Microsoft začal v Microsoft 365 blokovat poštovní protokol Exchange Web Services

Kdo si do poštovního programu přidal pracovní schránku z Microsoftu 365, může v těchto dnech zjistit, že se k ní program nedostane. Microsoft 1. října spustil postupné vypínání Exchange Web Services, rozhraní, přes které si aplikace třetích stran sahají na zprávy, kalendář a kontakty v Exchange Online. Nevypíná se naráz, ale po tenantech, tedy po jednotlivých firemních a školních organizacích v Microsoftu 365.

Vypínač se jmenuje EWSEnabled

Celá blokace stojí na jedné vlastnosti tenanta. Tým Exchange ji popsal 5. února 2026: EWSEnabled má tři hodnoty, True, False a Null. Výchozí dosud byla Null a znamenala, že EWS je povolené všem aplikacím. Od 1. října se u každého tenanta, který na Null zůstal, přepíná na False, a tím se protokol zavře všem jeho aplikacím naráz.

Správce, který chce EWS udržet, musí hodnotu nastavit na True a vést k ní seznam povolených aplikací (AppID Allow List). Co na seznamu není, se dovnitř nedostane; existuje-li seznam prázdný, neprojde nic. Druhá cesta je vrátit hodnotu na Null, a to jde jedině z příkazové řádky Exchange Online PowerShellu. Komu seznam chybí, tomu ho Microsoft předvyplní sám podle provozu, který u něj vidí. Sám k tomu ale dodává, že je lepší, když si ho správce napíše ručně, protože automatické doplnění může povolit i aplikace, o kterých nikdo ve firmě neví.

Za zrychlením stojí průnik z ledna 2024

Nové na věci není nic kromě termínu. Microsoft přestal do EWS přidávat funkce v roce 2018 a jeho konec v Exchange Online ohlásil v roce 2023. Ve vlastní dokumentaci ale přiznává ještě jeden důvod, proč se práce rozjela rychleji: bezpečnostní incident Midnight Blizzard z ledna 2024 se EWS týkal a naléhavost zvýšil. S ním se rozšířil i rozsah úklidu. Původně mířil na aplikace cizích dodavatelů, dnes i na vlastní programy Microsoftu, tedy Outlook, Office, Teams a Dynamics 365.

Jinak firma argumentuje stářím. Rozhraní je podle ní téměř dvacet let staré a „už neodpovídá dnešním požadavkům na bezpečnost, rozsah ani spolehlivost“ (přeloženo z angličtiny). Nástupce, Microsoft Graph, má u většiny scénářů téměř úplnou shodu funkcí. Téměř, ne úplnou: zbylé mezery si Microsoft vede a zveřejňuje, protože kvůli nim část integrací přejít zatím nemůže.

Vypnutí jde odložit, ale jen do dubna 2027

Konec má datum 1. dubna 2027. Tím dnem se správcům možnost s EWSEnabled hýbat odebere. V oddílu častých otázek si tým Exchange sám položil dotaz, jak získat výjimku, když organizace do té doby připravená nebude, a odpověděl jednou větou: po dubnu 2027 žádné výjimky nebudou.

Do té doby chce Microsoft dělat „scream testy“, tedy krátká vypnutí, která mají skryté závislosti ukázat dřív než ostrý termín. Tenantů, které si EWSEnabled nastavily na True, se nedotknou.

Jedna věc si ve dvou oznámeních téže změny odporuje. Blog týmu Exchange píše, že kdo si seznam aplikací připraví do konce září 2026, automatické blokaci 1. října se vyhne. Text zprávy pro správce z Centra zpráv Microsoftu 365, vedené pod číslem MC1227454, mluví o konci srpna. Obě oznámení nesou datum 5. února 2026.

IMAPu a serveru ve vlastní serverovně se to netýká

Změna platí výhradně pro Exchange Online a Microsoft 365. Exchange Server provozovaný ve vlastní serverovně jede na EWS dál a Microsoft u něj žádný konec neohlásil. Stranou zůstává i IMAP: kdo pracovní schránku čte přes něj, nemusí dělat nic. EWS a Graph řeší situace, kdy organizace IMAP nepovolí.

Thunderbird účet nepřepne, musí se založit znovu

Z poštovních programů je to nejlíp vidět na Thunderbirdu. Podporu Microsoft Graphu zapnul ve verzi 154.0 vydané 18. srpna 2026 a 2. září k ní vydal návod. Praktická část je nepohodlná: protokol u už nastaveného účtu přepnout nejde. Kdo chodí do schránky v Microsoftu 365 přes EWS, musí účet v Thunderbirdu smazat a založit si ho znovu s volbou Microsoft Graph. Smazání účtu v programu se podle vývojářů dat na serveru nedotkne.

Druhý zádrhel je ve volbě kanálu. Vydání s dlouhodobou podporou, Thunderbird 153, Graph neumí. Kdo na něm zůstal a potřebuje se ke schránce v Microsoftu 365 dostat přes Graph, musí přejít na běžný kanál vydání. A Graph zatím v Thunderbirdu obsluhuje jen poštu; kalendář ani adresář ne, přesně jako dřív EWS. Na kalendáři přes Graph tým podle vlastních slov pracuje a chce se mu věnovat po zbytek roku.

Sami vývojáři na tom vidí i dobrou zprávu. Zprovoznit základní synchronizaci přes EWS jim trvalo jedenáct měsíců, u Graphu to byly čtyři, protože se stavělo na architektuře, kterou si kvůli EWS napsali. Podle nich to je důvod k naději, že na tomtéž základu půjde postavit i podpora protokolu JMAP.

Doplněno 13. října 2026: jinak k přechodu přistoupil český poštovní program eM Client. Jeho verze 11, ohlášená 7. října, nabídne převedení účtu na Graph hned při prvním spuštění po aktualizaci a přes Graph podle výrobce synchronizuje poštu, kalendář, kontakty i úkoly.

Kolik organizací to zasáhne, se neví

Jedno číslo v celé věci chybí, a je to dost podstatné: kolik firem a procesů na EWS v Exchange Online pořád visí, Microsoft nezveřejnil. Upozornil na to i The Register, podle kterého se opomenuté integrace začnou hlásit samy, jak postupná blokace dojde na jejich tenant, nejčastěji jako stížnost, že něco, co roky fungovalo, přestalo. Týž server připomíná, že EWS přišlo s Exchange Serverem 2007.

Zdroje

• Exchange Online EWS, Your Time is Almost Up, blog týmu Exchange, 5. února 2026
• Deprecation of Exchange Web Services in Exchange Online, Microsoft Learn
• Thunderbird Desktop New Protocol Support: Microsoft Graph API, blog Thunderbirdu, 2. září 2026
• Poznámky k vydání Thunderbirdu 154.0, 18. srpna 2026
• Exchange Web Services enters the final stretch before Microsoft pulls access, The Register, 1. října 2026