Co dokładnie zmienia się w SMTP AUTH
Przeciętny skaner jest wciąż skonfigurowany tak jak dziesięć lat temu: serwer SMTP smtp.office365.com, port 587,
STARTTLS oraz nazwa użytkownika i hasło skrzynki. Takie logowanie to uwierzytelnianie podstawowe (Basic Auth)
dla SMTP AUTH — w nomenklaturze Microsoft Client Submission — i ostatnie miejsce w Exchange Online, gdzie
zwykłe hasło jeszcze działa.
Znika hasło, a nie SMTP AUTH: urządzenia i aplikacje logujące się przez OAuth 2.0 nadal normalnie korzystają
z smtp.office365.com. Wszystkie pozostałe potrzebują innej drogi.
Microsoft ogłosił wyłączenie i kilka razy przesuwał terminy. Stan według aktualizacji z 27 stycznia 2026 r. (Centrum wiadomości, MC786329):
- Koniec grudnia 2026 r. — uwierzytelnianie podstawowe dla SMTP AUTH zostanie w istniejących dzierżawach domyślnie wyłączone. Administratorzy będą mogli na razie włączyć je ponownie.
- Nowe dzierżawy utworzone później w ogóle go nie dostaną — tylko OAuth.
- Druga połowa 2027 r. — Microsoft zamierza ogłosić ostateczną datę wyłączenia.
W wielu dzierżawach to już się stało: Ustawienia domyślne zabezpieczeń (Security Defaults), zasady dostępu warunkowego blokujące starsze uwierzytelnianie albo MFA na koncie skanera już teraz blokują SMTP AUTH z hasłem — nawet jeśli SMTP AUTH jest włączone dla skrzynki.
Najpierw odczytaj błąd: 535 5.7.139 i pokrewne kody
Urządzenie zwykle pokazuje tylko „Błąd uwierzytelniania SMTP” albo „Wysyłanie nie powiodło się”; kod znajdziesz w dzienniku SMTP urządzenia lub w raporcie o niedostarczeniu (NDR). Nie każdy kod oznacza, że potrzebujesz innej drogi — czasem to tylko ustawienie.
| Błąd | Prawdopodobna przyczyna | Co sprawdzić najpierw | Potrzebna inna droga? |
|---|---|---|---|
535 5.7.139 … basic authentication is disabled | Logowanie hasłem zablokowane: ustawienie domyślne dzierżawy, Ustawienia domyślne zabezpieczeń lub dostęp warunkowy | Ustawienia domyślne zabezpieczeń, zasady blokujące starsze uwierzytelnianie, MFA konta | Tak — jeśli urządzenie nie obsługuje OAuth, a zasady zostają |
535 5.7.139 … SmtpClientAuthentication is disabled for the Tenant | SMTP AUTH wyłączone dla organizacji lub skrzynki | Get-TransportConfig i Get-CASMailbox, właściwość SmtpClientAuthenticationDisabled | Jeśli nie chcesz włączać go ponownie |
530 5.7.57 Client not authenticated to send mail | Urządzenie się nie zalogowało: uwierzytelnianie wyłączone albo brak STARTTLS na porcie 587 | „Uwierzytelnianie SMTP” włączone, port 587, STARTTLS / TLS włączone, obsługa TLS 1.2 | Zwykle nie — to tylko ustawienie |
535 5.7.3 Authentication unsuccessful | Hasło błędne lub wygasło, nazwa użytkownika to nie pełny adres, MFA, logowanie zablokowane | Dane logowania, pełna nazwa użytkownika (nazwa@domena), MFA i stan logowania konta | Jeśli przyczyną jest MFA lub zasady |
Najpierw: znajdź wszystkie urządzenia, które wciąż używają SMTP AUTH
Zanim wybierzesz rozwiązanie, sporządź listę — skanery rzadko są jedynymi nadawcami.
- Centrum administracyjne programu Exchange → Raporty → Przepływ poczty → raport klientów SMTP AUTH (SMTP AUTH clients) — które konta wysyłają przez SMTP AUTH i ile.
- Centrum administracyjne usługi Microsoft Entra → Dzienniki logowania, filtr Aplikacja kliencka = Authenticated SMTP (uwierzytelniony SMTP) — konto, adres IP i to, czy logowanie się nie powiodło.
