L’8 maggio 2026, il team di Exchange Online di Microsoft ha annunciato la deprecazione dell’autenticazione basata su certificati (CBA) diretta per Exchange ActiveSync (EAS). Entro la fine del 2026, qualsiasi client EAS che utilizza certificati per autenticarsi direttamente contro Exchange Online dovrà migrare al nuovo metodo basato su Microsoft Entra ID, pena l’interruzione del servizio email mobile.
Se la tua organizzazione ha configurato l’accesso alle email mobili tramite certificati client, questo articolo ti guida attraverso tutto ciò che devi sapere: perché Microsoft sta effettuando questo cambiamento, chi è interessato e — soprattutto — come completare la migrazione prima della scadenza.
Cos’è l’autenticazione CBA diretta per Exchange ActiveSync?
Exchange ActiveSync (EAS) è il protocollo che permette ai dispositivi mobili (smartphone, tablet) di sincronizzare email, calendari e contatti con Exchange Online. L’autenticazione basata su certificati (Certificate-Based Authentication, CBA) rappresenta un approccio passwordless: invece di inserire credenziali, il dispositivo presenta un certificato X.509 per autenticarsi.
Nel flusso legacy attuale, il funzionamento è il seguente:
- I certificati client vengono distribuiti ai dispositivi mobili durante la configurazione MDM
- Quando l’app email si connette, invia il certificato direttamente a Exchange Online
- Exchange Online riceve il certificato e ne gestisce internamente la validazione
- L’accesso viene concesso senza che il client ottenga mai un token OAuth standard
Questo approccio, sebbene sicuro a livello crittografico, è classificato da Azure AD come autenticazione legacy: il client non ottiene mai un token OAuth moderno, ma si affida a un meccanismo interno ad alta privilegio all’interno di Exchange Online.
Perché Microsoft sta eliminando questo metodo?
Il problema centrale è che la CBA diretta verso Exchange bypassa il moderno ecosistema di autenticazione di Microsoft Entra ID. Le conseguenze pratiche per gli amministratori sono significative:
- Incompatibilità con le Conditional Access Policy: le policy che bloccano l’autenticazione legacy in Azure AD bloccano anche la CBA diretta su EAS, creando un dilemma “tutto o niente” per chi vuole applicare controlli di sicurezza moderni senza interrompere l’accesso email mobile
- Mancanza di token OAuth: senza un token OAuth standard, non è possibile applicare controlli granulari come la durata della sessione, la revoca in tempo reale o l’integrazione con Identity Protection
- Superficie di attacco interna: Exchange Online si affida a un meccanismo interno ad alta privilegio per validare i certificati, introducendo una complessità architetturale non necessaria
Il nuovo flusso con Entra ID risolve tutti questi problemi:
- Il client invia il certificato a Microsoft Entra ID per la validazione
- Entra ID valida il certificato e restituisce un token OAuth al client
- Il client presenta il token OAuth a Exchange Online per l’autenticazione
In questo modo, la CBA diventa un metodo di autenticazione moderno a tutti gli effetti, integrato nel flusso OAuth standard e soggetto a tutte le Conditional Access Policy configurate nel tenant.
Chi è interessato da questa modifica?
È importante chiarire cosa non è interessato da questa deprecazione:
- Outlook Mobile (usa già Modern Authentication)
- Exchange Server on-premises
- Altri client Exchange Online che non usano EAS con CBA
- Organizzazioni che non hanno mai configurato EAS CBA
La modifica riguarda esclusivamente i client Exchange ActiveSync (tipicamente le app email native di iOS e Android) configurati per usare certificati client come metodo di autenticazione verso Exchange Online.
Come verificare se la tua organizzazione è interessata:
- Controlla la configurazione MDM: se il tipo di autenticazione nei profili email è impostato su “Certificate” anziché “OAuth”, probabilmente stai usando la CBA legacy
- Verifica i log di sign-in di Entra ID: accedi all’Azure Portal → Microsoft Entra ID → Sign-in logs → filtra per “Client App: Exchange ActiveSync”. Se in “Authentication Details” vedi “Certificate” come metodo di autenticazione, sei impattato
Guida alla migrazione verso Entra-Based CBA
La buona notizia è che l’infrastruttura PKI e le CA (Certificate Authority) utilizzate per EAS CBA sono fondamentalmente le stesse richieste per Entra CBA. Questo semplifica notevolmente la transizione.
