SharePoint OTP verdwijnt: zo ga je om met Entra ID-gasten en MFA
Kort antwoord: Microsoft schaft SharePoint OTP (one-time passcode) af als eigen aanmeldsysteem. Externe gebruikers worden voortaan Entra ID-gastgebruikers en Entra ID regelt de uitnodiging en aanmelding. Oude links naar gebruikers die alleen in SharePoint bestaan, geven dan ‘toegang geweigerd’. Je herstelt dat met een gastaccount of door opnieuw te delen. Gevolg: ook je MFA-beleid kan nu voor externen gelden.
In het kort
- Niet SharePoint maar Entra ID B2B verzorgt voortaan de OTP-aanmelding voor externe gebruikers.
- De uitfasering startte midden oktober 2026 en loopt tot eind november 2026.
- Oude links naar externen zonder gastaccount geven toegang geweigerd.
- Herstellen: gastaccount aanmaken in Entra ID of één bestand opnieuw delen.
- Externe gasten kunnen nu onder Conditional Access en MFA vallen.
Misschien las je al de blog van mijn collega Arne over de wijzigingen in SharePoint external sharing. OTP-links (one-time passcode) ondergaan een grondige verandering.
Toen 1 oktober aanbrak, zorgde dat bij heel wat klanten voor ongerustheid. Microsoft heeft een deel van de uitrol uitgesteld, wat begrijpelijk is.
Maar nu het midden oktober is, worstelen veel klanten nog met twee vragen: (1) wat verandert er nu echt, en (2) wat moeten ze doen, met security best practices in het achterhoofd?
Snelle links 🔗:
Wat verandert er precies aan SharePoint OTP?
Niet de eenmalige code verdwijnt, wel de partij die ze aanbiedt. Tot nu toe maakte SharePoint zelf de externe gebruiker aan, verstuurde het de mails met OTP-codes en regelde het de volledige aanmelding. Voortaan neemt Entra ID die uitnodiging en authenticatie over. Externe gebruikers worden zo Entra ID-gastgebruikers die je centraal beheert.
Wie de aankondigingen snel doorbladert, denkt dat OTP gewoon met pensioen gaat en dat dit alleen slecht nieuws is. Dat klopt niet helemaal. De aanmelding kan nog steeds met een eenmalige code via e-mail verlopen, maar het onderliggende identiteitsmodel verandert.
Tot nu toe wist Entra ID niet dat dit allemaal gebeurde (ik vereenvoudig hier). In de (nabije!) toekomst zijn de uitgenodigde gebruikers echte Entra ID-gastgebruikers, en geen losse SharePoint-gebruikers meer die je vergeet.
De echte breaking change: links die gedeeld werden met gebruikers die alleen in SharePoint OTP bestaan, geven geen toegang meer, omdat Entra ID die gebruikers niet kent.
| Onderdeel | Vroeger: SharePoint OTP | Nu: Entra ID B2B |
|---|---|---|
| Wie maakt de externe gebruiker aan? | SharePoint | Entra ID (B2B-uitnodiging) |
| Wie verstuurt de eenmalige code? | SharePoint | Entra ID (e-mail-OTP) |
| Zichtbaar in Entra ID? | Nee | Ja, als gastgebruiker |
| Conditional Access en MFA | Niet van toepassing | Van toepassing, afhankelijk van je beleid |
| Beheer van externe toegang | Verspreid, gebruikers raken vergeten | Centraal in Entra ID |
Wanneer gaat de SharePoint OTP-wijziging in?
De uitfasering van SharePoint OTP is midden oktober 2026 gestart en moet eind november 2026 afgerond zijn in productie-tenants. Nieuwe externe uitnodigingen lopen al sinds mei en juni 2026 via Entra B2B. Oudere OTP-links blijven werken tot de uitfasering jouw tenant bereikt; daarna geven ze toegang geweigerd.
| Periode | Wat gebeurt er? |
|---|---|
| Mei – juni 2026 | Nieuwe externe delingen en aanmeldingen verlopen via Entra B2B (fase 1). De instelling EnableAzureADB2BIntegration stuurt extern delen niet langer. |
| 1 oktober 2026 | Microsoft verschuift de uitfasering van SharePoint OTP (fase 2) naar midden oktober. |
| Midden oktober 2026 | Start uitfasering: externen zonder gastaccount verliezen toegang via oude links. |
| Eind november 2026 | Verwachte volledige uitrol voor productie-tenants. |
Hoe herstel je de toegang voor externe gebruikers?
Maak in Entra ID gastgebruikers aan met hetzelfde e-mailadres als de externe gebruikers in SharePoint, en laat hen de uitnodiging aanvaarden. In de meeste omgevingen is de toegang dan weer hersteld. Ook één bestand, map of site opnieuw delen maakt automatisch een gastaccount aan en herstelt de toegang tot alles wat eerder gedeeld werd.
Het migratiepad is dus vrij eenvoudig. Zo pak je het stap voor stap aan:
- Breng externe samenwerkers zonder gastaccount in kaart met de rapporten voor extern delen in SharePoint.
- Controleer in Entra ID of de juiste mensen gasten mogen uitnodigen, bijvoorbeeld via de rol Guest Inviter.
- Laat e-mail-OTP ingeschakeld in de External ID-instellingen van Entra ID. Uitschakelen breekt de aanmelding.
