Impostazioni di base della modalità di sicurezza

Gli amministratori di Microsoft 365 possono usare le impostazioni di base della modalità di sicurezza per proteggere l'ambiente aziendale dalle minacce esterne.

La modalità di sicurezza di base consente di:

  • Proteggere i dati aziendali.
  • Evitare interruzioni dell'attività.
  • Blocca le pratiche non sicure per gli utenti finali.
  • Proteggere gli account interni.
  • Garantire una collaborazione sicura.

La modalità di sicurezza di base copre i servizi Microsoft 365 principali, tra cui:

  • Microsoft 365 Apps.
  • SharePoint e OneDrive.
  • Microsoft Teams.
  • Exchange Online.
  • Piattaforma di identità Microsoft Entra.

Usando la modalità di sicurezza di base nell'interfaccia di amministrazione di Microsoft 365, è possibile configurare alcune impostazioni di sicurezza che in precedenza erano disponibili solo in PowerShell.

Ora che queste impostazioni sono disponibili nell'interfaccia di amministrazione, l'organizzazione può valutare attentamente ognuna delle impostazioni della modalità di sicurezza di base prima della distribuzione.

Questo articolo fornisce informazioni sulle impostazioni della modalità di sicurezza di base che è possibile attivare. Contiene anche collegamenti a contenuti che consentono di comprendere il funzionamento di ogni impostazione e il motivo per cui è consigliabile attivarla.

Prima di iniziare

Gli amministratori specifici del carico di lavoro possono gestire solo le proprie impostazioni. Per gestire le impostazioni da configurare, assicurarsi di accedere con un account dotato del ruolo appropriato. Ad esempio, per gestire le impostazioni relative a Microsoft Entra ID, accedere con un account che disponga del ruolo di amministratore della sicurezza.

Le impostazioni della modalità di sicurezza di base supportano il controllo di accesso in base ai ruoli, quindi anche i ruoli seguenti possono visualizzare queste impostazioni:

Per altre informazioni, vedere Ruoli predefiniti di Microsoft Entra.

Importante

È possibile configurare le impostazioni di base della modalità di sicurezza in tutti gli abbonamenti e i piani di Microsoft 365.

Raccomandazione sulle impostazioni della modalità di sicurezza di base

Le impostazioni della modalità di sicurezza di base offrono flessibilità e controllo, in modo da poter gestire ogni impostazione in modo indipendente. Puoi anche sperimentare disabilitando un'impostazione per un periodo definito (ad esempio alcuni giorni) per valutare le dipendenze.

Eseguire le impostazioni della modalità di sicurezza di base nel modo seguente:

  • Eseguire report sull'impatto per ognuna delle impostazioni della modalità di sicurezza di base.
  • Se l'impostazione visualizza zero impatti, attivarla.
  • Se esistono dipendenze critiche, non attivare l'impostazione. Pianificare di risolvere queste dipendenze prima di rendere permanenti le modifiche. Questo approccio intuitivo e graduale garantisce una transizione graduale alle configurazioni sicure per impostazione predefinita.

Come accedere alle impostazioni della modalità di sicurezza di base

Per accedere alle impostazioni della modalità di sicurezza di base , attenersi alla seguente procedura:

  1. Accedere all'interfaccia di amministrazione di Microsoft 365.

  2. Dalla barra di spostamento a sinistra, seleziona ... Mostra tutto e quindi seleziona Impostazioni per espanderlo.

  3. In Impostazioni, selezionare Impostazioni organizzazione.

  4. Nella pagina Impostazioni organizzazione selezionare la scheda Sicurezza e privacy .

  5. Nella scheda Sicurezza e privacy selezionare la modalità di sicurezza di base.

Autenticazione

Questa sezione illustra le opzioni disponibili per bloccare i metodi di autenticazione non sicuri nell'interfaccia di amministrazione di Microsoft 365.

