{"id":643,"date":"2026-10-26T16:38:25","date_gmt":"2026-10-26T16:38:25","guid":{"rendered":"https:\/\/hostcare.nl\/?p=643"},"modified":"2026-10-26T16:38:26","modified_gmt":"2026-10-26T16:38:26","slug":"sharepoint-en-onedrive-idcrl-is-definitief-geblokkeerd-herstel-verouderde-koppelingen-mc1184649","status":"publish","type":"post","link":"https:\/\/hostcare.nl\/?p=643","title":{"rendered":"SharePoint en OneDrive: IDCRL is definitief geblokkeerd \u2013 herstel verouderde koppelingen (MC1184649)"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Een koppeling met SharePoint Online of OneDrive for Business waarmee sinds 2026 plotseling niet meer kan worden aangemeld, kan nog afhankelijk zijn van IDCRL, de verouderde aanmeldmethode Identity Client Run Time Library. Microsoft heeft deze route definitief geblokkeerd. Sinds 1 mei 2026 kan IDCRL voor SharePoint Online en OneDrive for Business niet meer worden ingeschakeld. Dit artikel is daarom geen vooruitblik op een komende wijziging, maar een herstel- en migratiegids voor organisaties die nog verouderde scripts, eigen applicaties of oude CSOM-code tegenkomen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">De impact is gericht. Normale moderne aanmeldingen in Microsoft 365 gebruiken al OpenID Connect en OAuth. Het risico zit vooral bij achtergrondtaken en maatwerk dat nog gebruikersnaam-wachtwoordauthenticatie, een verouderde cookie of een oud endpoint gebruikt. Behandel een storing dus niet als een algemeen SharePoint-probleem en probeer IDCRL niet opnieuw open te zetten: er is na de definitieve blokkade geen tijdelijke terugvaloptie meer.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Wat is IDCRL en wat is de huidige status?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">IDCRL staat voor Identity Client Run Time Library. Microsoft gebruikte het in oudere SharePoint Online- en OneDrive-scenario\u2019s om een verouderde aanmeldcookie te verkrijgen. Microsoft heeft die aanpak uitgefaseerd ten gunste van OpenID Connect en OAuth, onder meer omdat moderne tokens en de Microsoft Authentication Library (MSAL) beter aansluiten op actuele beveiligings- en toegangsmodellen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">In de eerste fase van 2026 kon de verouderde aanmeldmethode tijdelijk worden heringeschakeld voor een beperkte overgangsperiode. Die periode is voorbij. Vanaf 1 mei 2026 wordt IDCRL door SharePoint Online en OneDrive for Business permanent geblokkeerd en kan de tenantinstelling niet meer als noodoplossing worden teruggezet. Leg daarom geen herstelplan vast dat afhankelijk is van een oude PowerShell-schakelaar of een uitzondering voor een enkel script.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Welke koppelingen lopen risico?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Onderzoek vooral automatisering die buiten het normale browserpad draait. Microsoft noemt twee herkenbare categorie\u00ebn. De eerste is code die de klasse <code>SharePointOnlineCredentials<\/code> gebruikt. De tweede is directe communicatie met verouderde endpoints om een token of cookie uit te wisselen. Een script kan jarenlang probleemloos hebben gedraaid en pas zichtbaar falen wanneer het opnieuw wordt uitgevoerd, een wachtwoord verandert, een server wordt vervangen of een proces na een storing opnieuw start.<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>CSOM-code of PowerShell-automatisering<\/strong> met <code>SharePointOnlineCredentials<\/code>, opgeslagen gebruikersnaam en wachtwoord of een oudere cookie-aanpak.<\/li><li><strong>Eigen integraties<\/strong> die <code>https:\/\/login.microsoftonline.com\/rst2.srf<\/code> of <code>https:\/\/&lt;tenant&gt;.sharepoint.com\/_vti_bin\/idcrl.svc<\/code> benaderen.<\/li><li><strong>Onbeheerde achtergrondtaken<\/strong> op servers, geplande taken, middleware of oude bouw- en exportprocessen waarvan de oorspronkelijke eigenaar niet meer bekend is.<\/li><li><strong>Historische documentatie<\/strong> die een serviceaccount met wachtwoord als standaardroute voor SharePoint Online beschrijft.<\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Begin met feiten, niet met een brede wijziging<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Een HTTP 401- of 403-fout bewijst op zichzelf niet dat IDCRL de oorzaak is. Ook een verlopen certificaat, ontbrekende Entra-toestemming, gewijzigd Conditional Access-beleid of een token voor de verkeerde doelgroep kan dezelfde gebruikerservaring opleveren. Verzamel daarom v\u00f3\u00f3r een code- of beleidswijziging de foutmelding, het uitvoermoment, het betrokken proces, het gebruikte account en de aangeroepen URL. Koppel die gegevens aan de eigenaar van de integratie.