Microsoft da a los administradores de Exchange Online otra advertencia antes de que comience la retirada de EWS

Microsoft ha emitido otra advertencia para los administradores de Exchange Online ante un cambio importante en Exchange Web Services. La advertencia inicial llegó en 2023; sin embargo, la empresa también advirtió a los administradores sobre ello a principios de este año. Por si no lo sabes, la retirada de EWS comenzará el 1 de octubre de 2026 y Microsoft ha introducido una nueva configuración EWSAllowedAppIDs que permite a las organizaciones controlar qué aplicaciones pueden seguir usando el servicio.

La retirada del acceso a EWS en Exchange Online comienza el 1 de octubre

Microsoft lleva varios años preparando a los clientes para la retirada de EWS, pero la siguiente fase ya está cerca. A partir del 1 de octubre, Exchange Online empezará a aplicar la retirada y está previsto que la retirada completa de EWS finalice el 1 de abril de 2027.

La advertencia es útil para las organizaciones que todavía tienen aplicaciones o servicios que dependen de EWS. Microsoft explica que EWSAllowedAppIDs proporciona una lista de permitidos a nivel de inquilino donde los administradores pueden especificar los identificadores de aplicación que deben seguir teniendo acceso a EWS durante la transición.

El cambio importante es cómo se comportará EWSEnabled una vez que comience a aplicarse la retirada. Microsoft explica que antes de octubre, establecer EWSEnabled en True sin una lista de permitidos permite el tráfico de EWS. A partir de octubre, esa configuración ya no proporcionará acceso sin restricciones. Las aplicaciones aprobadas deben identificarse mediante la lista de permitidos de identificadores de aplicación. En un mensaje del centro de administración, Microsoft confirmó que, cuando EWSEnabled está habilitado, los administradores pueden usar EWSAllowedAppIDs para especificar qué identificadores de aplicación pueden acceder a EWS.

Los administradores deben revisar ya sus dependencias de EWS

Microsoft recomienda que las organizaciones identifiquen primero las aplicaciones que todavía usan EWS y, después, creen y validen una lista de permitidos que contenga las aplicaciones que necesitan acceso continuado. La empresa afirma que los cambios en la configuración de EWSAllowedAppIDs pueden tardar hasta 24 horas en aplicarse, por lo que los administradores no deberían dejar este trabajo para el último momento.

Microsoft también publicó en septiembre una guía adicional en la que pedía específicamente a los administradores que tomaran el control de su configuración de EWSAllowedAppIDs antes de que comiencen los cambios de acceso. En el caso de las organizaciones que ya han configurado EWSEnabled=True y una lista de permitidos de identificadores de aplicación, Microsoft afirma que la configuración no se modificará antes de abril de 2027.

Por ahora, los administradores de Exchange Online deberían hacer un inventario de su uso de EWS, identificar las aplicaciones que todavía dependen de EWS y asegurarse de que los identificadores de aplicación necesarios estén incluidos antes del 1 de octubre.