Scan to email Microsoft 365 ne fonctionne plus

En bref : le scan vers e-mail échoue depuis Microsoft 365 parce que l’authentification SMTP simple, celle que le copieur sait faire, est désactivée par défaut sur les organisations créées après janvier 2020 et incompatible avec les paramètres de sécurité d’Entra ID. Le correctif immédiat est de réactiver le SMTP authentifié sur la boîte utilisée par l’appareil, ce qui suppose d’administrer le tenant. La solution durable dépend de deux réponses : votre copieur sait-il faire de l’OAuth, et vos numérisations sortent-elles de l’entreprise.

Le copieur du couloir numérisait vers les boîtes aux lettres depuis des années. Un matin, il affiche un code d’erreur et plus rien ne part. Personne n’a touché à la machine, et c’est ce qui rend la panne déroutante.

Commencez par une seule question : est-ce que ça marchait la semaine dernière ? Les deux réponses mènent à deux pannes différentes, et les confondre fait perdre des heures.

• Ça marchait, et ça s’est arrêté d’un coup. Cherchez ce qui a changé du côté de la sécurité, pas du côté de la machine. L’activation de l’authentification multifacteur, des paramètres de sécurité par défaut ou d’une règle d’accès conditionnel dans les jours précédents explique la très grande majorité de ces cas.
• Ça n’a jamais marché sur ce copieur, ou depuis une migration. Le SMTP authentifié est probablement resté désactivé : il l’est d’office sur toute organisation créée après janvier 2020.

Dans les deux cas, le tenant, c’est-à-dire l’abonnement Microsoft 365 de l’entreprise, est le lieu du problème. Reste à savoir si vous y avez la main.

Faire repartir un scan ce matin, en attendant

Une panne de numérisation bloque du monde tout de suite. Le contournement qui marche à coup sûr, sans rien toucher au tenant : faire numériser vers une clé USB ou un dossier réseau déjà en place, puis envoyer la pièce jointe depuis Outlook. C’est manuel, c’est immédiat, et ça tient la journée.

Le mot de passe d’application est souvent cité comme la rustine du moment. Sachez avant d’aller le chercher qu’il n’est pas disponible quand les paramètres de sécurité par défaut sont actifs : l’option n’apparaît tout simplement pas. Et quand il est disponible, il repose lui aussi sur l’authentification simple, donc il tombera avec elle. Un pansement de quelques semaines, au mieux.

Quel message affiche votre copieur ou son journal d’envoi

Les appareils sont avares en explications. Le message est souvent tronqué sur l’écran, mais il figure en entier dans le journal SMTP de la machine ou dans le rapport d’erreur reçu par l’administrateur.

Message	Ce qu’il signifie réellement
535 5.7.139 Authentication unsuccessful, basic authentication is disabled	Les identifiants sont bons. C’est l’authentification simple qui est refusée, au niveau du tenant ou de la boîte
535 5.7.3 Authentication unsuccessful	Identifiants refusés, ou compte bloqué pour envoi de courrier indésirable
530 5.7.57 Client was not authenticated to send anonymous mail during MAIL FROM	L’appareil parle à smtp.office365.com sans s’authentifier. Aucun mot de passe n’est saisi, ou le champ est vide
550 5.7.60 Client doesn't have permissions to send as this sender	L’adresse d’expédition configurée sur le copieur diffère du compte qui s’authentifie
550 5.1.8 Expéditeur sortant incorrect	La boîte aux lettres utilisée figure sur une liste de blocage interne à Microsoft
5.7.64 TenantAttribution ; Accès relay refusé	Un connecteur existe, mais l’adresse IP publique du site a changé
Aucun message, la connexion expire	Le port 587 ou 25 est filtré par le pare-feu ou par le fournisseur d’accès

Le premier de cette liste est le plus fréquent, et c’est celui qui trompe le plus de monde. Les identifiants sont valides. Le mot de passe n’a pas expiré. Rien ne sert de le ressaisir.

Lisez bien la fin de ce 535 5.7.139, car son suffixe vous dit où chercher. disabled for the Tenant renvoie au réglage global, for the Mailbox à celui de la boîte seule, basic authentication is disabled à une stratégie de sécurité, did not meet the criteria to be authenticated successfully à l’accès conditionnel ou à l’authentification multifacteur, et the user credentials were incorrect à un vrai mauvais mot de passe.

