Что именно меняется в SMTP AUTH
Типичный сканер настроен так же, как десять лет назад: SMTP-сервер smtp.office365.com, порт 587,
STARTTLS и логин с паролем почтового ящика. Такой вход — это обычная проверка подлинности (Basic Auth)
для SMTP AUTH (у Microsoft — Client Submission), последнее место в Exchange Online, где ещё
работает обычный пароль.
Исчезает именно пароль, а не SMTP AUTH: устройства и программы, которые умеют входить через OAuth 2.0,
продолжают работать через smtp.office365.com. Остальным нужен другой путь.
Microsoft объявила об отключении и уже несколько раз переносила сроки. План по состоянию на обновление от 27 января 2026 года (Центр сообщений, MC786329):
- Конец декабря 2026 — обычную проверку подлинности для SMTP AUTH отключат по умолчанию в существующих тенантах. Администраторы ещё какое-то время смогут включить её снова.
- Новые тенанты, созданные после этого, не получат её вообще — только OAuth.
- Вторая половина 2027 — Microsoft планирует объявить окончательную дату отключения.
Во многих тенантах это уже произошло: параметры безопасности по умолчанию (Security Defaults), политики условного доступа, блокирующие устаревшую проверку подлинности, или MFA на учётной записи сканера уже сегодня не пропускают SMTP AUTH с паролем — даже если SMTP AUTH для ящика включён.
Сначала разберитесь с ошибкой: 535 5.7.139 и похожие коды
На самом устройстве обычно видно лишь «Ошибка проверки подлинности SMTP» или «Ошибка отправки»; код покажет SMTP-журнал устройства или отчёт о недоставке (NDR). Не каждый код означает, что нужен другой путь, — часть проблем решается настройками.
| Ошибка | Вероятная причина | Что проверить | Нужен другой способ? |
|---|---|---|---|
535 5.7.139 … basic authentication is disabled | Вход по паролю заблокирован: настройка тенанта по умолчанию, параметры безопасности по умолчанию или условный доступ | Параметры безопасности по умолчанию, политики, блокирующие устаревшую проверку подлинности, MFA учётной записи | Да — если устройство не умеет OAuth, а политика остаётся |
535 5.7.139 … SmtpClientAuthentication is disabled for the Tenant | SMTP AUTH отключён для организации или для ящика | Get-TransportConfig и Get-CASMailbox, свойство SmtpClientAuthenticationDisabled | Если не хотите включать его снова |
530 5.7.57 Client not authenticated to send mail | Устройство не выполнило вход: проверка подлинности выключена или на порту 587 нет STARTTLS | Включена «SMTP-аутентификация», порт 587, STARTTLS / TLS, поддержка TLS 1.2 | Обычно нет — это настройка |
535 5.7.3 Authentication unsuccessful | Неверный или просроченный пароль, логин не полным адресом, MFA, вход заблокирован | Учётные данные, полный логин (name@company.com), MFA и состояние входа учётной записи | Если причина в MFA или политике |
Сначала найдите все устройства, которые ещё используют SMTP AUTH
Прежде чем выбирать решение, составьте список — сканеры редко бывают единственными отправителями.
- Центр администрирования Exchange → Отчеты → Поток обработки почты → отчёт SMTP AUTH clients — какие учётные записи отправляют через SMTP AUTH и сколько.
- Центр администрирования Microsoft Entra → Журналы входа, фильтр Клиентское приложение = Authenticated SMTP — учётная запись, IP-адрес и был ли вход неудачным.
- Затем пройдитесь по списку: МФУ, станции сканирования, ERP и бухгалтерские системы, уведомления NAS и ИБП, видеонаблюдение, мониторинг, скрипты.