- Następnie przejdź listę: urządzenia wielofunkcyjne, stacje skanujące, systemy ERP i programy księgowe, powiadomienia z NAS i UPS, monitoring wizyjny, systemy monitorowania, skrypty.
Czy Twoja drukarka obsługuje OAuth? Praktyka według producentów
Na papierze „zaktualizuj firmware i przejdź na OAuth” brzmi jak oczywiste rozwiązanie. W praktyce zależy to od klasy urządzenia. Oto co publicznie deklarują najwięksi producenci:
| Producent | Gdzie dostępny jest OAuth 2.0 | Co to oznacza dla małego biura |
|---|---|---|
| HP | OAuth dla Microsoft 365 jest udokumentowany dla LaserJet Enterprise i Managed MFP od FutureSmart 5.7 | LaserJet Pro, OfficeJet i Smart Tank nie mają go w firmware; HP oferuje zamiast tego przekaźnik w chmurze |
| Canon | imageRUNNER ADVANCE DX na ujednoliconej platformie firmware od v3.18 lub przez usługę chmurową uniFLOW Online | Urządzenia biurowe; inne serie — zależnie od modelu |
| Xerox | AltaLink, VersaLink i niektóre nowsze modele B/C | Klasa średnia i wyższa; starsze urządzenia zależą od firmware |
| Ricoh | Biznesowe MFP na aktualnej platformie firmware | Zwykle przez serwis dealera |
| Konica Minolta | bizhub z firmware GC2-RF lub nowszym | Aktualizacja firmware przez partnera serwisowego |
| Sharp | Seria BP | Obecna linia kopiarek |
| Lexmark | Firmware FW24 lub nowszy | Tylko obsługiwane modele |
| Kyocera | Przez bezpłatny Kyocera Exchange Online Connector — narzędzie dla Windows na osobnym komputerze | Kolejny element do zainstalowania i utrzymania |
| Brother | Wybrane nowsze modele, często po aktualizacji firmware | Wiele starszych i podstawowych modeli — nie |
| Epson | Aktualne biznesowe skanery i MFP z Web Config | Urządzenia domowe i podstawowe — sprawdź model |
Zestawienie na podstawie publicznej dokumentacji producentów, stan na październik 2026 r. — nazwy marek prowadzą do źródła (zwykle po angielsku). Listy zmieniają się z każdą wersją firmware — zawsze sprawdzaj swój dokładny model i wersję firmware.
To analiza opublikowanej dokumentacji, a nie statystyka sprzedaży — ale nasuwają się trzy wnioski:
- Małe biura zwykle zostają z niczym. OAuth trafia najpierw do serii enterprise i managed print. Tanie biurkowe MFP, które małe biura faktycznie kupują, rzadko pojawiają się na listach w przejrzanej dokumentacji.
- Drukarek nie wymienia się według harmonogramu Microsoftu. Urządzenie kupione pięć czy siedem lat temu drukuje bez zarzutu — i nikt nie planuje budżetu na nowy park drukarek z powodu zmiany sposobu logowania.
- Nawet tam, gdzie OAuth jest, to nie jest jedno pole wyboru. Aktualizacja firmware, rejestracja aplikacji lub zgoda administratora w Microsoft Entra ID, logowanie w interfejsie webowym urządzenia, token, który trzeba odnawiać — a niektóre implementacje w ogóle nie wysyłają przez SMTP, tylko przez Exchange Web Services lub Microsoft Graph, co wciąga w grę kwestie licencji.
Nawet z OAuth skrzynka skanera kosztuje
Urządzenie logujące się przez OAuth loguje się jako użytkownik. Skrzynka udostępniona nie może zalogować się sama — skaner potrzebuje więc zwykłego konta z licencją. To, czy jedno konto może wysyłać z kilku adresów, zależy od urządzenia: z uprawnieniem Wyślij jako niektóre urządzenia pozwalają ustawić innego nadawcę, ale wiele zawsze wysyła z zalogowanego konta — wtedy każdy adres nadawcy to kolejna licencja.
- Exchange Online Kiosk (ok. $2 za użytkownika miesięcznie) wydaje się oczywistym wyborem — i najczęściej zawodzi. Kiosk nie ma IMAP ani Exchange Web Services, a od 2026 r. Microsoft blokuje EWS dla skrzynek z samą licencją Kiosk. Integracje drukarek przez EWS lub Graph po prostu z nią nie działają.
