Exchange Online : vos applications EWS ne fonctionnent plus ? Voici la solution
Une application métier qui ne se connecte plus, un complément Outlook en vrac, des demandes de mot de passe en boucle : depuis le 1er octobre 2026, ces symptômes ont souvent la même origine sur Microsoft 365 : EWS. Microsoft explique comment réactiver EWS dans Exchange Online, mais pour quelques mois seulement. Voici comment ça fonctionne.
Pour rappel, Exchange Web Services (EWS) est une API qui permet aux applications d'accéder aux éléments d'une boîte aux lettres Exchange : e-mails, réunions, contacts. Elle est encore utilisée par des compléments Outlook, d'anciennes versions d'Outlook pour Windows, les applications Mail et Calendrier d'Apple sur macOS, ainsi que par des logiciels tiers.
Le problème, c'est que Microsoft a décidé de mettre fin à EWS, et on le sait depuis un bon moment. En effet, en février dernier, j'avais publié un article à propos du calendrier de retrait d'EWS sur Exchange Online. La firme de Redmond évoquait alors à l'époque un blocage par défaut au 1er octobre 2026 et un arrêt définitif en avril 2027.
Pour la mise en œuvre de ce changement, le principe est le suivant : les tenants qui n'avaient pas configuré eux-mêmes le paramètre EWSEnabled, avec une liste d'autorisation, avant fin août 2026 basculaient automatiquement sur EWSEnabled à False. Nous y sommes, et si vous n'avez pas anticipé, c'est le début des problèmes.
Microsoft a probablement eu écho des difficultés rencontrées par ceux qui n'ont pas anticipé ce changement. Un article publié cette semaine sur le blog de l'équipe Exchange est justement là pour vous guider si vous avez besoin de réactiver EWS, mais ce sera de toute façon temporaire. Tous les tenants n'ont pas encore basculé, ce changement étant progressif à l'échelle mondiale.
Dans un premier temps, allez faire un tour dans le Centre de messages de votre tenant, vous devriez voir des messages relatifs à EWS. Il y a notamment le message MC1485116 publié le 1er octobre 2026 qui est intéressant et va dans la même direction que l'article publié par Microsoft. La firme de Redmond évoque aussi un message spécifique à chaque tenant qui indique quand EWS sera désactivé sur votre tenant, ou un message affirmant que ça a été fait.
Ensuite, pour la configuration, vous avez deux options : via la page permettant d'éditer le Mode de sécurité de base (Baseline security mode) ou via PowerShell avec le module Exchange Online.
La première méthode est trompeuse, et Microsoft a fait du Microsoft, voici en gros ce qui est expliqué : dans le centre d'administration Microsoft 365, ouvrez la page Mode de sécurité de base, puis la ligne Bloquer l'accès à Services web Exchange (Block access to Exchange Web Services). Décochez la case Empêcher l'ensemble de votre organisation d'utiliser EWS (Block your entire organization from using EWS) et validez avec le bouton Appliquer la modification. Ensuite, recochez cette même case et validez de nouveau. Microsoft explique qu'avec la case cochée, le tenant se retrouve en réalité avec EWSEnabled à True via une liste d'applications autorisées. C'est surement lié au message présenté sur l'image ci-dessus : EWS est bloqué, sauf pour les applications présentes dans la liste des applications autorisées.
La méthode via Exchange Online PowerShell me semble plus pratique et "logique". Commencez par vérifier l'état du paramètre avec la première commande ci-dessous. Si elle renvoie EwsEnabled : False, EWS est désactivé, et la seconde commande le réactive.
# Vérifier l'état d'EWS au niveau de l'organisation
Get-OrganizationConfig | Fl EWSEnabled
# Réactiver EWS
Set-OrganizationConfig -EWSEnabled $trueAttention, Microsoft explique que la modification peut demander jusqu'à 4 heures avant d'être effective (dans le pire des cas).
Mais la configuration ne s'arrête pas là. Vous devez identifier et autoriser les applications qui utilisent EWS sur votre tenant, et gérer la liste des applications autorisées.
Si je vous parle de cette liste d'applications, c'est parce qu'elle influence l'état d'EWS sur votre tenant. Ce tableau récapitulatif vous aidera à comprendre (applicable depuis octobre 2026) :
| Valeur d’EWSEnabled | État de la liste d’autorisation (AppID) | Comportement |
|---|---|---|
| Null | Ignorée | Tout le trafic EWS est autorisé (mais Microsoft finira par passer EWSEnabled à False sur le tenant dans le cadre de son déploiement progressif). |
| True | Vide ou Null | Tout le trafic EWS est bloqué. |
| True | Renseignée | Seules les applications listées sont autorisées. |
| False | Peu importe | Tout le trafic EWS est bloqué. |
La deuxième ligne est importante : elle montre que si EWS est à True, la liste des applications autorisées doit être remplie, sinon tout sera bloqué. C'est pourtant la seule porte de sortie pour continuer d'utiliser EWS d'ici à ce qu'il soit totalement retiré.
Je vous invite à exécuter la commande PowerShell ci-dessous, car elle correspond à une liste pré-remplie. En effet, cette commande renvoie les applications que Microsoft a détectées sur votre tenant au cours des 60 derniers jours et placées dans la liste d’autorisation. Autrement dit, Microsoft vous mâche le travail.
Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Fl EwsAllowedAppIDsPour approfondir vos recherches, vous pouvez également consulter le rapport d'utilisation EWS. Dans le centre d’administration Microsoft 365 : Rapports > Utilisation > Exchange, puis l’onglet EWS usage. Regardez la colonne ID d'application, elle contient l'information qui vous intéresse.
Si vous souhaitez ensuite ajouter une nouvelle application à la liste de celles autorisées, deux options :
- Via le paramètre Bloquer l'accès à Services web Exchange du Mode de sécurité de base, qui contient un lien pour gérer cette liste.
- Via PowerShell, avec le module Exchange Online.
Pour la méthode PowerShell, le paramètre EwsAllowedAppIDs attend une chaîne unique, avec les ID séparés par des virgules. Voici l’exemple de la documentation Microsoft :
Set-OrganizationConfig -EwsEnabled $true -EwsAllowedAppIDs "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee,11111111-2222-3333-4444-555555555555"Remarque : vous devez donc reprendre la liste actuelle et ajouter le nouvel ID, sinon vous écrasez les valeurs déjà en place. Autre point important : un changement dans cette liste peut mettre jusqu’à 24 heures à s’appliquer, selon le message MC1447678.
Un sursis jusqu'en avril 2027, pas une solution
"La réactivation d'EWS cessera de fonctionner en avril 2027", prévient Microsoft. La firme de Redmond précise que nous sommes dans la première étape de la désactivation, celle où le client garde encore la main. Ensuite, plus aucun retour en arrière ne sera possible.
La seule solution durable consiste à mettre à jour les applications vers des versions qui n'utilisent plus EWS. Autrement dit, il faut basculer vers Microsoft Graph.
Ajouter IT-Connect à mes
sources préférées
Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.