanbevolen voor SPF | Ja | Jageen aanmelding | Ja | Onder voorwaardentenzij Direct Send wordt geweigerd | Jaeenvoudig |
| SMTP-relay via connectorGeschikt voor: kantoren met een vast IP-adres | Ja | Ja | Neevast IP-adres of certificaat | Ja | Ja | Ja | Ja | Neeconnector, SPF, poort 25 |
| SMTP AUTH weer inschakelenGeschikt voor: tijd winnen | Ja | Neegebruiker met licentie | Ja | Neeopgeslagen op het apparaat | Neeaccount moet worden uitgezonderd | Ja | Neewerkt dan niet meer | Jaéén opdracht |
| Lokale relay – PostMountGeschikt voor: apparaten zonder OAuth, kantoren zonder vast IP-adres | Ja | Jagedeeld postvak | Ja | Ja | Ja | JaSMTP zonder STARTTLS | Ja | Onder voorwaardeneen Windows-pc die altijd aan staat |
Welke route past bij uw kantoor
- Het apparaat ondersteunt OAuth 2.0 voor Microsoft 365 → gebruik het; er hoeft verder niets te draaien.
- Scans gaan alleen naar collega's binnen de organisatie en uw beheerder staat Direct Send toe → Direct Send kan volstaan.
- Er is nog een lokale Exchange-server die sowieso blijft draaien → gebruik die als relay met een connector.
- U hebt een vast openbaar IP-adres en uitgaande poort 25 en iemand die de connector onderhoudt → SMTP-relay via een connector.
- Het apparaat kan geen OAuth, scans gaan naar buiten of het kantoor heeft geen vast IP-adres → een lokale gateway zoals PostMount.
- U hebt een week nodig om te plannen → SMTP AUTH weer inschakelen voor één postvak koopt tijd, meer niet.
Instellen met PostMount
Openheid: deze gids is geschreven door de maker van PostMount. De andere vier routes hierboven werken zonder onze software.
- PostMount installeren – uit de Microsoft Store op een pc of server die continu draait.
- Aanmelden met uw Microsoft 365-account. De eerste aanmelding moet eenmalig worden goedgekeurd door de beheerder van uw tenant.
- Afzender kiezen. Uw eigen postvak – of beter een gedeeld postvak zoals
scan@uwdomein.nl: gedeelde postvakken tot 50 GB hebben geen licentie nodig. - Mailgateway inschakelen en de IP-adressen van uw scanners toevoegen aan de lijst met toegestane adressen. Apparaten in het netwerk vereisen het abonnement Standard of Pro; Basic dekt alleen apps op dezelfde pc.
- Het apparaat instellen op PostMount:
| SMTP-server | IP-adres van de PostMount-computer, bijv. 192.168.1.10 |
|---|---|
| Poort | 25, 587 of 2525 |
| Versleuteling | Geen (geen STARTTLS) – zie de beveiligingsopmerking hieronder |
| Verificatie | Uit – geen gebruikersnaam, geen wachtwoord |
| Afzenderadres | Het gekozen postvak, bijv. scan@uwdomein.nl |
Verstuur een testscan. In de gatewaylijst van PostMount ziet u het apparaat met naam en IP-adres, de laatste verzending en eventuele fouten. Is Microsoft 365 even niet bereikbaar, dan wachten berichten in een wachtrij en gaan ze automatisch alsnog de deur uit.
Veelgestelde vragen
Werkt dit met mijn printer?
Meestal wel, als u op het apparaat de SMTP-server en poort kunt instellen, het zonder STARTTLS kan versturen en een afzenderadres gebruikt waarvoor u rechten hebt. De proefperiode van 14 dagen is de snelste manier om uw exacte model te testen.
Heeft het scannerpostvak een Microsoft 365-licentie nodig?
Niet als u verzendt vanuit een gedeeld postvak tot 50 GB, zoals scan@uwdomein.nl. Geen aparte licentie voor de scanner: het account waarmee u zich bij PostMount aanmeldt, heeft alleen de machtiging „Verzenden als” voor dat postvak nodig.
Kunnen scans naar externe ontvangers gaan?
Ja – via PostMount, een connector of SMTP AUTH. Direct Send bezorgt alleen binnen de organisatie.
Heb ik een vast IP-adres of open poorten naar internet nodig?
Nee. Apparaten bereiken de PostMount-pc in het lokale netwerk; PostMount heeft alleen uitgaand HTTPS naar Microsoft 365 nodig.
Lopen mijn e-mails via een server van derden?
Nee. PostMount draait op uw eigen pc en verstuurt rechtstreeks naar Microsoft 365 – anders dan cloudrelaydiensten van derden. Onze licentieserver ontvangt alleen het e-mailadres, de computernaam en een computer-ID, nooit uw berichten.
Bronnen
- Microsoft Exchange Team – Exchange Online to retire Basic auth for Client Submission (SMTP AUTH) (Engelstalig).
- Office 365 for IT Pros – SMTP AUTH Client Submission retirement delayed (Engelstalig).
- Microsoft Learn – Een multifunctioneel apparaat of een toepassing instellen voor het verzenden van e-mail met Microsoft 365.
- Office 365 for IT Pros – Reject Direct Send in Exchange Online (Engelstalig).
- Microsoft Learn – Beveiligingsstandaarden in Microsoft Entra ID.