- W praktyce potrzebny jest Exchange Online (Plan 1) (ok. $4 za użytkownika miesięcznie) lub Microsoft 365 Business Basic ($7 za użytkownika miesięcznie od lipca 2026 r.) — albo wyższy plan.
- Przykład: pięć oddziałów, w których urządzenia logują się każde własnym kontem, to pięć licencji — ok. $240–420 rocznie według cen katalogowych, zanim zostanie zeskanowana choćby jedna strona.
Amerykańskie ceny katalogowe przy umowie rocznej, sprawdzone w październiku 2026 r. na stronach Microsoftu o Exchange Online i Microsoft 365 dla firm; ceny w złotych w Polsce i rabaty partnerów się różnią.
Dla porównania: skrzynka udostępniona, np. scan@twojadomena.pl, do 50 GB nie wymaga licencji. Taką skrzynkę podłączysz do skanera lub dowolnego innego urządzenia za pomocą aplikacji PostMount.
Pięć sposobów, by skanowanie do e-maila dalej działało
1 · OAuth 2.0 w firmware urządzenia
Najlepiej — jeśli Twój model to obsługujeKilku dużych producentów MFP nauczyło nowsze modele logowania do Microsoft 365 przez OAuth 2.0 w ramach aktualizacji firmware. Tam, gdzie to jest, urządzenie samo loguje się do Exchange Online w nowoczesny sposób.
- Model po modelu: sprawdź informacje producenta dla swojego dokładnego modelu i firmware.
- Często potrzebna jest rejestracja aplikacji w Microsoft Entra ID oraz token, który trzeba odnawiać.
- Starsze i podstawowe urządzenia nigdy tego nie dostaną — zobacz zestawienie według producentów.
- Urządzenie loguje się jako użytkownik z licencją — Kiosk zwykle nie wystarcza (dlaczego).
2 · Direct Send
Tylko odbiorcy wewnętrzniUrządzenie wysyła bez logowania bezpośrednio do Twojego punktu końcowego MX twojadomena-pl.mail.protection.outlook.com na porcie 25.
- Dostarcza tylko do skrzynek Twojej organizacji — żadnych skanów do dostawców ani do zewnętrznego biura rachunkowego.
- Wymaga wychodzącego portu 25, który wielu dostawców internetu blokuje.
- Wiadomości nie są uwierzytelnione: Twój publiczny adres IP musi być w rekordzie SPF, inaczej trafią do folderu Wiadomości-śmieci.
- Microsoft wprowadził ustawienie organizacji, które całkowicie odrzuca Direct Send (
Set-OrganizationConfig -RejectDirectSend $true), bo metoda jest nadużywana do spoofingu; gdy jest włączone, urządzenia dostają550 5.7.68. Zapytaj administratora Microsoft 365, czy Direct Send jest dozwolony.
3 · Przekaźnik SMTP (SMTP relay) przez łącznik
Stały adres IP i administracjaŁącznik przychodzący w Exchange Online rozpoznaje Twoją organizację po publicznym adresie IP lub certyfikacie TLS i przekazuje pocztę do dowolnych odbiorców.
- Wymaga stałego publicznego adresu IP lub certyfikatu TLS własnego serwera pocztowego. Drukarki same nie przedstawią certyfikatu — dla nich zwykle zostaje stały adres IP; dla oddziałów z dynamicznym adresem lub łączem LTE to nie jest opcja.
- Wymaga wychodzącego portu 25, łącznika, zmian w SPF — i kogoś, kto będzie to utrzymywał.
- Wszystko za tym adresem IP może przekazywać pocztę — granicą bezpieczeństwa staje się sama sieć.
- Wciąż masz lokalny serwer Exchange (hybryda)? Może on służyć jako przekaźnik: urządzenia wysyłają do lokalnego Exchange, a ten przekazuje pocztę przez łącznik z certyfikatem do Exchange Online. To działa dobrze — dopóki serwer pracuje, jest aktualizowany i licencjonowany. Jeśli chcesz go wyłączyć po migracji, potrzebujesz innej drogi.
