Impresoras y escáneres que envían correo por Microsoft 365: qué cambia a fines de 2026

En muchas oficinas, el escáner de la recepción envía por correo los documentos digitalizados, el sistema de facturación manda los comprobantes a los clientes y el equipo de monitoreo avisa cuando algo falla. Si tu organización usa Microsoft 365, es posible que varios de esos equipos envíen sus mensajes con el usuario y la contraseña de un buzón, un método que Microsoft llama SMTP AUTH con autenticación básica.

Ese método ya tiene fecha. Según el calendario que publicó el equipo de Exchange el 27 de enero de 2026, a fines de diciembre quedará desactivado por defecto en las organizaciones que ya usan Microsoft 365. Si nadie se prepara, puede pasar que en enero el escáner muestre un error de envío y los comprobantes dejen de salir, sin que nadie haya tocado su configuración.

Qué cambia exactamente a fines de 2026

El cambio llega por etapas:

• Hasta diciembre de 2026, el comportamiento sigue igual.
• A fines de diciembre de 2026, el SMTP AUTH con autenticación básica queda desactivado por defecto en las organizaciones existentes. El administrador todavía podrá activarlo de nuevo si lo necesita.
• Las organizaciones creadas después de diciembre de 2026 no lo tendrán disponible por defecto. El método soportado será OAuth, la autenticación moderna.
• En el segundo semestre de 2027, Microsoft anunciará la fecha en que lo retirará por completo.

Este calendario reemplazó a las fechas de marzo y abril de 2026 que se habían anunciado antes, así que si alguien te las menciona, ya no corren.

Volver a activarlo en enero es posible, pero solo compra tiempo hasta una fecha que todavía no se conoce. Hay otro motivo para no apoyarse en él: la guía de Microsoft advierte que el envío con autenticación básica no es compatible con los valores predeterminados de seguridad (Security defaults) de Microsoft Entra ID. Si tu organización los tiene activos o quiere activarlos, ese método ya choca con ellos.

Cómo saber qué equipos y sistemas dependen de este método

La forma más segura es listar todo lo que envía correo sin que una persona lo escriba. Lo habitual es encontrar:

• impresoras multifunción y escáneres que envían lo digitalizado;
• sistemas de facturación, contabilidad o planillas que mandan comprobantes y boletas;
• formularios de la web y aplicaciones propias que envían avisos;
• alarmas, cámaras, UPS y equipos de monitoreo que avisan cuando algo falla.

En cada uno, revisa la configuración del correo saliente. Si apunta al servidor smtp.office365.com con el usuario y la contraseña de un buzón, depende del método que se apaga. Anota el equipo, quién lo administra, el buzón que usa y a quién le escribe: solo a personas de tu organización o también a clientes y proveedores. Esa última respuesta decide qué alternativa te sirve.

Las alternativas que ofrece Microsoft

La guía de Microsoft para equipos multifunción y aplicaciones describe estos caminos, cada uno con su condición:

• SMTP AUTH con OAuth: el mismo envío desde un buzón con licencia, pero con autenticación moderna. Llega a destinatarios internos y externos, siempre que el equipo o el sistema admita OAuth. Tiene un límite de 10,000 destinatarios al día y 30 mensajes por minuto.
• SMTP relay con conector: el equipo envía a través de Microsoft 365 identificado por un certificado o por una IP pública fija que no se comparta con otra organización. No necesita buzón con licencia y puede enviar fuera de la organización, pero requiere el puerto 25 abierto y un registro SPF que incluya ese origen.
• Direct Send: envía sin autenticación y solo a buzones de tu propia organización; los mensajes a destinatarios externos se rechazan. Microsoft lo recomienda solo a quien pueda asumir las tareas de un administrador de servidores de correo, y dice que trabaja en una opción para desactivarlo por defecto.
• High Volume Email: pensado para grandes volúmenes, también solo hacia destinatarios internos.

Para un escáner que solo envía a los propios trabajadores, Microsoft sugiere High Volume Email. Para un sistema que manda comprobantes a clientes, las opciones son OAuth, el relay con conector o el servicio de correo de Azure Communication Services, que la misma guía propone para enviar a destinatarios internos y externos.

El problema de las impresoras antiguas

No todas las impresoras y escáneres admiten OAuth. Depende del modelo y de su firmware, así que la primera consulta es al fabricante. Hay otro detalle que la guía de Microsoft deja claro: para enviar por SMTP AUTH, el equipo debe soportar TLS 1.2 o 1.3, que es el cifrado de la conexión. Si un equipo propone por defecto el puerto 465, es señal de que no soporta las versiones de TLS que Microsoft exige.

Para esos equipos, el camino suele ser el relay con conector o un servidor de correo propio dentro de la red, que reciba los mensajes de la impresora y los entregue a Microsoft 365. Si el equipo no puede actualizarse y tampoco encaja en esas opciones, pasa a la lista de reemplazo.

Si eres una entidad pública: lo que pide la directiva de correo

En el Estado hay una regla adicional. La Directiva N.° 001-2026-PCM/SGTD, que regula el correo institucional en las entidades públicas, permite usar subdominios del dominio principal solo para las cuentas funcionales de sistemas automatizados, y los vuelve obligatorios cuando el volumen de mensajes pueda comprometer la reputación del dominio institucional. También pide al administrador del servicio mantener un inventario actualizado del dominio, los subdominios y las cuentas funcionales.

El inventario que exige la directiva y el que necesitas para este cambio se superponen, así que lo práctico es hacerlos juntos: cada impresora o sistema con su cuenta funcional, su responsable, su subdominio si corresponde y el método de envío que usará desde enero. El resto de las obligaciones está en la nota sobre la nueva directiva de correo institucional del Estado.

Qué hacer antes de diciembre

1. Haz la lista de equipos y sistemas que envían correo, con el buzón que usa cada uno.
2. Pregunta a cada fabricante o proveedor de software si su producto admite OAuth.
3. Elige el método para cada caso según a quién envía: solo dentro de tu organización o también afuera.
4. Si vas a usar el relay con conector, confirma que tienes una IP pública fija y revisa el registro SPF del dominio. Si tus correos ya llegan a spam o rebotan, resuélvelo en el mismo paso.
5. Prueba el cambio con un equipo de cada tipo antes de fines de diciembre y deja escrita la configuración final.
6. Cuando todo envíe por el método nuevo, cambia la contraseña de los buzones que usaban los equipos, que hasta hoy estaba guardada en su configuración.

Si tu organización está por cambiar de plataforma de correo, suma este inventario al plan para migrar el correo de una institución sin perder mensajes: las impresoras y los sistemas que envían correo también tienen que entrar al inventario desde el primer día.