Microsoft zet in oktober 2026 een oude inlogmethode voor externe gebruikers van SharePoint en OneDrive uit. Wie nu nog via een eenmalige code toegang heeft tot gedeelde bestanden, heeft daarna een Entra B2B-gastaccount nodig. Voor beheerders is dit het moment om te controleren wie extern nog afhankelijk is van de oude route.
Wat verandert er precies?
Microsoft zet de zogeheten SharePoint One-Time Passcode (SPO OTP) uit. Dat is een eigen inlogmethode van SharePoint en OneDrive waarmee externe ontvangers een bestand konden openen met een code die naar hun e-mailadres werd gestuurd, zonder dat er een account bestond. Voortaan loopt extern delen via Microsoft Entra B2B: de ontvanger krijgt een gastaccount in de tenant van de organisatie. De wijziging staat in berichtencentrummelding MC1243549, voor het eerst gepubliceerd op 4 maart 2026 en bijgewerkt op 17 juli 2026.
De tijdlijn in twee fases
De overgang verloopt gefaseerd:
- Mei-juni 2026: nieuwe uitnodigingen voor externe ontvangers maken automatisch een B2B-gastaccount aan. Wie eerder met een SPO-code is binnengekomen, houdt voorlopig toegang.
- 1 tot en met 31 oktober 2026: de SPO OTP-verificatie wordt definitief uitgeschakeld. Oude links van externe gebruikers zonder gastaccount geven dan een melding dat de toegang is geweigerd.
De omgevingen GCC, GCC High en DoD vallen voorlopig buiten deze planning.
Wie merkt hier iets van?
Gebruikers die al een B2B-gastaccount hebben, merken niets. Het gaat om externe ontvangers die een bestand of map alleen via een SPO-code hebben ontvangen en nooit als gast zijn uitgenodigd, bijvoorbeeld een klant, accountant of leverancier die jaren geleden één link kreeg. Deze mensen zien in oktober geen bestand meer, terwijl de link zelf ongewijzigd lijkt.
Wat is het verschil voor de ontvanger?
Een Entra-gast logt in met een eenmalige e-mailcode via Entra ID, en dat blijft mogelijk. Het verschil zit in de details. Er verschijnt een toestemmingsscherm en sessies duren 24 uur, terwijl de oude SPO-sessie veel langer kon doorlopen. Moet een gast volgens het beleid met MFA inloggen en heeft die geen Microsoft-account, dan moet die bij de eerste keer verificatiemethoden registreren.
Wat betekent dit voor beheerders?
Voor beheerders is de wijziging ook een winst: externe toegang wordt zichtbaar in Entra ID en valt onder Conditional Access en auditlogs, wat bij SPO OTP niet kon. Microsoft noemt de volgende stappen:
- Controleer het beleid voor extern delen en de Conditional Access-instellingen.
- Controleer of gastuitnodigingen in Entra zijn toegestaan en of e-mail one-time passcode is ingeschakeld.
- Kijk naar de domeinlijsten (toestaan en blokkeren) in zowel Entra als SharePoint.
- Zoek externe samenwerkers zonder gastaccount, bijvoorbeeld via de PowerShell-eigenschap IsEmailAuthenticationGuestUser of in de Purview-audit op de bewerking EmailAuthOTPAuthenticationSucceeded.
- Informeer gebruikers over de wijziging voor oktober.
Wat raden wij aan?
Maak vóór het einde van oktober gastaccounts aan voor externe contacten die nog actief met uw bestanden werken, of deel de betreffende bestanden opnieuw met hun e-mailadres. Dat maakt automatisch een gastaccount aan en herstelt de toegang. Ruim bij die gelegenheid ook oude gasten en ongebruikte deellinks op, zodat de lijst met externe toegang klopt.
Wat kun je hieruit meenemen?
Microsoft haalt in oktober 2026 een verborgen inlogroute voor externe SharePoint- en OneDrive-gebruikers weg. Wie extern deelt zonder gastaccount, verliest de toegang tot oude links; wie al gast is, merkt niets.
Voor organisaties komt het neer op controleren en opschonen. Wie nu inventariseert welke externe ontvangers nog afhankelijk zijn van een code, voorkomt dat klanten of leveranciers in oktober plotseling een toegangsfout zien. Het resultaat is een beter beheersbare omgeving, waarin elke externe gebruiker zichtbaar is in Entra ID.