4 · Ponowne włączenie uwierzytelniania podstawowego dla SMTP AUTH
Daje czas, nie rozwiązanieNa razie możesz ponownie włączyć SMTP AUTH dla dzierżawy (Set-TransportConfig -SmtpClientAuthenticationDisabled $false) lub dla jednej skrzynki (Set-CASMailbox -Identity scan@twojadomena.pl -SmtpClientAuthenticationDisabled $false).
- Działa tylko do czasu, gdy Microsoft ostatecznie usunie uwierzytelnianie podstawowe.
- Nie pomoże, jeśli konto obejmują Ustawienia domyślne zabezpieczeń, dostęp warunkowy lub MFA.
- Hasło skrzynki jest zapisane na urządzeniu — w wielu interfejsach webowych czytelne zwykłym tekstem.
5 · Lokalny przekaźnik SMTP z nowoczesnym logowaniem
Działa z większością urządzeńUrządzenie dalej mówi zwykłym SMTP — ale do komputera w Twojej sieci. Ten loguje się do Microsoft 365 przez OAuth i wysyła wiadomość przez Microsoft Graph. Dokładnie to robi Brama poczty PostMount.
- Dowolni odbiorcy, wewnętrzni i zewnętrzni; bez stałego adresu IP, bez łącznika, bez portu 25 do internetu.
- Żadnego hasła Microsoft 365 na urządzeniu; MFA i dostęp warunkowy pozostają włączone.
- Bez usługi przekaźnika firmy trzeciej: poczta trafia z komputera bezpośrednio do Microsoft 365 i nie przechodzi przez cudze serwery — plus z punktu widzenia RODO.
- Wysyłać mogą tylko dozwolone adresy IP — żadnego otwartego przekaźnika.
- Urządzenie musi umieć wysyłać SMTP na dowolnie ustawiony serwer i port, bez STARTTLS — sprawdź to w ustawieniach.
- Wymaga stale włączonego komputera lub serwera z Windows oraz planu PostMount Standard lub Pro.
Pięć sposobów w porównaniu: OAuth, Direct Send, przekaźnik SMTP
Każda kolumna jest sformułowana jako zaleta: tak, ograniczenie, działa pod warunkami.
| Sposób | Odbiorcy zewnętrzni | Bez dodatkowej licencji Microsoft 365 | Bez stałego adresu IP | Bez hasła na urządzeniu | MFA i dostęp warunkowy pozostają włączone | Starsze urządzenia | Po ostatecznym wyłączeniu | Konfiguracja |
|---|---|---|---|---|---|---|---|---|
| OAuth w firmwareDla kogo: nowsze modele z obsługą Microsoft 365 | Tak | Nieużytkownik z licencją (Plan 1 / Basic) | Tak | Tak | Tak | Nierzadko obsługiwane | Tak | Pod warunkamizależnie od modelu, rejestracja aplikacji |
| Direct SendDla kogo: tylko powiadomienia wewnętrzne | Nietylko wewnętrzni | Takbez logowania | Pod warunkamizalecany dla SPF | Tak | Takbez logowania | Tak | Pod warunkamio ile Direct Send nie jest odrzucany | Takprosta |
| Przekaźnik SMTP przez łącznikDla kogo: biura ze stałym adresem IP | Tak | Tak | Niestały adres IP lub certyfikat | Tak | Tak | Tak | Tak | Niełącznik, SPF, port 25 |
| Ponowne włączenie SMTP AUTHDla kogo: zyskanie na czasie | Tak | Nieużytkownik z licencją | Tak | Niezapisane na urządzeniu | Niekonto trzeba wykluczyć | Tak | Nieprzestaje działać | Takjedno polecenie |
| Lokalny przekaźnik — PostMountDla kogo: urządzenia bez OAuth, biura bez stałego adresu IP | Tak | Takskrzynka udostępniona | Tak | Tak | Tak | TakSMTP bez STARTTLS | Tak | Pod warunkamistale włączony komputer z Windows |
Która droga pasuje do Twojego biura
- Urządzenie obsługuje OAuth 2.0 dla Microsoft 365 → użyj go; nic więcej nie musi działać.
- Skany trafiają tylko do współpracowników w organizacji, a administrator dopuszcza Direct Send → Direct Send może wystarczyć.
- Wciąż działa lokalny serwer Exchange, który i tak zostaje → użyj go jako przekaźnika z łącznikiem.
