Microsoft 365 in oktober 2026: app-toegang en detectie in Teams

Exchange Online vraagt voor EWS een lijst met toegestane apps

Voor betrokken Worldwide-tenants in Exchange Online is de instelling EWSEnabled=True vanaf 10 oktober 2026 niet meer genoeg voor toegang tot Exchange Web Services (EWS), meldt Microsoft (Exchange Online vraagt vanaf 10 oktober EWSAllowedAppIDs voor EWS). Organisaties die EWS nodig hebben, leggen met EWSAllowedAppIDs vast welke applicaties toegang krijgen. Microsoft kondigde dat op 1 oktober aan in Message Center MC1485116, als onderdeel van de laatste fase van de uitfasering van EWS in Exchange Online.

Voor Worldwide-tenants met EWSEnabled=True en zonder ingestelde lijst noemt de aankondiging een vast schema. Op 8 en 9 oktober gaat Microsoft voor tenants die in aanmerking komen een lijst aanmaken op basis van de EWS-activiteit van de voorgaande 60 dagen. Vanaf 10 oktober is de lijst verplicht, en applicaties die er niet in staan kunnen hun toegang tot EWS verliezen.

EWSAllowedAppIDs is een vervangende lijst, dus bij elke wijziging moeten alle benodigde app-ID's erin staan. Ook Microsoft-toepassingen kunnen EWS-verkeer veroorzaken, zoals Outlook voor Windows, klassiek Outlook voor Mac, Excel Power Query, Power BI en hybride scenario's met Exchange Server. Organisaties die klassiek Outlook voor Mac gebruiken, nemen de Microsoft Office-AppID op in de lijst.

SharePoint en OneDrive stoppen in april 2027 met tempauth-URL's

Op 9 oktober kondigde Microsoft in MC1492958 aan dat SharePoint Online en OneDrive vanaf 1 april 2027 stoppen met URL's waarin tijdelijke authenticatie zit ingebakken (SharePoint stopt vanaf 1 april 2027 met tempauth-URL's in Graph). Het gaat om de tempauth-URL's die een aantal Microsoft Graph-bestands-API's nu teruggeven. Vanaf 1 april 2027 gaan die API's de inhoud direct leveren, en vervalt de HTTP 302-doorverwijzing naar zo'n URL.

Apps die de ondersteunde Graph-alternatieven gebruiken, krijgen dan Graph-URL's en blijven zich aanmelden met een Graph-toegangstoken. Een app die SharePoint Online-URL's zelf opent, heeft vanaf dan een geldig Microsoft Entra ID-toegangstoken voor de SharePoint Online-resource nodig. Organisaties die deze API's niet gebruiken, hoeven volgens Microsoft niets te doen.

Voor het testen komen er binnenkort nieuwe tenantinstellingen in SharePoint Online, via een toekomstige versie van de SharePoint Online PowerShell-module. Daarmee kunnen beheerders het nieuwe gedrag vóór 1 april 2027 aanzetten voor specifieke applicatie-ID's; standaard staat het uit. Rechtstreekse aanroepen van de SharePoint-API, buiten Graph om, vallen niet onder die tenantinstelling.

In beide gevallen draait het om de applicatie-ID

Voor betrokken Worldwide-tenants is de EWS-lijst verplicht vanaf 10 oktober 2026, de tempauth-URL's verdwijnen pas in april 2027. Toch begint het werk voor allebei bij de vraag welke applicaties de betrokken interface aanroepen. Bij EWS bepaalt een lijst van app-ID's welke applicaties nog toegang krijgen, en bij SharePoint kan de beheerder het nieuwe gedrag straks per applicatie-ID aanzetten om te testen. Onder de applicaties voor EWS vallen ook Microsoft-toepassingen, en de lijst die Microsoft op basis van 60 dagen activiteit aanmaakt, kan weinig gebruikte applicaties missen.

Voor SharePoint noemt Microsoft als 1e stap het in kaart brengen van apps die bestands-URL's en verwante URL's via Graph ophalen. Daarna volgt de vraag of die apps een directe respons zonder 302-doorverwijzing aankunnen en het juiste Entra ID-token meesturen. Zodra de tenantinstellingen er zijn, adviseert Microsoft eerst te testen met een beperkt aantal applicatie-ID's, fouten en aanmeldactiviteit te volgen en daarna uit te breiden.

Teams krijgt detectie op QR-codes en op synthetische media

Defender for Office 365 breidt de URL-bescherming in Teams uit naar kwaadaardige URL's in QR-codes (Defender for Office 365 controleert QR-codes in Teams-berichten). Microsoft publiceerde dat op 7 oktober in MC1490905. Defender analyseert Teams-berichten met een QR-code na bezorging, en bij een treffer zien gebruikers een waarschuwing op het bericht, in externe en in interne gesprekken. Organisaties met Defender for Office 365 Plan 1 of Plan 2 en Zero-hour Auto Purge (ZAP) voor Teams ingeschakeld kunnen ook geschikte kwaadaardige interne berichten laten blokkeren.

Volgens de aankondiging is geen actie vereist. Microsoft raadt wel aan de beschermingsinstellingen voor Teams en de ZAP-configuratie na te lopen.

Voor vergaderingen staat ondersteuning voor detectie van synthetische audio en video door gecertificeerde externe aanbieders op de Microsoft 365-roadmap, onder id 573451 en aangemaakt op 2 oktober (Teams krijgt detectie van synthetische media door partners). Die aanbieders gaan de media van een vergadering analyseren op tekenen van synthetische of gemanipuleerde audio en video, en sturen hun detectiesignalen naar Teams. Welke aanbieders gecertificeerd zijn, staat niet in het item. De status is In development, met november 2026 als geplande beschikbaarheid, op desktop, Mac en web.

Bij allebei doet een andere dienst de analyse, Defender of de externe aanbieder, en toont Teams het resultaat. Voor QR-codes is dat een waarschuwing op het bericht, bij vergaderingen wordt het een detectiesignaal waarop tijdens de vergadering te handelen is.

De termijnen lopen van oktober 2026 tot juli 2027

Per onderdeel noemen de berichten de volgende datums:

• EWSAllowedAppIDs (MC1485116): verplicht vanaf 10 oktober 2026 voor betrokken Worldwide-tenants, uitrol naar verwachting klaar begin juli 2027
• QR-codes in Teams-berichten (MC1490905): uitrol van begin oktober tot naar verwachting begin november 2026
• detectie van synthetische audio en video (573451): In development, november 2026
• tempauth-URL's (MC1492958): tenantinstellingen om te testen komen binnenkort, nieuw gedrag vanaf 1 april 2027, uitrol klaar eind april 2027

Met Get-OrganizationConfig en de parameter RetrieveEwsOperationAccessPolicy is na te gaan welke app-ID's nu in EWSAllowedAppIDs staan, en of weinig gebruikte applicaties en klassiek Outlook voor Mac erin zitten. Voor SharePoint is nu al in kaart te brengen welke apps via Graph bestands-URL's ophalen, zodat de test kan beginnen zodra de tenantinstellingen er zijn.