Remarque : date de fin de prise en charge reportée « En raison de la situation sans précédent que nous traversons, et sachant que les priorités de nombreux clients ont changé, nous avons décidé de reporter le retrait de l’authentification de base dans Exchange Online (MC204828) pour les locataires qui l’utilisent encore activement, jusqu’au second semestre 2021. Nous communiquerons une date plus précise lorsque nous aurons une meilleure idée de l’impact de la situation. » – Microsoft

Pas d’inquiétude, Missive prend toujours en charge Office 365, Outlook et IMAP. 😅

Le 13 octobre 2020, Microsoft cessera de prendre en charge l’authentification par nom d’utilisateur et mot de passe pour les protocoles IMAP et POP3.

Concrètement, toute application de messagerie qui se connecte aux serveurs e-mail de Microsoft via IMAP ou POP3 (authentification de base) cessera de fonctionner.

L’authentification de base désigne la façon dont une application transmet le nom d’utilisateur et le mot de passe d’un utilisateur. Dans bien des cas, c’est une méthode peu sûre pour gérer des identifiants, surtout lorsqu’un tiers intervient et doit stocker les identifiants de l’utilisateur pour s’authentifier en son nom (application de messagerie dans le cloud).

Comme alternative, Microsoft a développé l’authentification moderne (un terme propre à Microsoft), basée sur une méthode d’authentification appelée OAuth 2.0. Cette méthode ne partage pas les mots de passe : elle utilise des jetons d’autorisation (voyez-les comme des mots de passe temporaires) pour prouver l’identité entre les utilisateurs et les fournisseurs de services.

Les applications qui se connectent à votre compte Microsoft ne reçoivent jamais votre vrai mot de passe. Vous pouvez aussi révoquer l’accès de ces applications depuis votre compte Microsoft. Rien que ça, c’est une bonne chose !

La fin temporaire d’IMAP

Le problème, c’est qu’en abandonnant l’authentification de base, Microsoft porte un coup fatal à de nombreux clients de messagerie qui ne prennent en charge que les protocoles IMAP/POP3. À partir du 13 octobre 2020, la seule façon pour les clients de messagerie de synchroniser les e-mails des comptes Microsoft sera d’implémenter l’API REST propriétaire d’Outlook ou le protocole Exchange.

Techniquement, le protocole IMAP prend en charge l’authentification OAuth 2.0 via une extension ; c’est ainsi que fonctionne Gmail. Il est toutefois peu probable que Microsoft la prenne en charge à temps. Cette prise en charge a été annoncée récemment, mais sans date précise :

Pour faciliter la migration de vos applications existantes vers OAuth 2.0, nous investissons massivement dans notre service, notamment dans la prise en charge d’OAuth 2.0 pour POP et IMAP, et dans la prise en charge des applications en arrière-plan pour le module MFA de PowerShell à distance. Nous partagerons plus d’informations sur ces nouvelles fonctionnalités dans les prochains mois.

Pour nos utilisateurs, ce n’est pas un problème : notre moteur de synchronisation prend désormais en charge l’authentification moderne via l’API REST d’Outlook. Pour un client de messagerie dans le cloud, ne plus avoir à stocker et à chiffrer les mots de passe des utilisateurs est une amélioration considérable. Il est simplement dommage, et contre-productif, que Microsoft n’ait pas proposé d’emblée les connexions IMAP avec l’extension OAuth 2.0.