Microsoft a détaillé son plan pour la mise hors service de l’API Exchange Web Services (EWS) au sein de ses environnements cloud. Une mesure qui concerne Microsoft 365 et Exchange Online, mais pas les versions sur site d’Exchange Server.
Annoncé pour la première fois en 2018, l’abandon de cette technologie vieille de près de 20 ans est désormais programmé avec une désactivation par défaut au 1er octobre 2026, suivie d’un arrêt complet et définitif le 1er avril 2027.
Un arrêt d’EWS pour cause d’obsolescence
Sans grande surprise, Microsoft explique que EWS ne correspond plus aux exigences actuelles en matière de sécurité, d’évolutivité et de fiabilité.
Le groupe de Redmond pousse à l’adoption de Microsoft Graph, une API moderne qui offre des fonctionnalités quasiement identiques pour la grande majorité des scénarios EWS.
En retirant EWS, Microsoft va réduire la surface d’attaque héritée et proposer une expérience plus cohérente, d’autant plus dans le contexte d’incidents de sécurité récents.
Quel est le calendrier précis de l’arrêt progressif ?
Le plan de Microsoft se déroule en plusieurs étapes clés. D’ores et déjà, les administrateurs sont incités à préparer la transition. Jusqu’à fin août 2026, ils peuvent configurer une liste d’applications autorisées pour maintenir un accès temporaire à EWS avec les applications critiques.
À partir du 1er octobre 2026, EWS sera bloqué par défaut pour tous ceux n’ayant pas pris la mesure préventive. Microsoft a également prévenu qu’il pourrait effectuer des coupures temporaires pour révéler les dépendances cachées.
La date butoir est fixée au 1er avril 2027, date à laquelle EWS sera désactivé sans retour possible, Microsoft précisant qu’il n’y aura aucune exception.