Chi ha messo in piedi una rete aziendale fra il 2008 e il 2016 se lo ricorda bene: il server Exchange era la macchina più importante della sala server. Più del gestionale, a volte. Teneva la posta, i calendari condivisi, la rubrica aziendale, le sale riunioni, le cartelle pubbliche dove l’ufficio acquisti archiviava le offerte. Era legato ad Active Directory, quindi un nuovo assunto aveva la casella nello stesso momento in cui aveva l’utente. E con l’arrivo degli smartphone era diventato la porta da cui passava il lavoro fuori ufficio.
Per molte aziende lombarde quel server è ancora lì. Fra le richieste che ci arrivano in queste settimane torna spesso la stessa: un Exchange in sede, a volte un 2013, a volte un 2016 o un 2019, che funziona ma che nessuno sa più bene come spegnere. Questo articolo racconta cosa vuol dire farlo davvero: cosa cambia per chi lavora, cosa cambia per chi gestisce l’IT e cosa si guadagna in sicurezza.
In breve
Exchange in sede è stato per vent’anni la scelta giusta, e oggi non lo è più per la maggior parte delle PMI. Exchange 2013 è senza aggiornamenti dall’11 aprile 2023, il 2016 e il 2019 dal 14 ottobre 2025, e anche la nuova versione in sede si compra solo in abbonamento. Passare a Exchange Online, dentro Microsoft 365, toglie dalla rete un server esposto su Internet e sposta su Microsoft aggiornamenti, antispam e disponibilità. In cambio l’account dell’utente diventa la cosa da proteggere, con l’autenticazione a più fattori, e il backup della posta resta compito vostro.
Perché Exchange è stato così importante
Prima del cloud, avere una posta aziendale seria voleva dire avere Exchange. Le alternative facevano la posta e poco altro. Exchange faceva il lavoro di squadra: il calendario di un collega che si apre con un clic, la casella condivisa dell’amministrazione, la sala riunioni prenotabile, la rubrica uguale per tutti. Con ActiveSync, dal 2003 in poi, è arrivato sui telefoni, e per anni è stato quello che rendeva un BlackBerry o un iPhone uno strumento di lavoro.
Il prezzo era la gestione. Un server Exchange andava aggiornato ogni pochi mesi, con aggiornamenti cumulativi che a volte si portavano dietro qualche sorpresa. Servivano certificati validi, antispam in sede, backup con prove di ripristino, spazio disco che finiva sempre prima del previsto. Le aziende più grandi avevano due o tre server in cluster per non fermarsi. Le piccole ne avevano uno, e quando si fermava si fermava la posta.
Cosa è cambiato
Tre cose, in pochi anni.
La prima è la sicurezza. Un server di posta deve accettare connessioni da Internet, ed è per questo che è diventato uno dei bersagli preferiti. Nel 2021 le falle chiamate ProxyLogon hanno colpito Exchange 2013, 2016 e 2019, e in pochi giorni sono stati compromessi server in tutto il mondo. Ad agosto 2025 l’agenzia americana per la cybersicurezza, CISA, ha chiesto di scollegare i server Exchange a fine vita dopo una vulnerabilità che permette a chi entra nel server in sede di arrivare anche a Microsoft 365.
La seconda è il calendario di Microsoft. Exchange 2013 è uscito dal supporto l’11 aprile 2023. Il 2016 e il 2019 il 14 ottobre 2025. Fuori supporto vuol dire niente più correzioni: ogni falla scoperta dopo quella data resta aperta.
La terza è il modello. La versione in sede che sostituisce la 2019, Exchange Server Subscription Edition, esiste dal luglio 2025, ma richiede licenze, CAL e un abbonamento attivo per ricevere gli aggiornamenti. Anche chi vuole restare in casa, insomma, paga un canone. A quel punto il confronto con Exchange Online si fa molto più corto.
Cosa cambia quando si passa a Microsoft 365
Per chi lavora, poco. La posta è la stessa, i calendari condivisi pure, Outlook resta Outlook. Con la migrazione ibrida le caselle si spostano a gruppi mentre le persone lavorano e Outlook si ricollega da solo. Con la migrazione diretta, adatta agli ambienti piccoli, i profili di Outlook vanno ricreati su ogni postazione: mezz’ora per PC, da pianificare.
Per chi gestisce l’IT, parecchio:
- L’identità: gli utenti di Active Directory vengono sincronizzati con Microsoft Entra ID, la directory del cloud. Da quel momento la password dell’utente apre la posta da qualunque parte del mondo, ed è per questo che l’autenticazione a più fattori smette di essere un’opzione.
- Il DNS: cambiano i record MX e Autodiscover, e vanno rifatti SPF, DKIM e DMARC. Se si sbaglia qui, le mail dell’azienda finiscono nello spam dei clienti.
- Le stampanti e il gestionale: scanner, gestionale, centralino e allarmi spesso mandano mail passando dal server Exchange, senza autenticarsi. Spento il server, smettono. Vanno censiti prima e spostati su uno dei metodi di invio che Microsoft prevede.