Beaucoup de panneaux ne montrent jamais la réponse du serveur et se contentent d’un code maison, du type 0x1102 chez Kyocera. Le message complet se trouve alors dans le journal d’envoi de la machine, accessible depuis son interface web et non depuis son écran, sous une rubrique du genre « journal des travaux » ou « historique de transmission ». Le chemin exact change à chaque marque. À défaut, le suivi des messages du centre d’administration Exchange montre si la tentative est seulement arrivée jusqu’à Microsoft.

Vous n’avez pas le message sous la main, ou vous voulez savoir tout de suite si le port sort bien de votre réseau ? Notre test SMTP en ligne ouvre une vraie connexion depuis votre navigateur et vous rend la réponse du serveur. Les champs d’identifiant et de mot de passe y sont facultatifs : on peut vérifier le port et le chiffrement sans donner aucun secret.

Trois causes, et aucune ne vient de votre copieur

La panne est presque toujours à chercher du côté de Microsoft 365, pas de l’appareil. Trois mécanismes distincts produisent le même symptôme, et il est utile de savoir lequel vous concerne.

Le SMTP authentifié est désactivé par défaut. Microsoft le désactive d’office pour toute organisation créée après janvier 2020. Un copieur installé sur un tenant récent n’a donc jamais pu envoyer, et un tenant migré peut perdre le réglage à l’occasion d’une modification.

Les paramètres de sécurité par défaut d’Entra ID bloquent l’authentification simple. Microsoft l’écrit noir sur blanc : la soumission client en authentification simple n’est pas compatible avec les security defaults. Activer l’authentification multifacteur, ou une stratégie d’accès conditionnel qui bloque l’authentification héritée, produit exactement le même refus. C’est la cause de loin la plus fréquente quand la panne suit un durcissement de sécurité.

Pour vérifier leur état : dans le portail Microsoft Entra, ouvrez Vue d’ensemble, puis Propriétés, puis Gérer les paramètres de sécurité par défaut. Les stratégies d’accès conditionnel se trouvent ailleurs, sous Protection, puis Accès conditionnel : cherchez-y une règle qui bloque l’authentification héritée. Ce sont deux mécanismes distincts, et l’un peut bloquer sans l’autre.

Le chiffrement de l’appareil est trop ancien. Exchange Online ne prend plus en charge TLS 1.0 et 1.1 depuis octobre 2020 et rejette une partie des connexions qui les utilisent. Un raccourci circule ici, y compris dans la documentation de Microsoft : un appareil réglé sur le port 465 serait dépassé. C’est inexact. Microsoft n’ouvre pas ce port, mais le 465 reste un standard valide et sert du TLS 1.2 sans difficulté ailleurs. Un copieur réellement bloqué en TLS 1.0, lui, ne passera chez Microsoft sur aucun port.

Il existe une échappatoire documentée pour ce dernier cas, et beaucoup l’ignorent : Microsoft maintient un point de terminaison réservé aux clients en TLS ancien. Détail en fin d’article.

Le correctif immédiat, si vous administrez le tenant

Ce correctif ne s’applique qu’à la première cause, et il suppose un accès administrateur au tenant. Un prestataire qui intervient sur le copieur d’un client n’a généralement ni l’un ni l’autre.

Dans le centre d’administration Microsoft 365, allez dans Utilisateurs, puis Utilisateurs actifs, sélectionnez le compte utilisé par le copieur, ouvrez Courrier, puis Gérer les applications de messagerie, et cochez SMTP authentifié. En PowerShell, la même chose s’écrit ainsi, module et connexion compris :

Install-Module ExchangeOnlineManagement -Scope CurrentUser
Connect-ExchangeOnline -UserPrincipalName admin@exemple.fr

Get-CASMailbox -Identity scanner@exemple.fr | Format-List SmtpClientAuthenticationDisabled
Set-CASMailbox -Identity scanner@exemple.fr -SmtpClientAuthenticationDisabled $false

Le réglage par boîte prime sur le réglage global de l’organisation. Vérifiez donc aussi Get-TransportConfig | Format-List SmtpClientAuthenticationDisabled.

Ce correctif échoue dans trois cas, et c’est ce qui explique la plupart des « j’ai coché la case et ça ne marche toujours pas » : si les paramètres de sécurité par défaut d’Entra ID sont actifs, si une stratégie d’authentification bloque l’authentification simple pour SMTP, ou si une règle d’accès conditionnel interdit l’authentification héritée. Le suffixe du code d’erreur vous dit lequel des trois vous concerne.

Pour faire l’inventaire du parc avant que d’autres machines ne tombent, le centre d’administration Exchange publie un rapport sous Rapports, puis Flux de messagerie, intitulé SMTP AUTH Clients : sa colonne de protocole distingue l’authentification simple de l’authentification moderne, sur 90 jours glissants.