Поддерживает ли ваш принтер OAuth? Реальная картина по брендам
На бумаге «обновите прошивку и перейдите на OAuth» звучит как очевидное решение. На практике всё зависит от того, к какому классу относится ваш принтер. Вот что публично заявляют крупные производители:
| Производитель | Где доступен OAuth 2.0 | Что это значит для небольшого офиса |
|---|---|---|
| HP | OAuth для Microsoft 365 задокументирован для LaserJet Enterprise и Managed MFP с FutureSmart 5.7 или новее | LaserJet Pro, OfficeJet и Smart Tank в прошивке этого не умеют; HP предлагает вместо этого облачный relay |
| Canon | imageRUNNER ADVANCE DX на унифицированной платформе прошивки v3.18 или новее либо через облачный сервис uniFLOW Online | Офисный класс; другие линейки — в зависимости от модели |
| Xerox | AltaLink, VersaLink и ряд более новых моделей B/C | Средний класс и выше; старые устройства — в зависимости от прошивки |
| Ricoh | Бизнес-МФУ на актуальной платформе прошивки | Обычно через сервис дилера |
| Konica Minolta | bizhub с прошивкой GC2-RF или новее | Обновление прошивки сервисным партнёром |
| Sharp | Серия BP | Текущая линейка копиров |
| Lexmark | Прошивка FW24 или новее | Только поддерживаемые модели |
| Kyocera | Через бесплатный Kyocera Exchange Online Connector — утилиту для Windows на отдельном компьютере | Ещё один компонент, который нужно установить и поддерживать |
| Brother | Отдельные более новые модели, часто после обновления прошивки | Многие старые и бюджетные модели — нет |
| Epson | Актуальные бизнес-сканеры и МФУ с Web Config | Домашние и бюджетные линейки — проверяйте модель |
Сведено из публичной документации производителей по состоянию на октябрь 2026 — названия брендов ведут на источник (обычно на английском). Списки меняются с каждой новой прошивкой — всегда проверяйте именно свою модель и версию прошивки.
Это обзор опубликованной документации, а не статистика продаж, — но из него следуют три вывода:
- Небольшие офисы чаще всего остаются в стороне. OAuth появляется прежде всего в корпоративных линейках и решениях управляемой печати. Недорогих настольных МФУ, которые на самом деле покупают небольшие офисы, в просмотренной документации почти нет.
- Принтеры не меняют по графику Microsoft. Устройство, купленное пять или семь лет назад, по-прежнему отлично печатает — и никто не закладывает в бюджет новый парк из-за смены способа входа.
- Даже там, где OAuth есть, это не одна галочка. Обновление прошивки, регистрация приложения или согласие администратора в Microsoft Entra ID, вход на веб-странице устройства, токен, который нужно обновлять, — а часть реализаций отправляет почту не через SMTP, а через Exchange Web Services или Microsoft Graph, и тогда в игру вступает лицензирование.
Даже с OAuth за ящик сканера придётся платить
Устройство, которое входит через OAuth, входит как пользователь. Общий почтовый ящик сам войти не может, поэтому сканеру нужна обычная лицензированная учётная запись. Сможет ли одна учётная запись отправлять от нескольких адресов, зависит от устройства: с разрешением «Отправить как» некоторые позволяют указать другого отправителя, но многие всегда отправляют от учётной записи, под которой вошли, — и тогда каждый адрес отправителя означает ещё одну лицензию.
- Exchange Online Kiosk (около $2 за пользователя в месяц) кажется очевидным выбором — и именно с ним чаще всего ничего не получается. В Kiosk нет IMAP и Exchange Web Services, а с 2026 года Microsoft блокирует EWS для ящиков, у которых есть только лицензия Kiosk. Интеграции принтеров через EWS или Graph с ней просто не работают.
- На практике нужен Exchange Online (план 1) (около $4 за пользователя в месяц) или Microsoft 365 бизнес базовый (Business Basic, $7 за пользователя в месяц с июля 2026) — либо тариф старше.
- Пример: пять офисов, где устройства входят каждое под своей учётной записью, — это пять лицензий, примерно $240–420 в год по прайсу ещё до первого отсканированного листа.
Цены — прайс Microsoft в США при годовой подписке, проверено в октябре 2026 на страницах Exchange Online и Microsoft 365 для бизнеса (на английском); цены в вашей стране и скидки партнёров отличаются.
Для сравнения: общий почтовый ящик, например scan@company.com, до 50 ГБ лицензии не требует. Такой ящик можно подключить к сканеру или любому другому устройству с помощью приложения PostMount.
Пять способов сохранить сканирование в почту Office 365
1 · OAuth 2.0 в прошивке устройства
Лучший вариант — если модель это умеетНесколько крупных производителей МФУ научили более новые модели входить в Microsoft 365 через OAuth 2.0 с помощью обновления прошивки. Если такая функция есть, устройство само входит в Exchange Online современным способом.
- Зависит от модели: проверьте информацию производителя именно для вашей модели и прошивки.
- Часто требует регистрации приложения в Microsoft Entra ID и токена, который нужно обновлять.
- Старые и бюджетные устройства этого не получат — см. обзор по брендам.
- Устройство входит как лицензированный пользователь — Kiosk обычно не подходит (почему).