- Il backup: Microsoft garantisce che il servizio funzioni, non che possiate recuperare tutto. Una mail eliminata definitivamente si recupera per 14 giorni, estendibili a 30. Oltre, serve un backup esterno.
- I costi: si passa da un investimento ogni cinque o sei anni (server, licenze, storage, sistemista) a un canone per utente al mese.
Cosa si guadagna in sicurezza
Qui il cambiamento è netto.
Non c’è più un server di posta in rete con una porta aperta verso Internet. Gli aggiornamenti li fa Microsoft, sui suoi server, senza finestre di manutenzione da concordare. Ogni piano di Exchange Online comprende Exchange Online Protection, cioè antispam e antimalware gestiti da Microsoft: niente più appliance o software antispam da mantenere in sede. Da ottobre 2022 Exchange Online ha anche spento l’autenticazione di base per Outlook, telefoni e gli altri protocolli di lettura della posta: era il metodo che permetteva di provare password all’infinito con programmi vecchi. Resta solo sull’invio da stampanti e applicativi, e da fine 2026 è disattivata per impostazione predefinita anche lì.
Con Microsoft 365 Business Premium si aggiungono tre strumenti che in sede costerebbero molto di più: Defender for Office 365, che controlla link e allegati prima che l’utente li apra; l’accesso condizionale, che può bloccare un accesso dall’estero o da un PC non aziendale; la gestione dei dispositivi, per cancellare la posta da un telefono perso.
Il rischio non sparisce, si sposta. Con Exchange in sede l’attaccante puntava al server. Con Exchange Online punta all’account: password rubate, phishing, falsi messaggi di accesso. Per questo la migrazione per noi non finisce con le caselle spostate. Finisce con l’autenticazione a più fattori attiva per tutti, DMARC configurato e il backup acceso dal primo giorno.
Se avete ancora un Exchange 2013
Qualche nota pratica, perché da 2013 le strade sono più strette.
- Non si aggiorna sul posto. Exchange 2019 CU15 ed Exchange SE non si installano finché in azienda c’è ancora un server 2013.
- La migrazione ibrida su un 2013 può ancora funzionare, ma Microsoft non dà più assistenza su quella versione. Se la procedura si inceppa, nessuno la corregge.
- Per gli ambienti piccoli c’è la migrazione diretta, che Microsoft consiglia fino a 150 caselle.
- Strumenti come CodeTwo e MigrationWiz partono anche da Exchange 2013. Però dipendono dal protocollo EWS, che Microsoft ha cominciato a disattivare in Exchange Online il 1 ottobre 2026, tenant per tenant, e che spegnerà del tutto il 1 aprile 2027 (l’Exchange in sede non è toccato). Oggi funzionano solo se EWS resta attivo e l’applicazione è autorizzata nel tenant. Chi ha cartelle pubbliche da portare nel cloud fa bene a non aspettare la primavera.
Cosa chiedere questa settimana a chi gestisce il server
- Che versione di Exchange abbiamo, e con quale aggiornamento?
- Quante caselle ci sono e quanto pesano in tutto, comprese caselle condivise e cartelle pubbliche?
- Cosa invia posta passando dal server: stampanti, gestionale, centralino, allarmi?
- Gli utenti sono già in Microsoft 365, anche solo per Teams?
- Quando abbiamo provato l’ultima volta a ripristinare una casella dal backup?
Con queste cinque risposte si capisce in mezz’ora quale strada conviene e quanto lavoro c’è davvero.
Quanto costa
A listino Microsoft per l’Italia (letto il 20 settembre 2026, per utente al mese, impegno annuale, IVA esclusa) Exchange Online Piano 1 costa 3,50 €, Microsoft 365 Business Basic 6,07 €, Business Standard 12,13 €, Business Premium 19,06 €. Cinquanta caselle con Business Basic fanno circa 3.640 euro l’anno. Le caselle condivise fino a 50 GB non richiedono licenza.
Il progetto di migrazione si quota dopo l’assessment, perché dipende da caselle, dispositivi da riconfigurare e strumenti necessari. Per i tempi, secondo i dati di Microsoft una casella fino a 10 GB si copia in un giorno nel caso tipico: per qualche decina di caselle la copia dura una o due settimane, mentre le persone lavorano.
Come lo facciamo noi
Assessment del server e di tutto quello che gli gira intorno. Un gruppo pilota di poche caselle per misurare la velocità reale. Spostamento a gruppi, cambio DNS di sera o nel fine settimana, stampanti e gestionale riconfigurati, autenticazione a più fattori, DMARC e backup attivi. Alla fine il vecchio server si spegne in sicurezza.
Il metodo completo, con i percorsi e le voci di costo, è nella pagina migrazione Exchange a Microsoft 365.
Se il vostro Exchange è ancora in sala server, scriveteci: partiamo dalle cinque domande qui sopra e vi diciamo quale strada conviene, con tempi e costi.