EWS geblokkeerd in Exchange Online? Dit is de fix

Microsoft heeft op 21 oktober op het Exchange Team Blog een herstelprocedure gepubliceerd voor beheerders van wie applicaties kapot zijn gegaan door het uitzetten van Exchange Web Services. Dat is nodig, want de uitfasering die op 1 oktober begon, raakt in de praktijk meer dan alleen oude integraties.

Microsoft noemt zelf de categorieen die stuklopen: Apple Mail en Agenda op macOS, klassieke Outlook op macOS, verschillende Outlook-desktopadd-ins, verouderde versies van Outlook voor Windows en diverse andere applicaties, waaronder back-upsoftware van externe leveranciers. De symptomen varieren van een duidelijke melding dat EWS niet beschikbaar is tot een venster dat blijft vragen om gebruikersnaam en wachtwoord. Wij schreven eerder over de uitfasering zelf.

Eerst vaststellen dat het echt EWS is

Microsoft verwijst je naar de Message Center-berichten van je tenant. Zoek daar op een bericht met als onderwerp "Action may be required: EWS will be disabled in your tenant in 7 days" of "EWS has been disabled in your tenant". Daaruit blijkt wanneer EWS in jouw tenant is uitgezet.

Sneller gaat het met Exchange Online PowerShell:

Get-OrganizationConfig | Fl EWSEnabled

Staat daar EwsEnabled : False, dan is dat volgens Microsoft je probleem. Let op: het bedrijf zegt er expliciet bij dat Microsoft-support deze stappen niet voor je kan uitvoeren. Alleen een tenantbeheerder kan EWS weer aanzetten.

Twee routes terug

De eerste route loopt via het Microsoft 365-beheercentrum, op de pagina Baseline security mode. Klik daar op de regel "Block access to Exchange Web Services". Haal vervolgens het vinkje weg bij "Block your entire organization from using EWS" en klik op "Apply change" — en zet daarna hetzelfde vinkje weer aan, met opnieuw "Apply change".

Die dans is verwarrend, en Microsoft geeft dat toe. Na de tweede klik staat het blokkeervinkje weer aan, maar is de onderliggende tenantinstelling juist EWSEnabled = True met een allowlist van specifieke apps. In het Scope Summary zie je welke apps zijn uitgesloten van de blokkade.

De tweede route is directer:

Set-OrganizationConfig -EWSEnabled $true

In beide gevallen werkt de wijziging volgens Microsoft meestal binnen een uur, maar in uitzonderlijke gevallen kan het tot vier uur duren.

De allowlist is ook je inventarisatie

Welke applicaties er op de allowlist staan, vraag je zo op:

Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Fl EwsAllowedAppIDs

Dat levert de EWS-applicaties op die Microsoft de afgelopen zestig dagen in je tenant heeft zien langskomen en die het bedrijf zelf al aan EwsAllowedAppIDs heeft toegevoegd. Werkt alles weer, dan hoef je die lijst niet aan te passen. Je kunt wel apps toevoegen; wijzigingen in de lijst worden na 24 uur actief.

Uitstel, geen afstel

Microsoft is er helder over dat dit tijdelijk is. "We are now in the first stage of EWS disablement, where customers are still able to re-enable EWS. Re-enabling EWS will stop working in April 2027."

De echte oplossing ligt bij de applicaties: je moet volgens Microsoft bij je leverancier een versie opvragen die geen EWS gebruikt, of je eigen code ombouwen naar Microsoft Graph. De uitfasering geldt alleen voor Exchange Online; in Exchange Server on-premises blijft EWS werken.

Wat je nu kunt doen

• Controleer in Message Center of EWS in jouw tenant al is uitgezet, en wanneer.
• Draai Get-OrganizationConfig | Fl EWSEnabled om het te bevestigen.
• Zet EWS tijdelijk weer aan via Baseline security mode of PowerShell als er applicaties stilliggen.
• Haal EwsAllowedAppIDs op en gebruik die lijst als startpunt voor je migratie.
• Leg per applicatie bij de leverancier vast of er een Graph-versie komt, en wanneer. April 2027 is de harde grens.