Importante

I clienti che hanno eseguito l'accesso alla modalità di sicurezza di base in Microsoft 365 tra novembre 2025 e l'inizio di febbraio 2026 potrebbero visualizzare due bozze di criteri di accesso condizionale di Microsoft Entra ID creati nel tenant in uno stato disabilitato. Questi criteri sono associati alla modalità di sicurezza di base e potrebbero essere visualizzati come creati dall'amministratore che ha eseguito l'accesso alla pagina della modalità di sicurezza di base di Microsoft.

Questo comportamento non rappresenta un incidente di sicurezza e non ha alcun effetto sulla sicurezza del tenant. I criteri sono in uno stato bozza disabilitato. È in corso una correzione per garantire che i criteri vengano creati solo tramite un'azione esplicita dell'amministratore. Microsoft rimuove eventuali bozze di criteri create involontariamente e avvisa i clienti in anticipo.

Impostazione Ulteriori informazioni
Proteggi l'accesso degli amministratori ai portali di amministrazione Microsoft con l'autenticazione resistente al phishing Gli account a cui vengono assegnati ruoli amministrativi privilegiati specifici sono spesso bersaglio degli utenti malintenzionati. Richiedere l'autenticazione a più fattori (MFA) resistente al phishing per tali account è un modo semplice per ridurre il rischio che tali account vengano compromessi.

Per altre informazioni, vedere Richiedere l'autenticazione a più fattori resistente al phishing per gli amministratori

Per eseguire questa attività, è necessario essere un membro del ruolo Amministratore di sicurezza o Amministratore di accesso condizionale .
Blocca i flussi di autenticazione legacy Blocca le richieste di autenticazione che usano protocolli legacy che non supportano l'autenticazione a più fattori. In base all'analisi, la maggior parte degli attacchi di credential stuffing utilizza l'autenticazione legacy e la maggior parte degli attacchi password spray utilizza protocolli di autenticazione legacy. È possibile arrestare questi attacchi disabilitando o bloccando l'autenticazione di base.

Per altre informazioni, vedere Bloccare l'autenticazione legacy con l'accesso condizionale

Per eseguire questa attività, è necessario essere un membro del ruolo Amministratore di sicurezza o Amministratore di accesso condizionale .
Blocca l'aggiunta di nuove credenziali password alle app Per aumentare la sicurezza, blocca l'aggiunta di credenziali password nelle applicazioni. Le password sono uno dei metodi più deboli di autenticazione del servizio e sono vulnerabili alla compromissione da parte di utenti malintenzionati. Il passaggio a un metodo più sicuro migliora la sicurezza e riduce il sovraccarico di gestione.

Per altre informazioni, vedere Limitare l'utilizzo delle password nelle app Microsoft Entra.

Per eseguire questa attività, è necessario essere un membro dei ruoli di amministratore della sicurezza, amministratore dell'applicazione o amministratore dell'applicazione cloud .
Limitare il consenso dell'utente finale alle app certificate Microsoft 365 e a tenant singolo con autorizzazioni a basso rischio Aggiornare le impostazioni di consenso utente di Microsoft Entra per limitare gli utenti a concedere l'accesso alle applicazioni create nel tenant o dall'elenco certificato Microsoft 365. Microsoft collabora con i partner sviluppatori di Microsoft 365 per fornire queste informazioni in modo che le organizzazioni possano accelerare e prendere decisioni informate sulle app e sui componenti aggiuntivi che gli utenti possono usare.

Per altre informazioni, vedere Configurare la modalità di consenso degli utenti alle applicazioni

Per eseguire questa attività, è necessario essere un membro del ruolo di amministratore della sicurezza o del ruolo privilegiato .
Blocca l'autenticazione di base L'autenticazione di base è un metodo obsoleto e non sicuro che trasmette le credenziali utente in un modo che può essere facilmente intercettato e rubato. Quando blocchi le richieste di autenticazione di base, questa impostazione consente di proteggere gli utenti dal furto di credenziali, in particolare durante attacchi di phishing o quando si accede ai servizi tramite reti non sicure. Quando si abilita questa impostazione, gli utenti non visualizzano più le richieste di autenticazione di base. Questa impostazione riduce il rischio di furto delle credenziali e applica metodi di autenticazione più sicuri.