Un mot de prudence, enfin. Réactiver l’authentification simple rouvre une porte aux attaques par essais massifs de mots de passe. Dédiez une boîte à l’appareil et donnez-lui un mot de passe long.

Si la sécurité vient d’être durcie, le cas le plus fréquent

Cocher la case ne suffira pas. Il faut sortir le compte du copieur du mécanisme qui le bloque, et les deux mécanismes ne se traitent pas du tout de la même façon.

Une stratégie d’accès conditionnel se contourne proprement. Dans le portail Microsoft Entra, ouvrez Protection, puis Accès conditionnel, puis Stratégies. Repérez celle qui bloque l’authentification héritée, ouvrez-la, allez dans Utilisateurs, onglet Exclure, et ajoutez le compte du copieur. Vous excluez un compte, pas votre entreprise.

Les paramètres de sécurité par défaut, non. C’est tout ou rien : hormis les comptes de synchronisation d’annuaire, ils ne permettent aucune exception. Pour exclure une seule boîte, il faut les désactiver et reconstruire la protection en stratégies d’accès conditionnel, ce qui suppose une licence Entra ID P1. Autrement dit, ce n’est pas une case à cocher un lundi matin, c’est un chantier à planifier avec votre prestataire.

C’est précisément le calcul à faire : arbitrer entre affaiblir la sécurité de tout le monde pour un copieur, monter en licence P1, ou sortir l’envoi de Microsoft 365. La troisième voie est souvent la moins chère et la seule qui ne touche à rien.

Ce correctif a une date de péremption, précisée en fin d’article.

Votre copieur sait-il faire de l’OAuth

C’est la question qui décide de tout le reste, et vous ne pouvez y répondre qu’appareil par appareil. Seul le fabricant peut faire évoluer le code de la machine, ce qui place la décision hors de vos mains.

Marque	Condition, relevée le 10 août 2026
Konica Minolta	Firmware GC2-RF au minimum sur les bizhub récents. Un défaut d’expiration de jeton n’est corrigé qu’à partir de GC4-SA
Ricoh	Modèles sortis après 2017, firmwares diffusés depuis juillet 2025. Ricoh indique qu’aucune mise à jour n’est prévue pour les modèles absents de sa liste
Kyocera	OAuth natif sur les TASKalfa et ECOSYS récents. L’Exchange Online Connector est le contournement destiné aux appareils plus anciens
Xerox	À partir du niveau logiciel xx.76.51 SP (PL7-R20)
Sharp	Modèles récents uniquement
Canon	Modèles actuels

La version installée se lit dans l’interface web de l’appareil, pas sur son écran : cherchez une page « informations sur le périphérique », « version du micrologiciel » ou « maintenance ». Notez-la, c’est la première chose que le support du fabricant vous demandera.

Trois remarques valent mieux qu’un tableau plus long. Ces conditions évoluent vite, il faut donc les confirmer auprès du constructeur pour la référence exacte de la machine. Un appareil amorti depuis longtemps ne recevra probablement jamais le firmware nécessaire. Et l’activation de l’OAuth réclame presque toujours un consentement d’administrateur dans le tenant : sans accès, une machine compatible reste bloquée.

Toutes les voies possibles, comparées

La colonne des destinataires externes tranche la moitié du tableau. Une numérisation envoyée au comptable, à l’assurance ou à un client sort de l’organisation. Les caractéristiques ci-dessous sont relevées sur la documentation Microsoft le 10 août 2026.

Voie	Destinataires externes	Ce qu’elle exige
Soumission par le client SMTP AUTH	Oui	Une boîte aux lettres sous licence, TLS 1.2, et OAuth par défaut à partir de décembre 2026
Relais SMTP par connecteur	Oui	Un certificat TLS, ou à défaut une adresse IP publique fixe et non partagée. Port 25
Envoi direct	Non	Rien, mais l’envoi est limité à l’interne
High Volume Email	Non	Un compte HVE, une facturation Azure active, et 10 Mo maximum par message
Azure Communication Services	Oui	Un abonnement Azure, facturé au message et au mégaoctet transféré
Relais SMTP externe	Oui	Un identifiant et un mot de passe. Coût annuel, quota d’envoi, et pas de copie dans les Éléments envoyés

L’envoi direct et High Volume Email sortent immédiatement pour un copieur qui numérise vers l’extérieur. L’envoi direct est en outre déjà refusable côté administrateur, par Set-OrganizationConfig -RejectDirectSend $true, il renvoie alors un 550 5.7.68 TenantInboundAttribution, et les tenants créés depuis le début 2026 l’ont bloqué par défaut. Quant à High Volume Email, sa limite de 10 Mo par message le disqualifie pour de la numérisation, avant même la question des destinataires.

