Chiunque condivida oggi file o cartelle con utenti esterni tramite SharePoint Online o OneDrive dovrà rivedere il proprio modello di accesso esterno entro agosto 2026.
Non si tratta di una configurazione opzionale: Microsoft ha deciso di ritirare le One-Time Passcode di SharePoint e di rendere obbligatorio l'uso di identità guest Entra B2B per tutti i tenant Microsoft 365.
Questa evoluzione segna un passaggio chiave: la collaborazione esterna in Microsoft 365 diventa definitivamente basata sull’identità, fondata su Microsoft Entra B2B.
Microsoft ha comunicato, tramite il Microsoft 365 Message Center, che il modello OTP di SharePoint Online (SPO OTP) verrà ritirato e sostituito dal framework di collaborazione basato su identità guest Entra B2B.
L’annuncio definisce con precisione cosa succederà:
A supporto della portata del cambiamento, Microsoft ha anche chiarito due aspetti fondamentali:
Le date da segnare in agenda
Questa roadmap indica chiaramente che la migrazione non è solo consigliata: è imminente e obbligatoria.
Le SPO OTP nascono come meccanismo ereditato dalle prime versioni di SharePoint, pensato per funzionare anche in assenza di un Identity Provider esterno.
Oggi, però, non sono più coerenti con i principi di sicurezza consigliati nell’adozione del modello Zero Trust in Microsoft 365, che presuppone identità verificabili, policy centralizzate e controlli contestuali.
Nel modello SPO OTP l’accesso è legato a un’identità persistente solo all’interno di SharePoint, ma non rappresentata nella directory Entra ID, rendendo di fatto invisibile l’utente ai meccanismi centrali di governance. Dal punto di vista di Entra ID e dei suoi processi, quella è una “identità fantasma”.
Sebbene gli accessi a SharePoint siano tracciabili anche con SPO OTP, manca una gestione strutturata dell’identità: nessuna interfaccia di lifecycle management, nessuna policy automatica, nessuna visibilità centralizzata sull’utente esterno.
L’integrazione con Conditional Access è assente, perché il processo di autenticazione non passa da Entra ID.
Infine, la visibilità su audit e accessi è ridotta e spesso insufficiente per contesti dove è richiesta compliance.
Nel proprio annuncio Microsoft dichiara esplicitamente che il passaggio a Entra B2B migliora sicurezza, governance e copertura delle policy di accesso condizionale.
La collaborazione basata su Entra ID B2B non è una novità assoluta: da anni rappresenta il modello di riferimento per la gestione degli utenti esterni in Microsoft 365. La dismissione delle SPO OTP consolida questo approccio, portando anche le architetture più datate verso un modello più moderno, coerente e sicuro.
Come già detto, con le SPO OTP, l'accesso esterno era legato a identità invisibili ad Entra ID: ogni sessione era indipendente, non tracciabile in modo strutturato e impossibile da governare con le policy moderne. Un accesso rapido, ma cieco.
Microsoft Entra B2B ribalta questo modello. L'utente esterno diventa un guest a tutti gli effetti nella directory del tenant: ha un'identità persistente, è soggetto alle stesse policy di Conditional Access e MFA degli utenti interni, lascia un audit trail completo e può essere gestito nel suo intero ciclo di vita, dalla creazione alla revoca.
Per le organizzazioni questo si traduce in tre vantaggi concreti:
Uno degli aspetti più delicati è la percezione del cambiamento da parte degli utenti finali e dei clienti che accedono ai contenuti condivisi. Il cambiamento non è solo tecnico: richiede un aggiornamento delle abitudini, dei flussi e delle aspettative.
Prima: SPO One‑Time Passcode
Nel modello precedente, l’accesso esterno era estremamente rapido e poco strutturato. Il processo si basava su un flusso “usa e getta”, pensato più per minimizzare l’attrito che per garantire sicurezza e tracciabilità.
Questa modalità offriva velocità, ma introduceva limiti importanti: nessuna identità persistente, nessuna continuità tra sessioni, impossibilità di applicare controlli moderni e poca visibilità su chi accedeva realmente.
Dopo: Entra B2B
Il nuovo modello introduce un flusso più strutturato nella fase iniziale, ma che garantisce un’esperienza più coerente e riutilizzabile nel tempo.
Vale la pena chiarire un possibile punto di confusione: quello che viene ritirato è la SPO OTP, ovvero il meccanismo proprietario di SharePoint che permetteva l'accesso esterno senza nessuna identità.
Non scompare invece l'email OTP come metodo di autenticazione Entra, che può restare attivo per i guest che non dispongono di un account Microsoft o aziendale.
La differenza sostanziale è che in ogni caso sarà richiesta la creazione di un'identità guest B2B: il codice via email diventa un modo per autenticarsi, non un modo per aggirare l'identità.
In parole povere: niente più identità fantasma basate solo su di una mail, è necessaria una prima registrazione come guest B2B.
Il problema non è la migrazione in sé, è rimandare senza un piano.
Dopo il retirement di agosto 2026, l’accesso richiederà comunque la presenza (esplicita o automatica) di un guest Entra B2B. Senza una preparazione adeguata, questo può tradursi in accessi negati o comportamenti non prevedibili.
Non ci sarà nessun messaggio di errore esplicativo o una guida automatica alla risoluzione: l’utente visualizzerà semplicemente un accesso negato.
Per un'organizzazione con centinaia di link condivisi o decine di partner attivi, l'impatto può essere immediato: partner bloccati, clienti che non riescono ad aprire documenti, IT sommerso di ticket urgenti. Il tutto in modo imprevedibile, perché senza un'analisi preventiva è difficile sapere quanti accessi dipendono ancora dalle SPO OTP.
Microsoft è esplicita su questo: non ci sono eccezioni dopo il retirement.
Il ritiro delle SPO One‑Time Passcode non è una scelta configurabile, ma una decisione di piattaforma.
Per le organizzazioni che collaborano con l’esterno, la domanda non è se adottare gli utenti guest Entra B2B per la collaborazione esterna, ma: quando farlo in modo governato, comunicato e allineato alla propria strategia di sicurezza.
Anticipare la transizione significa:
Il punto di partenza è un assessment delle condivisioni attive, un’attività che consente di mappare la situazione attuale, identificare i potenziali punti critici e definire un piano di transizione che consideri sia gli aspetti tecnici sia quelli comunicativi.
Prepararsi oggi permette di arrivare al retirement con un modello già solido, allineato alle best practice e capace di garantire continuità operativa e una collaborazione esterna più sicura e moderna.
Vuoi capire se il tuo tenant è pronto al retirement delle OTP?
Come Impresoft 4ward, possiamo supportarti con un assessment delle condivisioni esterne e un percorso di adozione guidato di Entra B2B, progettato per evitare interruzioni e garantire un passaggio sicuro e governato.
Fonte: Microsoft 365 Message Center – “Retirement of SharePoint One‑Time Passcode (SPO OTP) and transition to Microsoft Entra B2B guest accounts”, marzo 2026.