Per altre informazioni, vedere Bloccare l'autenticazione di base nelle app di Microsoft 365.
Blocca i protocolli non sicuri per le aperture di file Quando gli utenti aprono file da posizioni che usano protocolli non sicuri come HTTP o FTP, i dati sensibili possono essere esposti perché questi protocolli trasmettono le informazioni in testo normale. Il blocco di questi protocolli consente di impedire agli utenti malintenzionati di intercettare le credenziali o altri dati riservati durante l'accesso ai file. Quando si abilita questa impostazione, agli utenti non viene consentito aprire file da percorsi che utilizzano HTTP o FTP. Questa impostazione consente di applicare procedure di trasmissione dei dati sicure e riduce l'esposizione ad attacchi man-in-the-middle.

Per altre informazioni, vedere Bloccare i protocolli non sicuri per le aperture dei file.
Blocca il protocollo FPRPC (Remote Procedure Call) di FrontPage per le aperture di file FPRPC (Remote Procedure Call) di FrontPage è un protocollo obsoleto usato per la creazione remota di pagine Web. Sebbene non sia più ampiamente utilizzato, gli aggressori possono ancora sfruttare FPRPC per eseguire comandi arbitrari o compromettere un sistema tramite file appositamente predisposti o traffico di rete. Le app Microsoft 365 ora bloccano FPRPC per impostazione predefinita a favore di HTTPS. L'abilitazione di questa impostazione garantisce che gli utenti del tuo ambiente non possano sostituire la configurazione predefinita.

Per altre informazioni, vedere Bloccare le estensioni del server di FrontPage Chiamata di procedura remota (FPRPC) per l'apertura di file in Microsoft 365.
Blocca le connessioni di autenticazione del browser legacy a SharePoint e OneDrive con il protocollo RPS (Relying Party Suite) legacy I protocolli legacy sono più suscettibili agli attacchi di forza bruta e phishing. Microsoft segnala che le organizzazioni che disabilitano l'autenticazione legacy subiscono meno compromissioni degli account. L'applicazione di questa impostazione impedisce alle applicazioni, incluse le applicazioni non Microsoft, di usare protocolli di autenticazione legacy per accedere alle risorse di SharePoint e OneDrive in un browser.

I report su questa impostazione mostrano quali utenti accedono a SharePoint o OneDrive con l'autenticazione RPS. Il report indica anche la data e l'ora e il sito di SharePoint o il file o la cartella di OneDrive a cui ha eseguito l'accesso.

Nota: la modifica non è immediata. L'applicazione potrebbe richiedere fino a 24 ore. Per poter configurare questa impostazione, è necessario essere un membro del ruolo di amministratore di SharePoint .

Per ulteriori informazioni, vedere Set-SPOTenant -LegacyBrowserAuthProtocolsEnabled.

Nota: l'autenticazione del browser legacy è stata deprecata per i tenant aziendali a partire da ottobre 2025. Questa impostazione non è più disponibile per il valore true. Il protocollo RPS non funziona più.
Blocca le connessioni di autenticazione client legacy a SharePoint e OneDrive con il protocollo IDCRL (Identity Client Runtime Library) legacy I protocolli legacy sono più suscettibili agli attacchi di forza bruta e phishing. Microsoft segnala che le organizzazioni che disabilitano l'autenticazione legacy subiscono meno compromissioni degli account. L'applicazione di questa impostazione impedisce ai client di usare protocolli di autenticazione legacy di accedere alle risorse di SharePoint e OneDrive.

La creazione di report su questa impostazione mostra quali utenti accedono a SharePoint con l'autenticazione IDCRL. I report indicano anche la data e l'ora e a quale sito di SharePoint o file o cartella di OneDrive hanno eseguito l'accesso.

