TLS 1.0 et 1.1 sont hors de Exchange Online depuis juillet 2026 : préparez-vous à éviter les interruptions de courrier

Microsoft a annoncé qu'à partir de juillet 2026 il cessera d'accepter les connexions TLS 1.0 et 1.1 pour les clients POP3 et IMAP4, une mesure qui ferme un chapitre de compatibilité avec les protocoles obsolètes et s'inscrit dans un effort accru pour réduire les vecteurs d'attaque dans le cloud email. Ce n'est pas un changement cosmétique : les connexions utilisant TLS 1.0 / 1.1 vont tout simplement échouer, donc tout client ou appareil qui dépend de ces versions ne pourra plus accéder à la boîte aux lettres.

TLS 1.0 est né en 1999 et TLS 1.1 en 2006; depuis des années, des faiblesses sont connues et de meilleures solutions de rechange ont été développées (TLS 1.2 et 1.3). L'industrie a évolué vers TLS 1.2 + y compris les engagements publics des fabricants et des navigateurs depuis 2018, et Microsoft documente déjà cette étape dans sa version technique pour Exchange Online; vous pouvez lire les détails dans le blog officiel de Microsoft ici: Dépréciation des anciens TLS et des paramètres pour POP et IMAP.

La bonne nouvelle est que la plupart des utilisateurs ne devraient pas être affectés: la plupart du trafic POP / IMAP à Exchange Online utilise déjà TLS 1.2 ou plus et les clients modernes le soutiennent. La mauvaise nouvelle est que il y a des dispositifs intégrés, des services juridiques et des applications personnalisées(imprimeurs, scanners, boîtes de registre, vieux logiciels, bibliothèques OpenSSL / Curl obsolètes) qui utilisent encore de vieilles piles et pourraient être interrompues. Microsoft a publié des directives spécifiques à l'intention de ceux qui utilisent encore l'héritage des paramètres; ce guide technique est dans sa documentation: Opt-in Exchange Endpoint en ligne pour les anciens TLS.

Du point de vue opérationnel, l'impact réel sera la chute des anciennes sessions TLS : les clients obtiendront des erreurs de connexion plutôt que des livraisons dégradées. Cela signifie une interruption de service et une perte potentielle de productivité si vous n'agissez pas à temps. En outre, le maintien des anciennes versions de TLS augmente le risque d'attaques par des vulnérabilités cryptographiques et de sécurité des canaux, excluant ainsi ces protocoles réduit l'exposition aux risques connus.

Si vous gérez des environnements avec Exchange Online, commencez par identifier les dépendances. Vérifiez les messages au centre de gestion de Microsoft et les enregistrements d'accès pour détecter les clients en utilisant les anciennes versions de TLS; en parallèle, vérifiez les inventaires de périphériques et les versions de bibliothèques cryptographiques (p. ex. OpenSSL). Outils de test comme testsl.sh ou commande option s _ client servir à vérifier quelles versions et suites acceptent un client ou un serveur dans les tests internes. Pour obtenir des conseils officiels sur les configurations des SDF et les recommandations du gouvernement, la publication du NIST est un bon point de départ : NIST SP 800-52 Révision 2.

Les actions spécifiques à prioriser sont claires: d'abord, faire un inventaire des clients utilisant POP / IMAP et de détecter s'ils dépendent de TLS 1.0 / 1.1; ensuite, mettre à jour les systèmes d'exploitation, les clients du courrier et le firmware de périphérique pour obtenir TLS 1.2 ou 1.3 support; troisième, si possible, migrer les clients vers des protocoles et API modernes (par exemple MAPI sur HTTP, EWS ou Microsoft Graph avec authentification moderne) qui offrent également de meilleurs contrôles et authentification basés sur OAuth. Si vous avez des applications gaufrées qui ne peuvent pas être mises à jour, planifiez un remplacement sûr ou une passerelle qui terminera TLS 1.2 / 1.3 pour eux et parler à Exchange avec des connexions compatibles.

Ne laissez pas toute la préparation pour la dernière minute : testez les changements dans un environnement contrôlé, communiquez bien à l'avance avec les utilisateurs et les fournisseurs de matériel et établissez un plan d'urgence pour les dispositifs critiques qui doivent continuer à fonctionner jusqu'à leur renouvellement. Documenter les clients qui ont migré et tenir des dossiers de preuve pour vérification et soutien. Si vous ne savez pas comment identifier les anciens clients, demandez aux fournisseurs de confirmer la compatibilité TLS et de demander une feuille de route des mises à jour.

Enfin, considérez cette annonce comme une opportunité de renforcer la position de sécurité: au-delà de la mise à jour TLS, vérifier l'authentification (il évite les identifiants de texte plat, adopte OAuth 2.0 si possible), forte force de chiffrement et désactive les suites et les protocoles obsolètes dans votre infrastructure. La transition vers le TLS 1.2 + n'est pas seulement une conformité : il s'agit d'une réduction tangible des risques contre les interceptions et les attaques contre la communication par courrier. Si vous avez besoin de ressources techniques pour exécuter des tests et planifier la migration, les guides Microsoft et NIST mentionnés ci-dessus sont des points de départ fiables.