Outlook / Microsoft 365 (OAuth)

Integrácia s Outlookom posiela šablóny Frontmailu z vašej schránky Outlook.com, Hotmail alebo Microsoft 365 (Exchange Online) cez Microsoft Graph. Správy nájdete v priečinku Odoslaná pošta, odpovede chodia späť do vašej schránky.

Outlook / Microsoft 365 zvoľte, keď vaša firma už beží na Microsoft 365 a chcete, aby formuláre z webu a notifikácie chodili zo skutočnej firemnej schránky (kancelaria@example.sk) bez zavádzania ďalšieho poskytovateľa. Rovnako ako Gmail je určený na malé objemy – Exchange Online obmedzuje odosielanie pre každú schránku a webhooky o doručení neexistujú. Na transakčné objemy použite Mailgun, Postmark, Amazon SES alebo Resend. Pozri prehľad služieb.

SMTP AUTH vs. Microsoft Graph

Microsoft 365 ponúka aj odosielanie cez SMTP (smtp.office365.com:587) a služba SMTP vo Frontmaile na to má predvoľbu. SMTP AUTH je však v mnohých tenantoch predvolene vypnuté a Microsoft v Exchange Online ruší základnú autentifikáciu (meno + heslo) pre SMTP AUTH. Táto integrácia preto používa OAuth a Graph API sendMail – žiadne heslo, žiadna výnimka pre SMTP AUTH, a funguje aj s viacfaktorovou autentifikáciou a podmieneným prístupom.

Čo budete potrebovať

Účet Outlook.com / Hotmail alebo pracovný účet Microsoft 365 so schránkou Exchange Online (licencia, ktorá Exchange obsahuje).
Pri Microsoft 365: právo udeliť aplikácii súhlas. Mnohé organizácie používateľom dovoľujú odsúhlasiť menej riziková oprávnenia samostatne, iné vyžadujú súhlas správcu (admin consent) – pozri nižšie.
Nič ďalšie – žiadnu vlastnú registráciu aplikácie v Azure.

Pripojenie vo Frontmaile

Otvorte E-mailové služby → Pridať službu → Outlook / Microsoft 365.
Kliknite na Pripojiť Outlook / Microsoft 365 a prihláste sa schránkou, z ktorej chcete odosielať.
Prejdite si obrazovku so súhlasom (consent screen). Frontmail žiada o tieto delegované oprávnenia:
- Mail.Send – odosielanie pošty vaším menom. Nemôže čítať, presúvať ani mazať žiadne e-maily.
- offline_access – zachovanie oprávnenia, aj keď nie ste prihlásení (vďaka tomu Frontmail dostane refresh token).
- openid email – vašu adresu, ktorú ukážeme na stránke služby a použijeme ako predvolenú adresu odosielateľa.
Kliknite na Accept. Presmerujeme vás späť a služba sa uloží s pripojenou adresou.
Voliteľne upravte Max. e-mailov za sekundu (predvolene 0,5/s = 30 za minútu) a kliknite na Otestovať pripojenie, čím sa obnoví token.

Čo ukladáme: OAuth refresh token (a krátkodobý access token) zašifrovaný obálkovým šifrovaním cez AWS KMS. Access token platí približne hodinu; Microsoft pri každej obnove vydá nový refresh token a Frontmail si ho automaticky uloží.

Súhlas správcu v Microsoft 365

Ak váš tenant súhlas používateľov nepovoľuje, prihlásenie skončí hláškou „Need admin approval“ (prípadne chybou AADSTS65001 / AADSTS90094). Globálny správca (Global Administrator), Cloud Application Administrator alebo Application Administrator potom môže:

schváliť čakajúcu žiadosť v Microsoft Entra admin center → Enterprise applications → Admin consent requests, alebo
sa sám prihlásiť cez Pripojiť Outlook / Microsoft 365 a zaškrtnúť Consent on behalf of your organization.

Správca môže aplikáciu neskôr obmedziť len na vybraných používateľov v Enterprise applications → Frontmail → Properties → Assignment required.

Keď token prestane fungovať

Refresh token prestane platiť, keď:

používateľ zmení alebo resetuje heslo, prípadne správca odvolá relácie (AADSTS50173),
sa 90 dní nepoužije (AADSTS700082),
používateľ alebo správca odoberie Frontmail v My Apps / Enterprise applications,
aplikáciu začne blokovať politika podmieneného prístupu (Conditional Access) alebo je účet zakázaný.

Frontmail dostane invalid_grant a berie to ako chybu auth: služba sa označí ako unhealthy, dostanete e-mail a upozornenie v dashboarde a správy sa pozdržia (alebo odídu cez záložnú službu), kým na stránke služby nekliknete na Pripojiť znova. Pozdržané správy sa potom odošlú automaticky.

DNS: SPF, DKIM a DMARC

Adresy Outlook.com / Hotmail: nie je čo nastavovať.
Microsoft 365 na vlastnej doméne – zvyčajne sa nastavuje už pri zakladaní tenantu; skontrolujte, že existujú:

; SPF
example.sk.                      TXT    "v=spf1 include:spf.protection.outlook.com -all"

; DKIM – dva CNAME, potom zapnite podpisovanie DKIM v portáli Microsoft Defender
selector1._domainkey.example.sk. CNAME  selector1-example-sk._domainkey.contoso.onmicrosoft.com.
selector2._domainkey.example.sk. CNAME  selector2-example-sk._domainkey.contoso.onmicrosoft.com.