Nota: la modifica non è immediata. L'applicazione potrebbe richiedere fino a 24 ore. Per poter configurare questa impostazione, è necessario essere un membro del ruolo di amministratore di SharePoint .

Per ulteriori informazioni, vedere Set-SPOTenant -LegacyAuthProtocolsEnabled.
Non consentire nuovi script personalizzati nei siti di SharePoint Gli script personalizzati vengono usati per modificare il comportamento del sito di SharePoint. Se si consente agli utenti di eseguire script personalizzati, non è più possibile applicare la governance, limitare le funzionalità del codice inserito, bloccare parti specifiche del codice o bloccare tutto il codice personalizzato distribuito. Questa impostazione rimuove definitivamente la possibilità di aggiungere nuovi script personalizzati nei siti di OneDrive e SharePoint. Invece di consentire script personalizzati, usare SharePoint Framework. Per poter configurare questa impostazione, è necessario essere un membro del ruolo di amministratore di SharePoint .

Per altre informazioni, vedere Consentire o impedire script personalizzati.
Disabilitare l'accesso a Microsoft Store per SharePoint Gli utenti possono installare determinate applicazioni dal Microsoft Store. A volte, questa funzionalità può andare contro i criteri dell'organizzazione e può aumentare i costi di governance. Questa impostazione non consente agli utenti finali di installare le applicazioni direttamente dal Microsoft Store. Per poter configurare questa impostazione, è necessario essere un membro del ruolo di amministratore di SharePoint .

Per altre informazioni, vedere Configurare le impostazioni per SharePoint Store
Disabilitare l'accesso a livello di organizzazione a Servizi Web Exchange (EWS) Servizi Web Exchange (EWS) fornisce accesso tramite API multipiattaforma ai dati sensibili di Exchange Online, come messaggi di posta elettronica, riunioni e contatti. Se compromessi, gli aggressori possono accedere a dati riservati, inviare e-mail di phishing, falsificare identità e potenzialmente ottenere il controllo del sistema. Quando disabiliti l'accesso a EWS, riduci anche l'utilizzo delle app legacy e riduci al minimo il numero di endpoint che gli utenti malintenzionati possono prendere di mira. EWS viene utilizzato anche in alcune funzionalità proprietarie sia in Outlook che nella piattaforma di componenti aggiuntivi Web. I componenti aggiuntivi Web per Word, Excel, PowerPoint e Outlook non funzionano in alcune build.

Per altre informazioni, vedi Controllare l'accesso a EWS.

Requisiti dei servizi Web Exchange

Prima di disabilitare EWS, assicurarsi di avere la build necessaria per evitare interruzioni dei componenti aggiuntivi per Office. La build di agosto 2026 16.0.20430.20092 è la prima build con la funzionalità di baseline della modalità di sicurezza.

Ecco quando la build raggiunge i vari canali di aggiornamento:

  • Canale corrente (CC): attualmente disponibile.
  • Canale Enterprise mensile (MEC): attualmente disponibile.
  • Semi-Annual Enterprise Channel (SAC): luglio 2026.
  • Pannelli di Teams: per evitare interruzioni, aggiornare i dispositivi nella versione 1449/1.0.97.2025120101, rilasciata a settembre 2025.

Nota

Queste istruzioni e requisiti di compilazione sono solo per la build Win32 Microsoft 365 Apps (Office).

Impatto delle impostazioni della modalità di sicurezza di base sull'autenticazione

Attualmente, la funzionalità seguente non funziona quando si abilitano le impostazioni della modalità di sicurezza di base:

  • Autenticazione basata su certificato per Exchange ActiveSync (flusso Exchange legacy, non flusso CBA Microsoft Entra).