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Microsoft beschrijft in Microsoft Purview Audit de activiteit <code>IDCRLSuccessSignIn<\/code> als ingang om historische IDCRL-aanroepen te vinden. Gebruik die informatie als aanwijzing, voor zover de auditretentie in de tenant nog gegevens bevat. Het ontbreken van historische resultaten is geen garantie dat geen enkele oude toepassing meer bestaat; een taak kan buiten de retentieperiode vallen of slechts incidenteel draaien.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Een gerichte inventarisatie in vijf stappen<\/h3>\n\n\n\n<ol class=\"wp-block-list\"><li><strong>Zoek in code en configuratie.<\/strong> Doorzoek broncoderepositories, scriptshares, jobservers en configuratiebeheer op <code>SharePointOnlineCredentials<\/code>, <code>rst2.srf<\/code>, <code>idcrl.svc<\/code>, <code>GetAuthenticationCookie<\/code> en opgeslagen SharePoint-serviceaccounts.<\/li><li><strong>Breng alle uitvoerlocaties in kaart.<\/strong> Neem geplande taken, Azure- of lokale verwerkingsprocessen, ETL-jobs, archiefprocessen, back-ups, rapportages en externe integraties mee.<\/li><li><strong>Controleer historische telemetrie.<\/strong> Zoek in Purview, binnen de beschikbare retentie, naar <code>IDCRLSuccessSignIn<\/code> en leg tenant, account, moment en betrokken proces vast.<\/li><li><strong>Wijs een functionele eigenaar toe.<\/strong> Een technisch account is geen eigenaar. Leg vast welk proces de koppeling ondersteunt, wie de impact kan testen en wie over rechten beslist.<\/li><li><strong>Classificeer de aanmeldroute.<\/strong> Bepaal of de toepassing namens een gebruiker werkt of zelfstandig op de achtergrond draait. Die keuze bepaalt of een gedelegeerd of application-only ontwerp passend is.<\/li><\/ol>\n\n\n\n<h3 class=\"wp-block-heading\">Vervang verouderde aanmelding door moderne tokens<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">De structurele route is OAuth of OpenID Connect met Microsoft Entra ID. Registreer de applicatie in Entra, kies de minimale rechten die het proces nodig heeft en laat de applicatie via een passende MSAL-aanmeldstroom een toegangstoken verkrijgen. Voor een gebruikersgestuurd proces past doorgaans gedelegeerde toegang; voor een onbemande taak hoort het ontwerp juist expliciet voor een application-only scenario te worden beoordeeld. Vermijd een nieuwe oplossing die opnieuw een persoonlijk wachtwoord of een ongecontroleerd serviceaccount in een script vastlegt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Voor SharePoint Online-CSOM raadt Microsoft de .NET Standard-variant aan. Daar is <code>SharePointOnlineCredentials<\/code> niet beschikbaar; de toepassing verkrijgt zelf een OAuth-token en plaatst dat als Bearer-token op de SharePoint-aanroep. Deze wijziging is meer dan een syntactische vervanging: controleer de doelgroep van het token, toegewezen SharePoint-rechten, beheertoestemming voor de tenant, beheer van geheimen of certificaten en het gedrag van foutafhandeling en tokenvernieuwing.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Kies per proces de juiste migratieroute<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>Interactie namens een gebruiker:<\/strong> ontwerp een gedelegeerde aanmeldstroom met een expliciete gebruikerscontext, zodat toegangscontrole en Conditional Access aansluiten op de normale aanmeldroute.<\/li><li><strong>Onbemande verwerking:<\/strong> registreer een applicatie met alleen de noodzakelijke toepassingsmachtigingen, een duidelijke eigenaar en gecontroleerd beheer van geheimen of certificaten. Beperk bereik en rechten tot wat de taak werkelijk nodig heeft.<\/li><li><strong>Oude CSOM-code:<\/strong> migreer naar een ondersteunde tokenroute en test alle aanroepen. Neem niet aan dat een pakketupdate alleen voldoende is als de code nog cookies of gebruikersnaam-wachtwoord gebruikt.<\/li><li><strong>Directe verouderde endpoints:<\/strong> vervang de cookie-uitwisseling door een tokenstroom; laat de applicatie niet meer afhankelijk zijn van <code>rst2.srf<\/code> of <code>idcrl.svc<\/code>.<\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Test de volledige bedrijfsstroom<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Een geslaagde tokenaanvraag is niet hetzelfde als een geslaagde integratie. Test in een afgescheiden omgeving of pilot alle stappen die het proces uitvoert: aanmelden, lezen, schrijven, uploaden, downloaden, metadata bijwerken, foutafhandeling en geplande herhaling. Test ook een tokenvernieuwing en een herstart van het verwerkingsproces. Zo wordt zichtbaar of er nog een verborgen afhankelijkheid van een oude cookie, een te ruime machtiging of een verkeerde tokendoelgroep bestaat.