Una pagina per l’amministratore a cui viene chiesto di approvare SendTask. Dice esattamente che cosa l’applicazione richiede, che cosa può e non può farci, e l’unica cosa da verificare prima di dire sì.
SendTask è un’applicazione desktop per Windows. Un project manager apre il file di un piano e SendTask invia a ogni risorsa le sue assegnazioni, con allegato un timesheet. Si installa per singolo utente, non richiede diritti di amministratore e non scrive nulla fuori dal computer di chi la usa.
Microsoft ha ritirato l’autenticazione di base su SMTP (535 5.7.139). Dove questo è avvenuto, l’unico modo supportato perché un’applicazione spedisca da una casella Microsoft 365 è far accedere l’utente e chiamare Microsoft Graph. È quello che SendTask fa, ed è ciò per cui serve la vostra approvazione.
Che cosa viene richiesto
- ID applicazione (client)
a886ce79-1df6-4535-964c-d6d4a3b477a0- Editore
- PMSolutions di Rizzo Rosario — editore verificato (badge blu)
- Autorizzazione
Mail.Send— delegata- Autorizzazione
User.Read— delegata- Autorizzazioni applicazione
- nessuna
- Accesso
- Interattivo, nel browser dell’utente. MFA e accesso condizionale si applicano senza modifiche.
Solo delegate. SendTask agisce come l’utente che ha effettuato l’accesso e non può fare nulla che quell’utente non possa già fare. Non raggiunge altre caselle, non funziona senza un utente collegato, e non contiene alcun segreto client né certificato.
Mail.Send invia come l’utente collegato, e il messaggio resta nella sua Posta inviata. SendTask non legge la posta: Mail.Read non viene richiesta.
Una nota sulla schermata di consenso
In italiano Microsoft rende User.Read con la formula «Accedi e leggi il profilo di un altro utente», che sembra dire che l’applicazione possa leggere i profili altrui. Non è così: quello sarebbe User.Read.All, che non viene richiesta. User.Read restituisce il profilo dell’utente collegato e basta, e SendTask la usa per un solo scopo: mostrare quale indirizzo risulta connesso. La dicitura inglese, Sign in and read user profile, è quella corretta.
Prima di approvare: verificate lo SPF
È la causa più frequente di un’installazione che sembra a posto e poi non funziona.
Quando SendTask spedisce attraverso Graph, la posta esce da Exchange Online. Se la vostra organizzazione usa Microsoft 365 per la posta, spf.protection.outlook.com è già nel vostro record SPF e non c’è nulla da fare.
Se invece le caselle sono su Microsoft 365 ma la posta del dominio esce da un altro fornitore — Google Workspace, un hosting, un servizio di invio — il vostro SPF potrebbe non autorizzare Microsoft. I destinatari rifiutano allora i messaggi con:
550 5.7.23 … SPF check failed
L’applicazione non c’entra: Graph accetta il messaggio ed Exchange Online lo spedisce, e il rifiuto arriva dal lato che riceve. La correzione è nel DNS, e spetta a chi gestisce il record SPF del dominio.
Attenzione: lo SPF ammette al massimo 10 lookup DNS. Aggiungere un meccanismo a un record già affollato può mandarlo in permerror e rompere anche la posta degli altri mittenti. Contate prima di modificare.
I tenant nuovi o di prova possono incontrare anche 550 5.7.708, cioè il traffico in uscita limitato da Microsoft. Quello non ha rimedio lato tenant e non si presenta sui tenant consolidati.
Come approvare
Se il vostro tenant permette agli utenti di dare il consenso da soli, non serve nulla: l’utente accede e SendTask funziona.
Se non lo permette — l’impostazione aziendale più comune — l’accesso dell’utente si interrompe e SendTask mostra un collegamento. Apritelo mentre siete collegati come amministratore globale o amministratore ruolo con privilegi:
https://login.microsoftonline.com/organizations/adminconsent?client_id=a886ce79-1df6-4535-964c-d6d4a3b477a0
Vedrete il nome dell’editore accanto a un badge blu di verifica e le due autorizzazioni sopra elencate. L’approvazione le concede una volta per tutta l’organizzazione: non va ripetuta utente per utente.
Due cose da mettere in conto
Il browser mostrerà un errore, ed è normale. Dopo l’approvazione finisce su http://localhost e segnala un errore di connessione. La concessione viene registrata prima di quel reindirizzamento. Verificatela in Entra ID → Applicazioni aziendali → SendTask.
Il pulsante «Richiedi approvazione» di Microsoft non vi invia nulla, a meno che le richieste di consenso amministratore non siano abilitate nel vostro tenant: per impostazione predefinita non lo sono. Il collegamento qui sopra è la strada affidabile.
Per revocare in seguito: Entra ID → Applicazioni aziendali → SendTask → Autorizzazioni → Rivedi autorizzazioni, oppure eliminate l’applicazione. Gli accessi già memorizzati sui computer smettono di funzionare al successivo rinnovo del token.
Che cosa resta memorizzato sul computer dell’utente
SendTaskProfiles.xml- I profili. In modalità account Microsoft non contiene password: solo l’ultimo indirizzo con cui si è acceduto, come promemoria.
msal-<utente>.cache- La cache dei token MSAL, cifrata con DPAPI sotto l’utente Windows corrente. Non è portabile su un altro utente o un altro computer.
Logger*.txt- Il registro diagnostico: giornata corrente più i tre giorni precedenti, poi cancellato da solo. Nessun token, nessuna password.
Tutti e tre stanno in C:\SendTask. Cancellare il file di cache — o premere Disconnetti in SendTask — toglie l’accesso da quel computer. Non revoca la concessione a livello di tenant.
Rete e componenti
- HTTPS in uscita (443) verso
login.microsoftonline.comegraph.microsoft.com. Nient’altro. - L’accesso si apre nel browser predefinito dell’utente, quindi ogni criterio di accesso condizionale, metodo MFA o regola di conformità del dispositivo che applicate resta valido senza modifiche.
- L’autenticazione usa la Microsoft Authentication Library per .NET (MSAL.NET), impiegata senza modifiche. L’avviso completo sulle componenti di terze parti è incluso nel prodotto.
- Gli allegati passano da Graph con un limite di circa 3 MB per messaggio. Un timesheet è molto al di sotto.
Restano dei dubbi?
Scrivete a info@rinorizzo.com e chiedete. Meglio rispondere a una domanda adesso che farvi approvare qualcosa su cui non siete tranquilli.