Impatto delle impostazioni della modalità di sicurezza di base sul connettore di Exchange tra gli host supportati da Power Query

Attualmente, le funzionalità seguenti non funzionano quando si abilitano le impostazioni della modalità di sicurezza di base:

  • Excel per Windows.
  • Excel per il web.
  • Power BI e Microsoft Fabric - Power BI Desktop, flussi di dati (Gen1 e Gen2), modellazione Web Power BI, Server di report di Power BI.
  • Microsoft Power Platform - Flussi di dati Power Platform (Standard e Analytical), Dynamics 365 Customer Insights.

Impatto delle impostazioni della modalità di sicurezza di base sulle funzionalità tra tenant

Attualmente, le funzionalità seguenti non funzionano quando si abilitano le impostazioni della modalità di sicurezza di base:

  • Condivisione di Calendar e Disponibilità (tra tenant/cloud).
  • Suggerimenti messaggio (tra tenant/cloud).

Impatto della modalità di sicurezza di base sulle distribuzioni ibride

  • Disattivare l'accesso EWS solo dopo che la configurazione ibrida di Microsoft Exchange ha supportato le API REST. Questa modifica consente di ridurre l'utilizzo delle app legacy e il rischio di esposizione dei dati.

  • La sincronizzazione lato server tra Dynamics locale ed Exchange Online non funziona con questa impostazione. Per continuare a usare le funzionalità di sincronizzazione, connettere Exchange Online a Dynamics 365 for Customer Engagement (locale).

File

Questa sezione illustra le opzioni disponibili all'interno di OneDrive e SharePoint per disattivare le impostazioni di base della modalità di sicurezza nell'interfaccia di amministrazione di Microsoft 365.

Per eseguire queste attività, è necessario essere un membro del ruolo di amministratore di SharePoint .

Impostazione Ulteriori informazioni
Aprire formati legacy antichi in Visualizzazione protetta e impedire la modifica I formati di file legacy obsoleti nelle app di Microsoft 365 (in precedenza Office) sono vulnerabili al danneggiamento della memoria. Quando gli utenti aprono questi formati obsoleti in Visualizzazione protetta con la modifica disabilitata, si evitano potenziali exploit pur consentendo agli utenti di visualizzare il contenuto senza rischi.

Per altre informazioni, vedere Aprire formati legacy antichi in Visualizzazione protetta e non consentire la modifica.
Aprire i vecchi formati legacy in Visualizzazione protetta e consentire la modifica Molti formati di file legacy nelle app Microsoft 365, ad esempio i file di Word, Excel e PowerPoint precedenti, sono soggetti a vulnerabilità di danneggiamento della memoria. L'apertura di formati legacy in Visualizzazione protetta consente di ridurre al minimo il rischio di esecuzione di codice dannoso, consentendo comunque agli utenti di modificare il contenuto in modo sicuro.

Per altre informazioni, vedere Aprire formati legacy precedenti in Visualizzazione protetta e consentire la modifica.
Blocca controlli ActiveX I controlli ActiveX sono piccoli programmi usati per aggiungere funzionalità interattive ai documenti e alle pagine Web di Microsoft 365. Sono altamente vulnerabili allo sfruttamento. Gli autori di minacce spesso utilizzano ActiveX per eseguire codice dannoso, installare malware o assumere il controllo di un sistema, soprattutto quando gli utenti aprono file compromessi o visitano siti Web non sicuri. A causa della loro storia di problemi di sicurezza e di calo dell'utilizzo, le app di Microsoft 365 bloccano ActiveX per impostazione predefinita. L'applicazione di questa impostazione garantisce che gli utenti nel tuo ambiente non possano sostituire la configurazione predefinita.

Per altre informazioni, vedere Bloccare i controlli ActiveX nei documenti delle app di Microsoft 365.
Oggetti OLE graph e OrgChart a blocchi Oggetti OLE Graph e OrgChart a blocchi. Quando si attiva questa impostazione, le app Microsoft 365 bloccano il caricamento degli oggetti OLE Graph e OrgChart per proteggere gli utenti da tecniche di exploit note.