Step 1: Abilitare Microsoft Entra CBA nel tenant
Accedi al portale Azure e naviga in Microsoft Entra ID → Protection → Authentication methods → Certificate-based authentication. Configura le tue Certificate Authority:
- Almeno una CA root deve essere configurata in Entra ID, insieme a tutte le CA intermedie
- Ogni CA deve avere una Certificate Revocation List (CRL) accessibile da un URL pubblico su Internet
- Gli utenti devono avere accesso a un certificato emesso da una PKI attendibile
Per verificare la configurazione via PowerShell (Microsoft Graph PowerShell):
# Recupera le CA di autenticazione configurate nel directory
Get-MgOrganizationCertificateBasedAuthConfiguration -OrganizationId (Get-MgOrganization).Id
# Oppure con il modulo AzureAD (legacy)
Get-AzureADTrustedCertificateAuthorityStep 2: Verificare i certificati utente
Per Exchange ActiveSync, i certificati client devono contenere l’indirizzo email routable dell’utente nel campo Subject Alternative Name (SAN), in uno dei seguenti formati:
- Principal Name:
user@domain.com - RFC822 Name:
user@domain.com(Entra ID lo mappa all’attributo Proxy Address)
I certificati già usati per la CBA diretta su EAS soddisfano quasi certamente questo requisito. Verifica semplicemente la presenza dell’email aziendale nel campo SAN del certificato.
Step 3: Aggiornare la configurazione dei dispositivi
Questa è la parte più operativa della migrazione. I profili email sui dispositivi mobili devono essere aggiornati per eseguire l’autenticazione certificato contro Entra ID invece che direttamente verso Exchange. In pratica:
- Se usi Microsoft Intune: aggiorna i profili di configurazione email per usare OAuth + certificati come metodo di autenticazione. Consulta la documentazione Intune per le specifiche della configurazione per iOS e Android
- Se usi soluzioni MDM di terze parti (VMware Workspace ONE, JAMF, MobileIron, ecc.): consulta il vendor per le istruzioni specifiche sull’abilitazione dell’autenticazione Entra con certificati
I nuovi endpoint dedicati per la CBA su EAS sono:
- Multi-tenant worldwide:
outlook-cba.office365.com - GCC-High:
outlook-cba.office365.us - DoD:
outlook-dod-cba.office365.us
Step 4: Test e monitoraggio
Prima del rollout globale, testa il nuovo flusso Entra CBA con un gruppo pilota di dispositivi e utenti. Monitora i log di sign-in di Entra ID e i report sui dispositivi Exchange ActiveSync per identificare eventuali dispositivi che ancora usano il metodo legacy.
Timeline e pianificazione
I punti chiave da tenere a mente:
- Immediato: blocco per i nuovi tenant — non possono più configurare la CBA legacy
- Prossime settimane: Microsoft invierà comunicazioni Message Center ai tenant impattati
- Fine 2026: la CBA diretta verso Exchange Online verrà disabilitata per tutti i tenant esistenti
Microsoft raccomanda di completare la migrazione ben prima della scadenza di fine 2026 per evitare interruzioni del servizio. Considerando i tempi tipici di test, approvazione e deployment nei dispositivi mobili aziendali, è consigliabile iniziare la pianificazione adesso.
Conclusione
La deprecazione della CBA diretta per Exchange ActiveSync è parte del percorso di Microsoft verso la modernizzazione completa dell’autenticazione su Exchange Online, sulla scia dell’eliminazione di Basic Auth avvenuta negli anni scorsi. Il nuovo flusso basato su Entra ID offre sicurezza equivalente — passwordless, resistente al phishing, basato su certificati — con una ben migliore integrazione nell’ecosistema moderno di autenticazione e la piena compatibilità con le Conditional Access Policy.
Se la tua organizzazione usa EAS con CBA, il momento di iniziare la pianificazione della migrazione è adesso: la runway fino a fine 2026 è sufficiente per una transizione ordinata, ma non illimitata.
Fonte: Microsoft Tech Community — Exchange Team Blog (8 maggio 2026) | 4sysops.com