- Maak de gastaccounts aan, of laat interne gebruikers hun bestanden opnieuw delen.
- Laat je gebruikers weten dat oude links ‘toegang geweigerd’ kunnen tonen, en hoe ze dat oplossen.
Externe gebruikers die de uitnodiging niet bevestigen, vallen af. Dat is trouwens meteen een goede opkuis van je externe toegang.
Waarom moeten externe gebruikers nu plots MFA doen?
Omdat ze nu onder Entra ID vallen. De oude OTP-links vielen buiten het beheer van Entra ID en waren daardoor per definitie vrijgesteld van verplichte MFA (multi-factor authentication). Als Entra ID-gast vallen externe gebruikers wel onder je Conditional Access-beleid. Afhankelijk van het scenario doorlopen ze dus een e-mailcode én een extra MFA-stap.
Wie security best practices volgt, zoals de tenant baselines van ConXioN, ziet de zaken snel complexer worden. Goede security betekent vandaag dat je MFA afdwingt voor álle gebruikers, niet alleen voor beheerders. Meer achtergrond vind je in onze veelgestelde vragen over MFA.
Goed nieuws voor securityliefhebbers en beheerders. Maar slecht nieuws voor de gebruikerservaring (UX). Niet dat MFA slecht is, maar er hoort een leercurve bij die niet iedereen kent of wil doorlopen, zeker in B2C. De schrijnwerker om de hoek heeft zijn MFA misschien nog niet op punt.
En toch willen klanten op een eenvoudige manier blijven delen met hun klanten en leveranciers, zonder het gedoe van verplichte MFA.
Hoe combineer je SharePoint OTP en MFA op een veilige manier?
Wij raden een van twee uitersten aan. De voorkeur: leer de externe gebruikers van je klanten werken met MFA, ook in B2C. Het alternatief, dat we afraden: stop met gastlinks en deel via anonieme links, maar dan enkel voor bewust gekozen, publieke informatie. Daartussen liggen opties zonder MFA, maar die zijn minder veilig.
| Aanpak | Security | Gebruikerservaring | Wanneer kiezen? |
|---|---|---|---|
| 1. Externe gebruikers MFA leren (voorkeur) | Hoog | Leercurve, haalbaar met een goede walkthrough | Standaard voor samenwerking met klanten en leveranciers |
| 2. Anonieme links i.p.v. gastlinks (af te raden) | Laag | Geen aanmelding nodig | Alleen voor bewust gekozen publieke info, zoals brochures en technische fiches |
| 3. Tussenoplossingen: OTP zonder MFA | Lager dan optie 1 | Eenvoudiger | Alleen na een bewuste afweging van het risico |
1. Voorkeur: leer externe gebruikers werken met MFA
Leer de externe gebruikers van je klanten werken met MFA, ook B2C-gebruikers. De flow is geen rocket science, maar een goede walkthrough doet hen én je security-inspanningen veel goed.
2. Af te raden: anonieme links in plaats van gastlinks
Ik kan niet genoeg benadrukken dat dit eigenlijk een slecht idee is. Maar als je bewust kiest welke informatie je anoniem deelt, kan het zijn wat je nodig hebt. Denk aan publieke informatie zoals brochures of technische fiches. Alleen neigen klanten dan al snel naar: ‘zet die bestanden dan gewoon op onze publieke website’.
3. Scenario’s tussen die uitersten
Er zijn ook scenario’s tussen die twee uitersten die het verkennen waard zijn. Er bestaan dus manieren om OTP nog zonder MFA te gebruiken, maar ze zijn minder veilig.
Benieuwd welke aanpak past bij jouw Microsoft 365-omgeving? Ontdek onze Modern Workplace-diensten en onze security-aanpak, of neem contact op met onze experts 🙂
Veelgestelde vragen over SharePoint OTP
Verdwijnt de eenmalige code via e-mail volledig?
Nee. Externe gebruikers kunnen nog steeds aanmelden met een eenmalige code via e-mail. Alleen verstuurt Entra ID die code nu, als onderdeel van een gastaccount, in plaats van SharePoint.
Waarom krijgt een externe gebruiker plots ‘toegang geweigerd’?
De link werd gedeeld met iemand die alleen in SharePoint OTP bestond. Na de uitfasering kent Entra ID die persoon niet. Maak een gastaccount aan met hetzelfde e-mailadres, of deel het bestand opnieuw.
Moeten externe gasten nu altijd MFA doen?
Niet altijd. Dat hangt af van je Conditional Access-beleid. Dwing je MFA af voor alle gebruikers, dan geldt dat ook voor gastgebruikers.
Kan ik de Entra B2B-integratie gewoon uitschakelen?
Nee. Microsoft verwijdert die optie. De instelling EnableAzureADB2BIntegration heeft sinds mei 2026 geen invloed meer op extern delen.
Merken bestaande B2B-gastgebruikers iets van de wijziging?
Nee. Externe gebruikers die al een Entra B2B-gastaccount hebben, behouden hun toegang zonder extra stappen.
Zijn anonieme links een goed alternatief voor SharePoint OTP?
Alleen voor bewust gekozen, publieke informatie zoals brochures of technische fiches. Voor al de rest raden we gastgebruikers met MFA aan.
Gerelateerde artikelen
Meer weten over wat ConXioN voor jouw bedrijf kan betekenen?
Onze experts staan voor je klaar om je te begeleiden en te adviseren.