Le relais par connecteur suppose une infrastructure, pas un réglage. Microsoft recommande d’abord un certificat TLS, qu’un copieur ne sait presque jamais présenter, et n’accepte en repli qu’une adresse IP publique fixe et non partagée. Sa documentation est catégorique : les adresses IP dynamiques ne sont ni prises en charge, ni autorisées. Un déménagement ou un changement d’opérateur cassent donc le connecteur, et le 5.7.64 que vous verrez alors ne dit rien de tout cela.

Azure Communication Services, que Microsoft recommande pour l’externe, se facture au message et au volume transféré. Des numérisations pèsent lourd, et il faut créer puis administrer une ressource Azure pour un copieur.

Le point commun des cinq premières voies mérite d’être dit : toutes exigent une intervention dans le tenant. Activer un réglage, créer une boîte sous licence, enregistrer une application OAuth, monter un connecteur. Aucune ne se configure depuis l’écran de la machine. Pour un revendeur ou un infogéreur qui intervient chez un client, c’est un ticket, une attente, et souvent un second déplacement.

Si vous exploitez déjà un serveur de messagerie interne, Exchange ou autre, Microsoft le cite comme repli supporté : le copieur relaie par lui, et lui seul parle à Microsoft 365. C’est gratuit, et à considérer en premier.

Sinon, la sixième voie devient intéressante. Un relais SMTP externe accepte l’authentification par identifiant et mot de passe, celle que l’appareil sait faire depuis le premier jour. Le copieur se configure entièrement depuis son panneau, sans rien changer dans Microsoft 365, et le réglage est identique sur toutes les machines du parc.

Deux limites, à dire franchement. Un relais externe ne dépose aucune copie dans le dossier Éléments envoyés d’Outlook, comme toutes les voies sauf la soumission par le client SMTP AUTH : si la comptable veut garder une trace de son scan, prévoyez une copie cachée vers une boîte partagée. Et un copieur réellement bloqué en TLS 1.0 restera un problème quel que soit le prestataire.

Les réglages à saisir sur le copieur

Quelle que soit la voie retenue, un appareil demande toujours les mêmes champs.

Réglage	Valeur
Serveur SMTP	smtp.office365.com pour la soumission client, le point de terminaison MX du domaine pour le connecteur, ou l’hôte fourni par votre relais
Port	587 en TLS, 25 pour un connecteur, 465 en SSL direct si l’appareil ne sait pas faire de STARTTLS
Chiffrement	TLS 1.2 ou supérieur côté Microsoft
Authentification	L’adresse et le mot de passe du compte utilisé
Adresse d’expéditeur	La même que le compte qui s’authentifie, sous peine d’une erreur 5.7.60

Trois pièges reviennent souvent. Le point de terminaison MX, de la forme monentreprise-fr.mail.protection.outlook.com, est parfois trop long pour le champ de saisie de l’appareil, et on ne peut pas y substituer une adresse IP. Si le port 587 est filtré par le réseau, les ports alternatifs évitent de négocier une ouverture de pare-feu. Enfin, l’obligation d’expédier depuis l’adresse qui s’authentifie est propre à la soumission client : un relais ou un connecteur laissent choisir librement l’expéditeur dans le domaine.

Enfin, pensez au poids. Microsoft plafonne par défaut les messages sortants à 35 Mo, réglable de 1 à 150 Mo, et l’encodage des pièces jointes ajoute environ un tiers dès que le message quitte ses centres de données. Une numérisation couleur de trente pages en 600 dpi dépasse ce plafond sans effort. Passer en 300 dpi, en noir et blanc, ou découper les gros lots règle plus de pannes qu’on ne le croit.

Ce qui change autour de l’envoi

Changer d’émetteur demande deux précautions. Ajoutez le nouveau chemin à votre enregistrement SPF sans retirer celui de Microsoft, puisque vos collaborateurs continuent d’écrire depuis Outlook, et signez les messages en DKIM avec un sélecteur distinct. Attention à la limite des dix résolutions DNS d’un SPF, vite atteinte quand les include s’accumulent. Et comme un document numérisé contient souvent des données personnelles, bulletins de paie ou arrêts de travail, le lieu d’hébergement et le cadre contractuel ne sont pas des détails. C’est la question que posera votre direction avant celle du prix : nos IP françaises et notre cadre de sécurité y répondent, et notre accord de sous-traitance au titre de l’article 28 du RGPD est signable en ligne.