<\/p>\n\n\n\n<ol class=\"wp-block-list\"><li>Leg voor elke koppeling de oude aanmeldroute en de beoogde moderne route vast.<\/li><li>Laat de functionele eigenaar een representatieve testuitvoering controleren, inclusief uitzonderingen en grote bestanden waar relevant.<\/li><li>Controleer audit- en applicatielogs op mislukte autorisatie, onverwachte scopes en herhaalde tokenfouten.<\/li><li>Plan de omzetting per integratie, niet als ongedifferentieerde tenantwijziging.<\/li><li>Verwijder na succesvolle validatie opgeslagen wachtwoorden, ongebruikte aanmeldgegevens en oude documentatie volgens het geldende wijzigings- en geheimbeheerproces.<\/li><\/ol>\n\n\n\n<h3 class=\"wp-block-heading\">Geen tijdelijke omweg meer<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">De tijdelijke PowerShell-instelling die in de overgangsperiode de verouderde aanmeldmethode nog kon toestaan, is na 1 mei 2026 geen oplossing meer. Gebruik ook geen brede uitzonderingen in Conditional Access, een lager beveiligingsniveau of een gedeeld beheerdersaccount om een falende automatisering snel weer werkend te krijgen. Dat maskeert het ontwerpgebrek en kan een nieuw beveiligingsprobleem introduceren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Als een bedrijfskritische taak uitvalt, behandel de situatie als een gericht integratie-incident: bepaal de eigenaar, beperk de zakelijke impact, kies een moderne authenticatiearchitectuur en laat die gecontroleerd testen. De structurele uitkomst is een expliciet beheerde Entra-app en tokenroute, niet het herstellen van de verdwenen IDCRL-cookieflow.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Offici\u00eble documentatie<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li><a href=\"https:\/\/admin.microsoft.com\/AdminPortal\/home#\/MessageCenter\/:\/messages\/MC1184649\" target=\"_blank\" rel=\"noopener noreferrer\">Microsoft 365 Message Center: uitfasering van IDCRL voor SharePoint Online en OneDrive for Business (MC1184649)<\/a> <em>(aanmelden als bevoegde beheerder vereist)<\/em><\/li><li><a href=\"https:\/\/devblogs.microsoft.com\/microsoft365dev\/migrating-from-idcrl-authentication-to-modern-authentication-in-sharepoint\/\" target=\"_blank\" rel=\"noopener noreferrer\">Microsoft 365 Developer Blog: migreren van IDCRL naar moderne authenticatie in SharePoint<\/a><\/li><li><a href=\"https:\/\/learn.microsoft.com\/en-us\/sharepoint\/dev\/sp-add-ins\/using-csom-for-dotnet-standard\" target=\"_blank\" rel=\"noopener noreferrer\">Microsoft Learn: CSOM voor .NET Standard en moderne authenticatie<\/a><\/li><li><a href=\"https:\/\/learn.microsoft.com\/en-us\/powershell\/module\/microsoft.online.sharepoint.powershell\/set-spotenant?view=sharepoint-ps\" target=\"_blank\" rel=\"noopener noreferrer\">Microsoft Learn: Set-SPOTenant en legacy-authenticatieinstellingen<\/a><\/li><\/ul>\n","protected":false},"excerpt":{"rendered":"<p>De verouderde IDCRL-aanmeldmethode werkt sinds 1 mei 2026 niet meer in SharePoint Online en OneDrive. Inventariseer oude scripts en migreer gericht naar Microsoft Entra ID, OAuth en MSAL.<\/p>\n","protected":false},"author":1,"featured_media":482,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[87],"tags":[141,140,139,197,10,137,198,138,179],"class_list":["post-643","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-nieuws","tag-authenticatie","tag-csom","tag-idcrl","tag-mc1184649","tag-microsoft-entra-id","tag-oauth","tag-onedrive-for-business","tag-openid-connect","tag-sharepoint-online"],"_links":{"self":[{"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/posts\/643","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=643"}],"version-history":[{"count":1,"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/posts\/643\/revisions"}],"predecessor-version":[{"id":644,"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/posts\/643\/revisions\/644"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=\/wp\/v2\/media\/482"}],"wp:attachment":[{"href":"https:\/\/hostcare.nl\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=643"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=643"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hostcare.nl\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=643"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}