; DMARC
_dmarc.example.sk.               TXT    "v=DMARC1; p=none; rua=mailto:dmarc@example.sk"

Presné ciele DKIM skopírujte z Microsoft Defender → Email & collaboration → Policies → Email authentication settings → DKIM; novšie tenanty môžu ukazovať iný formát cieľa.
DMARC začnite s p=none a neskôr ho sprísnite.

Adresa odosielateľa: Graph odosiela ako prihlásená schránka. Odosielanie za zdieľanú schránku alebo iného používateľa vyžaduje práva Send As a zatiaľ nie je podporované – takéto pokusy skončia chybou ErrorSendAsDenied.

Regióny

Región sa nevyberá – Frontmail používa globálny endpoint Microsoft Graph (graph.microsoft.com) a prihlasovací endpoint common, ktorý funguje pre osobné aj pracovné účty. Národné cloudy (napr. Microsoft 365 prevádzkovaný spoločnosťou 21Vianet, US Government) podporované nie sú.

Limity odosielania

Účet	Približný limit
Microsoft 365 / Exchange Online	10 000 príjemcov denne, 30 správ za minútu, 500 príjemcov na správu
Outlook.com / Hotmail	cca 300 správ denne, 100 príjemcov na správu (pri nových účtoch menej)
Graph `sendMail` (MIME)	najviac 4 MB na správu vrátane príloh

Predvolených 0,5 správy za sekundu vo Frontmaile zodpovedá limitu 30 správ za minútu v Exchange. Pri prekročení limitov vracia Microsoft chyby throttlingu, ktoré Frontmail opakuje s rastúcou pauzou.

Sledovanie doručenia (webhooky)

Microsoft Graph pre odoslanú poštu neponúka webhooky o doručení, takže nie je čo nastavovať a stránka služby žiadnu URL webhooku nemá. Frontmail vie len to, či Graph správu prijal (sent), alebo odmietol (failed). Oznámenia o nedoručení (NDR) prídu do vašej schránky ako bežné e-maily a do zoznamu blokovaných adries Frontmailu sa nepridávajú. Otvorenia ani kliknutia sa nesledujú.

Časté chyby

auth – nefunguje služba (odvolaný alebo expirovaný token, chýbajúci súhlas, chýbajúca schránka, zamietnuté Send As, 401/403). Služba sa označí ako unhealthy, vlastník dostane e-mail a upozornenie v dashboarde. Prevezme to záložná služba šablóny; inak vrátime kredit a správa počká vo fronte pozdržaných e-mailov ako held_service_error a po opätovnom pripojení sa odošle sama (overujeme pri uložení a pri dennej kontrole stavu).
permanent – nedá sa odoslať práve táto správa (neplatní príjemcovia, príliš veľká správa, neplatná požiadavka). Záložná služba, ak je nastavená, inak failed a vrátenie kreditu.
transient – throttling, 5xx, timeouty. Opakujeme s exponenciálne rastúcou pauzou; po poslednom pokuse failed a vrátenie kreditu.

Odpoveď Microsoftu	Trieda	Čo robiť
`invalid_grant` – `AADSTS50173` / `AADSTS700082` (grant vypršal alebo bol odvolaný)	auth	Na stránke služby kliknite na Pripojiť znova.
`AADSTS65001` / „Need admin approval“	auth	Požiadajte správcu tenantu o udelenie súhlasu (pozri vyššie) a pripojte účet znova.
`401 InvalidAuthenticationToken`	auth	Zvyčajne to vyrieši automatická obnova tokenu; ak to pretrváva, pripojte účet znova.
`403 ErrorAccessDenied` / `Authorization_RequestDenied`	auth	Súhlas bol odvolaný alebo aplikáciu blokuje podmienený prístup – obráťte sa na správcu.
`MailboxNotEnabledForRESTAPI`	auth	Účet nemá schránku v Exchange Online (chýba licencia alebo je schránka on-premises).
`ErrorSendAsDenied`	auth	Ako adresu odosielateľa použite adresu pripojenej schránky.
`ErrorQuotaExceeded`	auth	Schránka je plná – uvoľnite miesto, aby sa správa mohla uložiť do Odoslanej pošty.
`400 ErrorInvalidRecipients`	permanent	Pozri neplatný príjemca.
`413` / `ErrorMessageSizeExceeded`	permanent	Udržte správu aj s prílohami pod 4 MB.
`429 ApplicationThrottled` / `ErrorExceededMessageLimit` / `MailboxConcurrency`	transient	Narazili ste na limity schránky – Frontmail spomalí; znížte objem alebo použite transakčnú službu.
`500` / `503 ServiceUnavailable`	transient	Výpadok u Microsoftu – Frontmail to zopakuje.

Kontrolný zoznam

Schránka s Exchange Online (alebo Outlook.com) pripojená cez Pripojiť Outlook / Microsoft 365
Súhlas udelený – používateľom, prípadne správcom tenantu
Microsoft 365 na vlastnej doméne: SPF include:spf.protection.outlook.com, zapnutý DKIM selector1/selector2, DMARC
Adresa odosielateľa v šablóne = adresa pripojenej schránky
Otestovať pripojenie prešlo
Objem v medziach 30 správ za minútu a denného limitu príjemcov
Pri dôležitých šablónach nastavená záložná služba