SharePoint stopt vanaf 1 april 2027 met tempauth-URL's in Graph

SharePoint Online en OneDrive stoppen vanaf 1 april 2027 met URL's waarin tijdelijke authenticatie zit ingebakken. Microsoft kondigde dat op 9 oktober 2026 aan in Message Center MC1492958.

Het gaat om de zogeheten tempauth-URL's, die een aantal Microsoft Graph-bestands-API's nu teruggeven. Vanaf 1 april 2027 gaan die API's de inhoud direct leveren, en vervalt de HTTP 302-doorverwijzing naar zo'n URL. SharePoint Online-URL's die de API's nog wel teruggeven, bevatten dan geen tijdelijke authenticatie meer. Zulke URL's komen nu onder meer voor bij download, upload, monitoring, preview en versies, en bij de mediadienst. Tot de betrokken API-families horen het downloaden van bestandsinhoud, createUploadSession, kopieeracties en monitors voor langlopende acties, previews, thumbnails, versies en formaatconversie.

Apps die de ondersteunde Graph-alternatieven gebruiken, krijgen dan Graph-URL's en blijven zich aanmelden met een Graph-toegangstoken. Een app die SharePoint Online-URL's zelf opent, heeft vanaf dan een geldig Microsoft Entra ID-toegangstoken voor de SharePoint Online-resource nodig.

Microsoft noemt als betrokkenen onder meer beheerders van Graph, SharePoint Online, OneDrive, app-integraties en tenantbeveiliging, en eigenaren van apps van derden, line-of-business-apps, maatwerk en automatiseringen die de betrokken Graph-API's aanroepen. Ook organisaties met apps die doorverwijzingen volgen of afhankelijk zijn van URL's met ingebouwde authenticatie, vallen eronder. Organisaties die deze API's niet gebruiken, en apps die al rechtstreeks met Graph-content-endpoints en standaard Entra ID-authenticatie werken, hoeven volgens Microsoft niets te doen.

Voor het testen komen er binnenkort nieuwe tenantinstellingen in SharePoint Online, via een toekomstige versie van de SharePoint Online PowerShell-module. Daarmee kunnen beheerders het nieuwe gedrag vóór 1 april 2027 aanzetten voor specifieke applicatie-ID's. Standaard staat het uit, en de beheerder kiest welke apps meedoen. Rechtstreekse aanroepen van de SharePoint-API, buiten Graph om, vallen niet onder deze tenantinstelling.

Microsoft vraagt beheerders vóór 1 april 2027 met de validatie te beginnen. Als aanbevolen stappen noemt Microsoft het in kaart brengen van apps die bestands-, versie-, thumbnail-, preview-, uploadsessie- of kopieer-URL's via Graph ophalen, en nagaan of die apps URL's met ingebouwde authenticatie bekijken, opslaan of gebruiken. Daarna volgt de controle of ze een directe respons zonder 302-doorverwijzing aankunnen en het juiste Entra ID-token meesturen. Zodra de tenantinstellingen er zijn, adviseert Microsoft eerst te testen met een beperkt aantal applicatie-ID's, fouten en aanmeldactiviteit te volgen en daarna uit te breiden.

De uitrol begint begin april 2027 en moet volgens Microsoft eind april klaar zijn, in Worldwide, GCC, GCC High en DoD.