Un intervento semplice, ma necessario per evitare una riduzione dell’efficacia della protezione della posta elettronica.

Hornetsecurity ha informato i propri partner di un’importante modifica che coinvolgerà tutti i clienti di 365 Total Protection in modalità Hybrid. Entro il 31 dicembre 2026, ogni tenant interessato dovrà concedere un nuovo set di autorizzazioni Microsoft tramite il Control Panel Hornetsecurity.

L’aggiornamento è richiesto in seguito a un cambiamento annunciato da Microsoft per le applicazioni che modificano, attraverso Microsoft Graph, alcune proprietà sensibili delle email già consegnate.

Cosa cambia dal 31 dicembre 2026

Microsoft introdurrà nuove restrizioni per le applicazioni che devono modificare elementi sensibili dei messaggi non più in stato di bozza.

Tra le proprietà interessate rientrano:

• oggetto dell’email;
• corpo del messaggio;
• destinatari principali;
• destinatari in copia o copia nascosta;
• indirizzi utilizzati per le risposte;
• alcune proprietà estese del messaggio.

Dal 31 dicembre 2026, le normali autorizzazioni Mail.ReadWrite non saranno più sufficienti per eseguire queste operazioni sui messaggi già consegnati.

Le applicazioni dovranno utilizzare una delle nuove autorizzazioni della famiglia Mail-Advanced.ReadWrite, a seconda dello scenario applicativo. Tutte le nuove autorizzazioni richiedono il consenso di un amministratore del tenant.

L’obiettivo di Microsoft è rafforzare l’integrità delle email ricevute, impedendo alle normali applicazioni di modificare contenuti critici come oggetto, corpo e destinatari senza un’autorizzazione esplicita e più elevata.

Perché la modifica interessa Hornetsecurity

La modalità Hybrid di 365 Total Protection combina:

• la protezione pre-delivery tramite Secure Email Gateway;
• la protezione post-delivery basata sull’integrazione API con Microsoft 365.

Il primo livello analizza le email prima che raggiungano la casella dell’utente. Il livello API permette invece di esaminare e gestire i messaggi anche dopo la consegna, applicando controlli avanzati e azioni di remediation.

Hornetsecurity presenta la modalità Hybrid come la combinazione delle funzionalità MX e API, con controlli effettuati sia prima sia dopo la consegna delle email.

Alcune di queste attività richiedono l’accesso alle proprietà dei messaggi attraverso Microsoft Graph. Per continuare a eseguirle dopo l’entrata in vigore delle nuove regole, Hornetsecurity deve quindi ottenere un nuovo consenso amministrativo.

Chi deve intervenire

L’azione è richiesta a tutti i clienti che utilizzano Hornetsecurity 365 Total Protection in modalità Hybrid.

La delega deve essere completata:

• per ogni tenant Microsoft 365 interessato;
• utilizzando un account con privilegi amministrativi adeguati;
• entro il 31 dicembre 2026;
• attraverso il collegamento messo a disposizione nel Control Panel Hornetsecurity.

Gli MSP che gestiscono più organizzazioni dovranno quindi verificare e aggiornare separatamente ciascun tenant configurato in modalità Hybrid.

La comunicazione ricevuta da Hornetsecurity riguarda espressamente la modalità Hybrid. Non è opportuno estendere automaticamente l’obbligo ai clienti configurati esclusivamente in modalità MX o API senza una specifica indicazione del produttore.

Cosa può accadere senza il nuovo consenso

Se le nuove autorizzazioni non vengono delegate entro la scadenza, le operazioni Hornetsecurity che dipendono dalla modifica delle proprietà sensibili tramite Microsoft Graph potrebbero non essere eseguite correttamente.

Questo potrebbe comportare:

• malfunzionamenti delle funzioni di protezione post-delivery;
• impossibilità di completare alcune azioni sui messaggi già ricevuti;
• limitazioni nelle attività automatiche di remediation;
• errori di comunicazione tra Microsoft 365 e la soluzione;
• una riduzione dell’efficacia complessiva della protezione.

Non significa necessariamente che ogni componente di 365 Total Protection smetterà di funzionare. L’impatto riguarda in particolare le funzionalità che dipendono dalle nuove autorizzazioni Microsoft Graph.

Come concedere le nuove autorizzazioni

Hornetsecurity ha predisposto una procedura guidata all’interno del proprio Control Panel.

1. Accedere al Control Panel

Accedere al Control Panel Hornetsecurity utilizzando un account dotato delle autorizzazioni necessarie per concedere il consenso amministrativo nel tenant Microsoft 365.

2. Individuare l’avviso

La richiesta può essere visualizzata:

• all’interno di una finestra pop-up;
• in un banner nella parte superiore della schermata Spam & Malware Protection;
• in un banner nella parte superiore della schermata Advanced Threat Protection.

Se l’avviso non è visibile, verificare che il tenant utilizzi effettivamente 365 Total Protection in modalità Hybrid e che la delega non sia già stata completata.

3. Avviare la procedura

Selezionare il collegamento presente nell’avviso. Il sistema avvierà il processo Microsoft per l’approvazione delle autorizzazioni.

4. Controllare il tenant

Prima di confermare, verificare attentamente:

• che sia stato selezionato il tenant corretto;
• che la richiesta provenga dall’applicazione Hornetsecurity prevista;
• che l’account utilizzato possa concedere il consenso amministrativo;
• che le autorizzazioni mostrate corrispondano a quelle richieste dal flusso ufficiale.

5. Concedere il consenso

Approvare la richiesta e completare la procedura Microsoft.

Non è necessario scegliere o aggiungere manualmente le autorizzazioni Mail-Advanced.ReadWrite. Il processo avviato dal Control Panel deve presentare automaticamente il set necessario alla soluzione Hornetsecurity.

6. Verificare l’esito

Dopo l’approvazione, tornare nel Control Panel e controllare che:

• la richiesta non risulti più in sospeso;
• non siano presenti messaggi di errore;
• Spam & Malware Protection e Advanced Threat Protection risultino operative.

Se il banner continua a essere visualizzato, è consigliabile contattare il supporto prima di modificare manualmente le autorizzazioni in Microsoft Entra.

Le nuove autorizzazioni consentono di inviare email?

No. La documentazione Microsoft specifica che le autorizzazioni:

• Mail-Advanced.ReadWrite;

• Mail-Advanced.ReadWrite.All;

• Mail-Advanced.ReadWrite.Shared;

permettono di leggere, creare, aggiornare o eliminare i messaggi nell’ambito previsto, compresi i contenuti delle email non in bozza, ma non includono il permesso di inviare email. Tutte richiedono il consenso amministrativo.

Le normali autorizzazioni Mail.ReadWrite continueranno inoltre a essere utilizzabili per la gestione delle bozze e delle proprietà non interessate dalla nuova restrizione.