Deadline voor Exchange Web Services (EWS) nadert

De boodschap van het Exchange-team is helder: het 20 jaar oude protocol voldoet niet meer aan de moderne eisen voor veiligheid en schaalbaarheid. Microsoft dringt er bij organisaties op aan om zo snel mogelijk over te stappen naar de modernere Microsoft Graph API.

Belangrijke tijdlijn en actiepunten

De uitfasering verloopt in verschillende fasen om beheerders de controle te geven, maar stilzitten is geen optie.

• Nu tot augustus 2026 (Voorbereiding): Beheerders moeten het EWS-verbruik analyseren via rapporten in het Microsoft 365-beheercentrum. Dit is het moment om applicaties te migreren naar Microsoft Graph.
• Augustus 2026 (Deadline voor 'Allow List'): Beheerders die vóór eind augustus 2026 proactief een lijst met toegestane App-ID's configureren en de instelling EWSEnabled op True zetten, voorkomen dat hun tenant automatisch wordt geblokkeerd in oktober.
• 1 oktober 2026 (Initiële blokkade): Voor tenants die geen actie hebben ondernomen, wordt EWS standaard uitgeschakeld (EWSEnabled=False). Dit zal leiden tot serviceonderbrekingen voor apps die nog afhankelijk zijn van EWS.
• 1 april 2027 (Definitieve shutdown): EWS wordt volledig en permanent uitgeschakeld voor alle Exchange Online-omgevingen. Er zijn na deze datum geen uitzonderingen mogelijk.

De nieuwe 'Allow List'

Begin 2026 introduceert Microsoft een nieuwe functie: de AppID Allow List. Hiermee kunnen beheerders specifiek aangeven welke applicaties nog tijdelijk toegang mogen hebben tot EWS. Als een beheerder zelf geen lijst aanmaakt, zal Microsoft in september 2026 op basis van het werkelijke verbruik automatisch een lijst genereren om grote storingen te voorkomen. Microsoft adviseert echter om dit zelf te doen voor maximale controle.

Uitzondering voor on-premise

Belangrijk om te weten is dat deze wijziging alleen geldt voor Exchange Online. Voor organisaties die Exchange Server (on-premise) gebruiken, verandert er op dit moment niets aan de status van EWS. In hybride scenario's zullen cloud-mailboxen echter de overstap naar Graph móéten maken.

Waarom nu overstappen?

Volgens Microsoft heeft de Graph API inmiddels bijna volledige functionele gelijkwaardigheid bereikt met EWS. Bovendien zijn veel externe leveranciers al overgestapt. Om beheerders te helpen, zal Microsoft maandelijks updates sturen via het Message Center. Ook kunnen er zogeheten "scream tests" plaatsvinden: korte periodes waarin EWS tijdelijk wordt uitgezet om verborgen afhankelijkheden in het netwerk pijnlijk duidelijk te maken voordat de echte deadline verstrijkt.

Het advies van Microsoft: "Wacht niet tot het laatste moment. Gebruik de beschikbare tools om uw omgeving te evalueren en begin vandaag nog met het migratieplan naar Microsoft Graph."