Microsoft va désactiver définitivement l’ancienne authentification par mot de passe simple (IMAP/POP/SMTP/EAS) pour Outlook.com et Hotmail le 16 septembre 2024. Sans passage à OAuth 2.0, plus aucun envoi ni réception de courriels ne sera possible après cette date décisive.
Problématique
Depuis plus de vingt ans, les comptes Hotmail / Outlook.com acceptent la “Basic Auth” : un nom d’utilisateur (adresse e‑mail) et un mot de passe transmis en clair (ou presque) à chaque connexion des clients de messagerie. Or, cette méthode :
- n’isole pas la saisie du mot de passe : il est souvent stocké localement ;
- empêche l’activation simple d’une authentification multifacteur (MFA) ;
- expose le compte à l’interception de session, au vol de mots de passe et au hameçonnage.
Pour éradiquer ces faiblesses, Microsoft généralise la “Modern Auth” basée sur OAuth 2.0 et OpenID Connect. Le principe : l’application de messagerie n’obtient qu’un jeton d’accès temporaire signé par Microsoft Entra ID (ex‑Azure AD) ; le mot de passe ne transite plus, l’utilisateur peut exiger un second facteur (SMS, application d’authentification, clé FIDO2), et le jeton peut être révoqué à tout moment.
À compter du 17 septembre 2024 (00:00 UTC), tous les clients Outlook.com / Hotmail qui dialoguent encore via Basic Auth seront purement et simplement bloqués. Les e‑mails resteront stockés sur les serveurs, mais le compte refusera la connexion jusqu’à restauration d’OAuth.
Clients concernés et impacts
L’impact varie selon l’âge de votre appareil et la version de l’application :
- Smartphones récents (iOS 15 +, Android 11 +) : Mail iOS, Gmail et la plupart des apps Samsung/Edison/BlueMail sont déjà compatibles ; il suffit parfois de ré‑ajouter le compte.
- Ordinateurs Windows/macOS : Outlook 2016/2019/2021 doit être à jour (build ≥ 16.0.4600). Outlook pour Microsoft 365 active OAuth par défaut depuis 2022. Thunderbird gère OAuth depuis la v78.
- Vieilles applis ou appareils embarqués (imprimantes multifonctions, scanners, caméras IP) : si aucune mise à jour n’ajoute OAuth, l’envoi SMTP cessera et il faudra se tourner vers Outlook Web ou un relais SMTP tiers.
Tableau des actions recommandées
| Contexte | Action recommandée | Pourquoi ? |
|---|---|---|
| iPhone / iPad – app Mail native | Ne rien faire si tout fonctionne. En cas de fenêtres de mot de passe : Réglages › Mail › Comptes › supprimer le compte › ré‑ajouter via « Outlook.com ». | Mail iOS prend déjà en charge OAuth. Ré‑ajouter force l’activation. |
| Samsung Email sur Android | Mettre l’appli à jour (Galaxy Store/Play Store), supprimer puis ré‑ajouter le compte en choisissant “Outlook.com” ou “Exchange/Outlook”. | Versions récentes (> v6.1) gèrent OAuth ; les anciennes non. |
| Gmail pour Android | Supprimer puis ré‑ajouter via Ajouter un compte › Outlook, Hotmail et Live. | Gmail négocie OAuth quand le compte est ajouté ainsi. |
| Mail ou Outlook sur macOS | • Mail (macOS 12+) : identique à iOS. • Outlook (v16.70+) : activer “Nouvel Outlook” ou appliquer la dernière mise à jour. | Ces versions utilisent OAuth. |
| Outlook pour Windows | Installer les mises à jour cumulatives (Outlook 2016/2019) ou passer à Outlook pour Microsoft 365 / Outlook Web. | Les builds récents activent automatiquement OAuth. |
Tutoriels pas‑à‑pas
Mail iOS / iPadOS
- Ouvrez Réglages › Mail › Comptes, touchez votre compte Outlook.com.
- Sélectionnez Supprimer le compte puis confirmez.
- Revenez à Comptes, appuyez sur Ajouter un compte > Outlook.com.
- Une fenêtre Microsoft s’affiche : saisissez l’adresse puis validez. Vous êtes redirigé vers la page OAuth où vous pouvez approuver la connexion via Face ID, Touch ID ou code appareil.
- Activez Mail, Contacts, Calendrier si souhaité, puis Enregistrer.
Vérification : dans Réglages › Mail › Comptes › [Votre Compte], l’onglet IMAP/POP n’apparaît plus ; seul Outlook reste visible, signe que l’OAuth EAS ou Graph est actif.
Samsung Email (One UI 6 +)
- Mettez à jour l’application dans Galaxy Store.
- Dans Paramètres › Comptes et sauvegarde › Gestion des comptes, supprimez le compte Outlook.
- Relancez Samsung Email, sélectionnez Ajouter un compte, puis Outlook.com.
- Acceptez l’ouverture d’un navigateur intégré (Custom Tabs) vers login.live.com.
- Après authentification et MFA éventuel, Samsung Email reçoit un refresh token valide 90 jours. Vous pourrez le renouveler sans ressaisir de mot de passe.
Outlook 2016/2019 pour Windows
- Installez les derniers correctifs cumulés (File › Office Account › Update Options › Update Now).
- Fermez Outlook, ouvrez l’éditeur de registre (
regedit.exe) et vérifiez que la cléHKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity\EnableADALvaut1(activé par défaut depuis 2023). - Relancez Outlook. Au premier envoi ou réception, la boîte de dialogue moderne s’affiche (logo bleu Microsoft). Saisissez l’adresse, cliquez sur Next, puis saisissez le mot de passe ou approuvez la notification Authenticator.