Le calendrier Microsoft, et ce qui n’est pas décidé

État au 10 août 2026. Ce correctif a une date de péremption, et elle a déjà bougé une fois. Microsoft prévoyait un rejet progressif du 1er mars au 30 avril 2026, puis a annoncé le report le 27 janvier 2026 (calendrier officiel). Calendrier annoncé à ce jour : l’authentification simple pour SMTP AUTH reste utilisable jusqu’à fin décembre 2026, où elle sera désactivée par défaut sur les tenants existants, un administrateur pouvant la réactiver. Les tenants créés après décembre 2026 ne l’auront pas disponible par défaut. La date de suppression définitive n’est pas fixée : Microsoft a indiqué qu’elle serait annoncée au second semestre 2027. Un nouveau report n’est pas exclu, et beaucoup d’articles en ligne annoncent encore septembre 2024, septembre 2025 ou avril 2026, dates abandonnées.

Ce que vous pouvez faire dans l’heure

Débloquez d’abord les utilisateurs, avec le contournement décrit en tête de page. Relevez ensuite le message d’erreur complet dans le journal de l’appareil, pas celui affiché à l’écran. Vérifiez l’état des paramètres de sécurité par défaut et des règles d’accès conditionnel, surtout si quelque chose a bougé récemment de ce côté. Ouvrez le rapport SMTP AUTH Clients du centre d’administration Exchange pour savoir quelles machines du parc utilisent encore l’authentification simple. Puis demandez au fabricant si votre référence exacte recevra un firmware compatible OAuth, car cette réponse conditionne tout le reste.

Si elle est négative, ou si vous n’avez pas la main sur le tenant, un relais externe est le seul chemin qui se configure entièrement depuis le copieur. Faites le calcul avant de choisir : la soumission client de Microsoft réclame une boîte aux lettres sous licence par appareil, à multiplier par le nombre de machines et à reconduire chaque année. Nos forfaits pour un parc d’appareils démarrent à 29 € par an pour 100 envois quotidiens, 44 € pour 500 et 99 € pour 1 000, et un seul compte couvre tout le parc. La création est immédiate et le copieur peut être reconfiguré dans la foulée. Nous exploitons ce service depuis 2009, sur des IP françaises que nous administrons nous-mêmes.

Questions fréquentes

Pourquoi mon scan vers e-mail Microsoft 365 ne fonctionne-t-il plus ?

Dans la grande majorité des cas, l’authentification SMTP simple utilisée par le copieur a été désactivée. Elle l’est par défaut sur les organisations créées après janvier 2020, et elle devient inopérante dès que les paramètres de sécurité par défaut ou l’authentification multifacteur sont activés sur le compte.

Le mot de passe d’application Microsoft 365 règle-t-il le problème ?

Non, il le repousse. Un mot de passe d’application reste de l’authentification simple : il cessera de fonctionner en même temps qu’elle. C’est un dépannage acceptable pour tenir quelques semaines, jamais une solution à installer durablement sur un parc.

Faut-il utiliser l’envoi direct pour un copieur ?

Rarement. L’envoi direct ne délivre qu’aux destinataires internes à votre organisation, ce qui exclut le comptable et les clients. Microsoft le rejette par défaut pour les nouveaux clients depuis début 2026 et travaille à le désactiver plus largement, car il est exploité par des campagnes d’hameçonnage.

Que se passe-t-il exactement fin décembre 2026 ?

L’authentification simple pour SMTP AUTH sera désactivée par défaut sur les tenants existants, mais un administrateur pourra la réactiver. Ce n’est donc pas une suppression. Les tenants créés après décembre 2026 ne l’auront pas disponible par défaut, et Microsoft annoncera la date de suppression définitive au second semestre 2027.

Un copieur qui passe par un relais externe, ses scans ne partent-ils pas en indésirable ?

Pas si le domaine est correctement déclaré. Il faut ajouter le relais à l’enregistrement SPF du domaine et signer les messages en DKIM. C’est le même travail que pour n’importe quel émetteur, y compris pour l’envoi direct et le connecteur de Microsoft, qui exigent tous deux un SPF à jour.

Mon copieur ne sait faire que du TLS 1.0, est-ce vraiment terminé ?

Pas nécessairement. Microsoft maintient un point de terminaison dédié aux clients TLS anciens, smtp-legacy.office365.com, que l’on ouvre avec Set-TransportConfig -AllowLegacyTLSClients $true. Cela reste une rustine : l’appareil se heurtera ensuite à l’obligation d’OAuth.