- Masz stały publiczny adres IP i wychodzący port 25 oraz kogoś, kto utrzyma łącznik → przekaźnik SMTP przez łącznik.
- Urządzenie nie obsługuje OAuth, skany idą na zewnątrz albo biuro nie ma stałego adresu IP → lokalna brama, taka jak PostMount.
- Potrzebujesz tygodnia na zaplanowanie → ponowne włączenie SMTP AUTH dla jednej skrzynki daje czas, nic więcej.
Konfiguracja z PostMount
Dla jasności: ten przewodnik napisał twórca PostMount. Pozostałe cztery drogi opisane wyżej działają bez naszego oprogramowania.
- Zainstaluj PostMount — ze Sklepu Microsoft na komputerze lub serwerze, który stale pracuje.
- Zaloguj się kontem Microsoft 365. Pierwsze logowanie musi jednorazowo zatwierdzić administrator Twojej dzierżawy.
- Wybierz nadawcę. Własną skrzynkę — albo lepiej skrzynkę udostępnioną, np.
scan@twojadomena.pl: skrzynki udostępnione do 50 GB nie wymagają licencji. - Włącz Bramę poczty i dodaj adresy IP skanerów do listy dozwolonych. Urządzenia w sieci wymagają planu Standard lub Pro; Basic obejmuje tylko aplikacje na tym samym komputerze.
- Skieruj urządzenie na PostMount:
| Serwer SMTP | Adres IP komputera z PostMount, np. 192.168.1.10 |
|---|---|
| Port | 25, 587 lub 2525 |
| Szyfrowanie | Brak (bez STARTTLS) — zobacz uwagę o bezpieczeństwie poniżej |
| Uwierzytelnianie | Wyłączone — bez nazwy użytkownika i hasła |
| Adres nadawcy | Wybrana skrzynka, np. scan@twojadomena.pl |
Wyślij skan testowy. Na liście bramy w PostMount zobaczysz urządzenie z nazwą i adresem IP, ostatnią wysyłkę i ewentualne błędy. Jeśli Microsoft 365 jest chwilowo niedostępny, wiadomości czekają w kolejce i zostaną wysłane automatycznie.
Najczęstsze pytania
Czy to zadziała z moją drukarką?
Zwykle tak, jeśli w urządzeniu możesz ustawić serwer SMTP i port, może ono wysyłać bez STARTTLS i używa adresu nadawcy, do którego masz uprawnienia. 14-dniowy okres próbny to najszybszy sposób, by sprawdzić Twój konkretny model.
Czy skrzynka skanera potrzebuje licencji Microsoft 365?
Nie, jeśli wysyłasz ze skrzynki udostępnionej do 50 GB, np. scan@twojadomena.pl. Bez osobnej licencji dla skanera: konto, którym logujesz się do PostMount, potrzebuje jedynie uprawnienia „Wyślij jako” do tej skrzynki.
Czy skany mogą trafiać do odbiorców zewnętrznych?
Tak — przez PostMount, łącznik lub SMTP AUTH. Direct Send dostarcza tylko wewnątrz organizacji.
Czy potrzebuję stałego adresu IP lub otwartych portów do internetu?
Nie. Urządzenia łączą się z komputerem z PostMount w sieci lokalnej; PostMount potrzebuje tylko wychodzącego HTTPS do Microsoft 365.
Czy moja poczta przechodzi przez serwery firm trzecich?
Nie. PostMount działa na Twoim komputerze i wysyła bezpośrednio do Microsoft 365 — inaczej niż chmurowe usługi przekaźnika firm trzecich. Nasz serwer licencji otrzymuje tylko adres e-mail, nazwę komputera i identyfikator komputera, nigdy Twoje wiadomości.
Źródła
- Microsoft Exchange Team — Exchange Online to retire Basic auth for Client Submission (SMTP AUTH) (po angielsku).
- Office 365 for IT Pros — SMTP AUTH Client Submission retirement delayed (po angielsku).
- Microsoft Learn — Jak skonfigurować urządzenie wielofunkcyjne lub aplikację do wysyłania wiadomości e-mail przy użyciu Microsoft 365.
- Office 365 for IT Pros — Reject Direct Send in Exchange Online (po angielsku).
- Microsoft Learn — Ustawienia domyślne zabezpieczeń w Microsoft Entra ID.