Wat verouderde authenticatie wel en niet is
In Microsoft 365 betekent “verouderde authenticatie” (legacy authentication) grofweg: clients en protocollen die geen moderne authenticatie (OAuth 2.0 / OpenID Connect) spreken. Typische voorbeelden in het MKB:
- IMAP / POP / SMTP AUTH: een oude telefoon, een mailclient op Linux, of een “stuur als”-script dat nog met wachtwoord praat;
- Oudere Office- of ActiveSync-clients: apps die geen token-flow ondersteunen en dus op basisauthenticatie terugvallen;
- Apparaten zonder browser-login: sommige multifunctionals, labelprinters of monitoring-tools die alleen “gebruiker + wachtwoord” kennen.
Dat is iets anders dan een gewone Outlook op het web of de huidige Outlook-app met MFA: die gebruiken moderne authenticatie. Het probleem is de stille achterdeur — niet de dagelijkse werkplek die u al goed hebt gezet.
Waarom het MKB basisauthenticatie uitzet
Drie praktische redenen. MFA-bypass: u heeft meervoudige authenticatie aangezet, maar een IMAP-login met alleen het wachtwoord hoeft die tweede factor niet — zie MFA aanzetten in Microsoft 365. Gestolen wachtwoorden: password sprays en gelekte credentials werken het hardst waar basisauthenticatie nog openstaat. Schijnzekerheid: Secure Score en “iedereen heeft MFA” zeggen weinig als scanners en scripts nog legacy mogen. Mailauthenticatie (SPF, DKIM en DMARC) beschermt uw afzenderdomein; het stopt geen inbound login via IMAP met een gestolen wachtwoord. Die lagen horen naast elkaar.
Wat u schriftelijk vastlegt
Houd het kort genoeg om dit kwartaal echt te besluiten:
- standaard: basisauthenticatie / verouderde protocollen uit (tenantbrede Authenticatiebeleidsregels of gelijkwaardig);
- uitzonderingen: alleen op naam (mailbox, app of apparaat), met eigenaar, reden en einddatum;
- vervanging eerst: moderne authenticatie, Microsoft Graph / connector met app-registratie, of het apparaat vernieuwen — niet “app-wachtwoord voor altijd”;
- verboden of sterk beperkt: app-wachtwoorden als MFA-omzeiling voor persoonlijke mailboxen;
- review: elk kwartaal legacy-sign-ins nalopen; bij uitdienst en bij inactieve accounts controleren of er nog legacy-clients hangen;
- hygiëne: basisauthenticatie dicht als vast punt naast MFA, anti-forward en account-review.
Schrijf die punten op één pagina. Dat is uw authenticatiebeleid; de tenant volgt die tekst.
Wat breekt — en wat u ervoor in de plaats zet
Wat vaak stukgaat als u basisauthenticatie uitzet: een oude iPhone of Android die nog “Exchange” met wachtwoord doet; een scanner die scan-to-mail via SMTP AUTH stuurt; een boekhoud- of CRM-script dat POP/IMAP trekt; een monitoring-tool met opgeslagen wachtwoord. Wat u ervoor zet: de mail-app opnieuw koppelen met moderne authenticatie; scan-to-mail via een connector, een relay met moderne auth, of een dedicated send-as met streng beleid; scripts omzetten naar Microsoft Graph met een app-registratie en minimale rechten — niet opnieuw een gedeeld wachtwoord. Zie ook gedeelde mailboxen: info@ op één wachtwoord + IMAP is precies het patroon dat u wilt verlaten.
Wat Floor ICT configureert — en wat u beslist
In de Microsoft 365-tenant zetten wij doorgaans: Authenticatiebeleidsregels (of gelijkwaardige blokkades) zodat IMAP, POP, SMTP AUTH en andere verouderde clients standaard niet mogen; rapportage of alerts op pogingen tot legacy-sign-in; inventarisatie van welke mailboxen of apps nog basisauthenticatie gebruiken; en een kort migratiepad per uitzondering na uw akkoord. We koppelen dit aan MFA-beleid en joiner-/leaver zodat nieuwe accounts niet stilletjes legacy openzetten.
U beslist nog steeds: of de standaard echt “alles dicht” is; welke scanner of integratie een tijdelijke uitzondering krijgt; hoe lang die geldt; en of u het apparaat of het script vernieuwt. Technische knoppen zonder eigenaarschap lossen “de magazijnscanner mailt al vijf jaar zo” niet op; beleid zonder uitvoering ook niet.
Meer diepte
Checklist voor directeuren in het MKB
1) Besluit: basisauthenticatie standaard uit. 2) Laat legacy-sign-ins inventariseren (welke mailbox, welk apparaat). 3) Zet vervanging klaar vóór de knop omgaat. 4) Uitzonderingen alleen op naam met einddatum. 5) Verbied app-wachtwoorden als structurele omzeiling. 6) Review elk kwartaal.
App-wachtwoorden: soms nodig, zelden structureel
Een app-wachtwoord is een lang wachtwoord voor clients die geen MFA-prompt kunnen tonen. Het omzeilt de tweede factor. Gebruik het alleen als tijdelijke brug met eigenaar en einddatum — niet als vast patroon voor het hele team.
SMTP AUTH voor scanners
Veel multifunctionals kunnen alleen SMTP met gebruikersnaam/wachtwoord. Opties: moderne connector of relay, een strikt beperkt send-account met monitoring, of het apparaat vervangen. Floor ICT helpt het minst-riskante pad kiezen nadat u het doel (scan-to-mail) heeft vastgelegd.