2 · Direct Send
Только внутренние получателиУстройство отправляет почту без входа напрямую на MX-адрес company-com.mail.protection.outlook.com, порт 25.
- Доставляет только в ящики вашей организации — скан поставщику или внешнему бухгалтеру не уйдёт.
- Нужен исходящий порт 25, который многие провайдеры блокируют.
- Письма не проходят проверку подлинности: ваш публичный IP-адрес должен быть в записи SPF, иначе они попадут в «Нежелательную почту».
- Microsoft добавила параметр организации, который полностью отклоняет Direct Send (
Set-OrganizationConfig -RejectDirectSend $true), потому что этим способом злоупотребляют для подделки отправителя; если он включён, устройства получают550 5.7.68. Прежде чем полагаться на Direct Send, уточните у администратора Microsoft 365, разрешён ли он.
3 · SMTP relay через соединитель
Статический IP и работа администратораВходящий соединитель в Exchange Online узнаёт вашу организацию по публичному IP-адресу или TLS-сертификату и пересылает почту любым получателям.
- Нужен статический публичный IP-адрес или TLS-сертификат на вашем собственном почтовом сервере. Принтер сам сертификат не предъявит, поэтому для него это обычно статический IP — не вариант для филиалов с динамическим адресом или мобильным интернетом.
- Нужны исходящий порт 25, соединитель, изменения в SPF — и человек, который всё это поддерживает.
- Отправлять может всё, что стоит за этим IP, — границей безопасности становится сама сеть.
- Остался локальный сервер Exchange (гибридная конфигурация)? Тогда он может служить ретранслятором: устройства отправляют почту на локальный Exchange, а он через соединитель с сертификатом пересылает её в Exchange Online. Это хорошо работает — пока сервер включён, обновляется и лицензирован. Если после миграции его хотят выключить, нужен другой путь.
4 · Снова включить обычную проверку подлинности SMTP AUTH
Отсрочка, а не решениеПока что SMTP AUTH можно снова включить для тенанта (Set-TransportConfig -SmtpClientAuthenticationDisabled $false) или для одного ящика (Set-CASMailbox -Identity scan@company.com -SmtpClientAuthenticationDisabled $false).
- Работает только до тех пор, пока Microsoft окончательно не уберёт обычную проверку подлинности.
- Не поможет, если на учётную запись действуют параметры безопасности по умолчанию, условный доступ или MFA.
- Пароль ящика хранится на устройстве — во многих веб-интерфейсах в открытом виде.
5 · Локальный SMTP-ретранслятор с современным входом
Подходит большинству устройствУстройство и дальше говорит на обычном SMTP — но с компьютером в вашей сети. Тот входит в Microsoft 365 через OAuth и отправляет письмо через Microsoft Graph. Именно так работает почтовый шлюз PostMount.
- Любые получатели, внутренние и внешние; без статического IP, соединителя и порта 25 в интернет.
- Пароля Microsoft 365 на устройстве нет; MFA и условный доступ остаются включёнными.
- Без стороннего relay-сервиса: письма идут с компьютера напрямую в Microsoft 365, минуя чужие серверы, — плюс для конфиденциальности, в том числе для офисов в ЕС, на которые распространяется GDPR.
- Отправлять могут только разрешённые IP-адреса — никакого открытого ретранслятора.
- Устройство должно уметь отправлять SMTP на произвольный сервер и порт без STARTTLS — проверьте это в его настройках.
- Нужен компьютер или сервер с Windows, который работает постоянно, и тариф PostMount Standard или Pro.
Сравнение пяти способов: OAuth, Direct Send, SMTP relay
Каждый столбец сформулирован как преимущество: да, ограничение, работает при условиях.
| Способ | Внешние получатели | Без дополнительной лицензии Microsoft 365 | Без статического IP | Без пароля на устройстве | MFA и условный доступ остаются включёнными | Старые устройства | После окончательного отключения | Настройка |
|---|---|---|---|---|---|---|---|---|
| OAuth в прошивкеПодходит для: новых моделей с поддержкой Microsoft 365 | Да | Нетлицензированный пользователь (план 1 / Basic) | Да | Да | Да | Нетподдерживается редко | Да | При условияхзависит от модели, регистрация приложения |
| Direct SendПодходит для: только внутренних уведомлений | Неттолько внутренние | Дабез входа | При условияхжелателен для SPF | Да | Дабез входа | Да | При условияхесли Direct Send не отклоняется | Дапросто |
| SMTP relay через соединительПодходит для: офисов со статическим IP или локальным Exchange | Да | Да | Нетстатический IP или сертификат | Да | Да | Да | Да | Нетсоединитель, SPF, порт 25 |
| Снова включить SMTP AUTHПодходит для: выигрыша времени | Да | Нетлицензированный пользователь | Да | Нетхранится на устройстве | Нетучётную запись нужно исключить | Да | Нетперестанет работать | Даодна команда |
| Локальный ретранслятор — PostMountПодходит для: устройств без OAuth и офисов без статического IP | Да | Даобщий почтовый ящик | Да | Да | Да | ДаSMTP без STARTTLS | Да | При условияхпостоянно включённый компьютер с Windows |
Какой способ подходит вашему офису
- Устройство поддерживает OAuth 2.0 для Microsoft 365 → используйте его; больше ничего запускать не нужно.
- Сканы уходят только коллегам внутри организации, и администратор разрешает Direct Send → Direct Send может оказаться достаточно.
- Есть локальный сервер Exchange, который в любом случае продолжит работать → используйте его как ретранслятор с соединителем.
- Есть статический публичный IP и исходящий порт 25, а также человек, который будет поддерживать соединитель → SMTP relay через соединитель.
- Устройство не умеет OAuth, сканы уходят внешним получателям или в офисе нет статического IP → локальный шлюз, например PostMount.
- Нужна неделя на планирование → повторное включение SMTP AUTH для одного ящика даёт время, и не более того.
Как настроить с PostMount
Прозрачность: это руководство написали разработчики PostMount. Остальные четыре способа выше работают без нашей программы.
- Установите PostMount из Microsoft Store на компьютер или сервер, который работает постоянно.
- Войдите учётной записью Microsoft 365. Первый вход должен один раз одобрить администратор вашего тенанта.
- Выберите отправителя. Свой ящик — или лучше общий, например
scan@company.com: общим почтовым ящикам до 50 ГБ лицензия не нужна. - Включите почтовый шлюз и добавьте IP-адреса сканеров в список разрешённых. Для устройств в сети нужен тариф Standard или Pro; Basic обслуживает только программы на том же компьютере.
- Укажите PostMount на устройстве:
| SMTP-сервер | IP-адрес компьютера с PostMount, напр. 192.168.1.10 |
|---|---|
| Порт | 25, 587 или 2525 |
| Шифрование | Нет (без STARTTLS) — см. примечание о безопасности ниже |
| Проверка подлинности | Выключена — без логина и пароля |
| Адрес отправителя | Выбранный ящик, напр. scan@company.com |
Отправьте тестовый скан. В списке шлюза PostMount будет видно устройство с именем и IP-адресом, время последней отправки и ошибки, если они были. Если Microsoft 365 временно недоступен, письма ждут в очереди и уходят автоматически.
Вопросы и ответы
Заработает ли это с моим принтером?
Обычно да, если в устройстве можно указать SMTP-сервер и порт, оно умеет отправлять без STARTTLS и использует адрес отправителя, на который у вас есть права. Быстрее всего проверить именно вашу модель — в 14-дневном пробном периоде.
Нужна ли ящику сканера лицензия Microsoft 365?
Нет, если отправлять из общего почтового ящика до 50 ГБ, например scan@company.com. Отдельная лицензия под сканер не нужна: учётной записи, с которой вы входите в PostMount, достаточно разрешения «Отправить как» для этого ящика.
Можно ли отправлять сканы внешним получателям?
Да — через PostMount, соединитель или SMTP AUTH. Direct Send доставляет только внутри организации.
Нужны ли статический IP или открытые порты в интернет?
Нет. Устройства обращаются к компьютеру с PostMount в локальной сети, а PostMount нужен только исходящий HTTPS к Microsoft 365.
Проходит ли моя почта через чужие серверы?
Нет. PostMount работает на вашем собственном компьютере и отправляет почту напрямую в Microsoft 365 — в отличие от сторонних облачных relay-сервисов. Наш сервер лицензий получает только адрес почты, имя компьютера и его идентификатор, но никогда — ваши письма.
Источники
- Microsoft Exchange Team — Exchange Online to retire Basic auth for Client Submission (SMTP AUTH) (на английском).
- Office 365 for IT Pros — SMTP AUTH Client Submission retirement delayed (на английском).
- Microsoft Learn — Настройка многофункционального устройства или приложения для отправки электронной почты с помощью Microsoft 365.
- Office 365 for IT Pros — Reject Direct Send in Exchange Online (на английском).
- Microsoft Learn — Параметры безопасности по умолчанию в Microsoft Entra ID.