Vous êtes désormais basculé sur OAuth 2.0 : l’ancienne fenêtre Windows Credentials Manager n’apparaît plus.
Thunderbird 115 “Supernova”
- Menu ☰ › Paramètres de compte › Paramètres serveur.
- Changez Nom du serveur en outlook.office365.com, port 993, sécurité SSL/TLS.
- Sous Méthode d’authentification, choisissez OAuth2.
- Au prochain relevé, Thunderbird ouvre un onglet Web intégrant login.live.com. Terminez l’authentification et accordez l’accès.
Imprimantes multifonctions & scanners réseau
Beaucoup d’appareils ne proposent qu’un champ SMTP Username / Password. Sans mise à jour micrologicielle ajoutant OAuth (rare), utilisez l’une des options suivantes :
- Configurer un relais SMTP interne (Exchange Server 2019 CU15 ou Postfix) auquel l’appareil s’authentifie en TLS, puis relayer vers Outlook.com via OAuth côté serveur.
- Changer le workflow : envoyer les numérisations vers OneDrive ou SharePoint via WebDAV / Graph.
- Si votre imprimante supporte “App Password”, sachez que Microsoft les bloque également le 16 septembre ؛ il faut donc envisager une passerelle.
Questions fréquentes
| Question | Réponse claire |
|---|---|
| Vais‑je perdre mes courriels ou dossiers ? | Non. Les messages restent sur les serveurs Microsoft. Supprimer puis ré‑ajouter un compte ne touche pas aux données serveur. |
| Devrai‑je installer une nouvelle application ? | Pas si votre appli actuelle accepte OAuth 2.0. Sinon, prenez la dernière version ou l’app mobile Outlook officielle. |
| Et sur Android ? | Même logique : appliquez les mises à jour et reconfigurez le compte en mode Outlook/Exchange afin d’utiliser OAuth. |
| Que faire si certains dossiers ou contacts n’apparaissent plus après reconfiguration ? | Laisser la synchronisation se terminer, puis vérifier les paramètres IMAP/Exchange. Au besoin, ré‑ajouter le compte en mode “Exchange (EAS)” pour récupérer l’intégralité des dossiers. |
| Que se passera‑t‑il si je n’agis pas ? | Le 17 septembre, les clients restés en authentification de base ne pourront plus se connecter ; l’envoi et la réception échoueront jusqu’à reconfiguration. |
Bonnes pratiques avant la bascule
- Sauvegarder : dans Outlook classique, exportez un fichier PST ou activez l’archive automatique avant toute manipulation.
- Activer la validation en deux étapes : OAuth sait gérer le MFA sans “mot de passe d’application”, ce qui sécurise votre compte.
- Tester l’envoi/réception : envoyez‑vous un e‑mail de test après reconfiguration pour vérifier la synchronisation des dossiers Boîte d’envoi et Éléments envoyés.
- Garder systèmes et applis à jour : les failles OAuth sont corrigées régulièrement dans iOS, Android, macOS et Windows. Un appareil à jour limite les erreurs de jeton expiré.
- Documenter le paramétrage : capturez les écrans clés (URL login.microsoftonline.com, consentement d’accès) pour vos utilisateurs ou collègues.
- Surveiller les alertes de sécurité : Microsoft pousse souvent des notifications “Nouvelle application connectée” — acceptez‑les uniquement si vous êtes à l’origine de l’ajout.
Dépannage avancé
Erreur 0x80040115 / 0x800CCC0E dans Outlook Windows : indique généralement un proxy TLS ou un pare‑feu bloquant login.microsoftonline.com. Ajoutez les domaines *.outlook.com et *.microsoftonline.com dans la liste blanche SSL Inspection.
Fenêtre de connexion en boucle : nettoyez les identifiants Windows (Panneau de configuration › Gestionnaire d’identification), supprimez toutes les lignes “MicrosoftOffice16_Data” puis relancez Outlook.
Protection MFA désactivée par erreur : connectez‑vous au centre de sécurité (mysignins.microsoft.com) et ré‑inscrivez votre application Authenticator.
Échec d’envoi SMTP 550 5.7.3 : si vous utilisez le serveur smtp.office365.com avec Basic Auth, changez immédiatement pour smtp-mail.outlook.com via OAuth ou basculez vers le MSA Graph API.
Calendrier et rappels
| Étape | Date limite | Description |
|---|---|---|
| Mise à jour des apps mobiles Outlook | Juin 2024 | Version minimale exigeant OAuth publiée sur App Store / Play Store. |
| Phase d’avertissement (e‑mails “Update the sign‑in technology”) | Juillet–Août 2024 | Notification toutes les deux semaines si Basic Auth détectée. |
| Désactivation globale | 16 septembre 2024 à 23:59 UTC | Coupe‑circuit côté serveur. Jetons Basic Auth révoqués. |
| Période de grâce (post‑mortem) | 17 septembre → 31 octobre 2024 | Support Microsoft répond aux incidents critiques, sans réactiver Basic Auth. |
Message à retenir
Pas de panique : la majorité des appareils récents gèrent déjà OAuth 2.0. Quand un doute subsiste, la solution universelle est de : mettre à jour l’application, supprimer le compte, le ré‑ajouter en choisissant “Outlook.com/Exchange”, puis vérifier que l’authentification passe bien par la page de connexion Microsoft.
En appliquant ces recommandations avant le 16 septembre 2024, vous éviterez toute coupure et profiterez d’une sécurité renforcée, compatible MFA et future‑proof pour la décennie à venir.