Per altre informazioni, vedere Oggetti OLE Graph e OrgChart a blocchi.
Gli avvii del server DDE (Dynamic Data Exchange) sono bloccati in Excel Windows Dynamic Data Exchange (DDE) consente a Excel di estrarre dati da origini esterne in tempo reale. Tuttavia, se l'origine è dannosa, può inviare codice dannoso a Excel e potenzialmente compromettere il sistema senza richiedere macro o altro contenuto attivo. Gli utenti malintenzionati usano questa tecnica negli attacchi di phishing mirati per eseguire comandi arbitrari. Il blocco dell'avvio del server DDE riduce questo rischio. Quando si abilita questa impostazione, Excel blocca gli avvii del server DDE, impedendo a origini esterne dannose di inserire codice dannoso nei fogli di calcolo.

Per ulteriori informazioni, vedere Bloccare gli avvii del server DDE (Dynamic Data Exchange) in Excel.
Blocca Microsoft Publisher Publisher ha un'ampia superficie di attacco e non sarà incluso in Microsoft 365 a partire da ottobre 2026. Il blocco di Publisher ora riduce i rischi per la sicurezza ed è in linea con la strategia di supporto di Microsoft. Quando si abilita questa impostazione, Microsoft Publisher non si avvia.

Per altre informazioni, vedere Bloccare Microsoft Publisher.

Dispositivi per sala riunioni

Questa sezione illustra le opzioni disponibili in Teams per disattivare le impostazioni di base della modalità di sicurezza nell'interfaccia di amministrazione di Microsoft 365.

Per eseguire queste attività, è necessario essere un membro del ruolo di amministratore di Teams .

Impostazione Ulteriori informazioni
Non consentire agli account delle risorse nei dispositivi Teams Rooms di accedere ai file di Microsoft 365 Per aumentare la sicurezza, rimuovere l'accesso agli account delle risorse usato da Teams Rooms e ai dispositivi per accedere alle risorse di Microsoft 365 per le riunioni e la collaborazione.

Per ulteriori informazioni, vedere Set-SPOTenant e il parametro di accesso all'account di risorsa limitato.
Consenti l'accesso solo ai dispositivi conformi gestiti dall'endpoint Per migliorare la sicurezza, solo i dispositivi Teams Rooms conformi e gestiti dall'organizzazione possono accedere alle applicazioni di Microsoft 365 e gli account delle risorse non possono essere usati in modo improprio per l'autenticazione da dispositivi non gestiti.

Per altre informazioni, vedere Bloccare l'accesso dell'account di risorsa di Teams ai client Microsoft 365.
Bloccare i dispositivi non gestiti e gli accessi degli account di risorsa alle app di Microsoft 365 Per migliorare la sicurezza, bloccare gli account di risorsa usati per i dispositivi Teams dall'accesso ai client Microsoft 365.

Per altre informazioni, vedere Bloccare l'accesso dell'account di risorsa di Teams ai client Microsoft 365.

Bloccare i dispositivi non gestiti e gli accessi degli account di risorsa alle app di Microsoft 365

Impostazione Ulteriori informazioni
Non consentire agli account delle risorse nei dispositivi Teams Rooms di accedere ai file di Microsoft 365 Per aumentare la sicurezza, rimuovere l'accesso agli account delle risorse usato da Teams Rooms e ai dispositivi per accedere alle risorse di Microsoft 365 per le riunioni e la collaborazione.

Per altre informazioni, vedere Set-SPOTenant.

Non consentire agli account delle risorse nei dispositivi Teams Rooms di accedere ai file di Microsoft 365

Impostazione Ulteriori informazioni
Non consentire agli account delle risorse nei dispositivi Teams Rooms di accedere ai file di Microsoft 365 Per migliorare la sicurezza, bloccare gli account di risorsa usati per i dispositivi Teams dall'accesso ai client Microsoft 365.

Per altre informazioni, vedere Bloccare l'accesso dell'account di risorsa di Teams ai client Microsoft 365.

Contenuto correlato

  • Ultimo aggiornamento: