Capire l'errore AADSTS70000 "invalid grant" in Microsoft Azure e Microsoft 365

By Mirko Peters · 2026-04-21

L'errore AADSTS70000 « invalid grant » è un grattacapo frequente per amministratori e sviluppatori che lavorano con Azure Active Directory e i servizi di Microsoft 365. Yo…

Automatically translated with AI from the original post. Read the English original

Cover: Fix Conditional Access Loopholes in Microsoft 365

L'errore AADSTS70000 "invalid grant" è un problema ricorrente per admin e sviluppatori che lavorano con Azure Active Directory e i servizi di Microsoft 365. Lo vedrai spesso quando colleghi sistemi o automazioni tramite Power Platform, add-in di Outlook o app che si basano sui flussi di identità Microsoft.

In parole semplici, l'errore AADSTS70000 indica che qualcosa è andato storto durante l'autenticazione, di solito quando un'app o un utente tenta di ottenere un token tramite OAuth, ma la "grant" non è più valida. Questo può bloccare un flusso di Power Automate, interrompere un'integrazione con Outlook o compromettere l'accesso a qualsiasi app che usi Azure o Entra ID per l'autenticazione. Se lavori nell'IT cloud o nello sviluppo di app, questo errore va preso sul serio, perché segnala problemi di autenticazione e sicurezza che possono fermare i tuoi sistemi dall'oggi al domani.

Sapere come e dove può presentarsi questo errore è fondamentale per risolvere i problemi in fretta ed evitare quei momenti di esasperazione in cui qualcosa smette di funzionare da un giorno all'altro, senza alcun preavviso.

Analisi dei componenti del messaggio di errore 70000 Invalid Grant

Quando incontri l'errore AADSTS70000 invalid grant, in realtà hai davanti due elementi chiave del messaggio. Il primo è il codice di errore stesso, "AADSTS70000". Questo codice indica in modo specifico problemi con le grant OAuth nel framework di autenticazione Microsoft.

Il secondo elemento è il motivo, di solito indicato come "invalid_grant" o accompagnato da un messaggio come "grant is invalid or malformed". Questo ti dice che il server non ha potuto accettare la richiesta di token, di norma a causa di configurazioni errate, criteri di sicurezza o problemi nella struttura della grant.

Se vedi questo errore nei log di accesso di Azure, a volte include dettagli aggiuntivi come "refresh token expired" o "redirect URI mismatch". Imparare a riconoscere questi schemi ti aiuta a distinguere rapidamente errori dell'utente, problemi di registrazione delle app e configurazioni più profonde del servizio, riducendo i tempi di diagnosi e portandoti dritto alla documentazione o ai canali di supporto Microsoft più utili.

Cosa causa l'errore 70000 Invalid Grant?

Ecco le cause più comuni per cui potresti vedere comparire l'errore AADSTS70000 invalid grant. Ognuna è legata al modo in cui OAuth e Azure AD gestiscono token, sicurezza e impostazioni di registrazione delle app:

Grant OAuth malformate o scadute: token di accesso e di aggiornamento non validi o scaduti sono una delle cause principali. Se un token viene usato oltre la data di scadenza o manomesso durante la trasmissione, Azure AD lo rifiuta immediatamente.
Redirect URI errati o impostazioni del client non corrispondenti: piccole differenze nel redirect URI registrato (anche una barra mancante) possono interrompere il flusso. Modificare i dettagli dell'app senza aggiornare le impostazioni di Azure AD è un colpevole frequente.
Problemi con i refresh token: tentare di riutilizzare un refresh token revocato, oppure uno scaduto o emesso per un altro client, genera questo errore. A volte gli admin ruotano i segreti o reimpostano le password, invalidando questi token per errore.
Interruzione da parte di criteri di accesso condizionale e MFA: se una regola MFA o di conformità del dispositivo interviene a metà del flusso, soprattutto con account di servizio o in background, la grant viene negata senza molte spiegazioni. È un caso sottile, che spesso mette in difficoltà anche i professionisti più esperti. Vuoi approfondire i criteri di accesso condizionale e i problemi di fiducia? Leggi questa discussione su lacune dei criteri e best practice.
Mancata corrispondenza di consenso o ambiti: quando le autorizzazioni vengono revocate, concesse solo in parte o gli ambiti delle app vengono deprecati, integrazioni che funzionavano fino a poco prima possono interrompersi all'improvviso. Admin e sviluppatori che integrano app di terze parti devono verificare che le autorizzazioni richieste e il consenso dell'amministratore siano ancora in vigore. Per un approfondimento sui rischi del consenso OAuth in Entra ID, consulta questa pagina.

Percorsi di risoluzione per l'errore 70000 Invalid Grant

Cancella i token memorizzati nella cache e autenticati di nuovo: La soluzione più rapida per i problemi di token o di sessione è disconnettere e riconnettere l'account o il servizio interessato. Per Power Automate, Outlook e app simili, uscire e rientrare manualmente può forzare un nuovo flusso OAuth e risolvere gli errori di tipo invalid grant.
Controlla e correggi gli URI di reindirizzamento: Vai al portale di Azure e verifica che l'URI di reindirizzamento della registrazione dell'app corrisponda esattamente a quello inviato dall'app o dal connettore. Anche un solo carattere in più può compromettere l'intera autenticazione quando Azure convalida la richiesta.
Verifica la registrazione dell'app e i segreti client: Assicurati che eventuali modifiche recenti alla registrazione dell'app, le rotazioni dei segreti o le modifiche alle autorizzazioni siano aggiornate. I segreti client scaduti o non corrispondenti sono un killer silenzioso per le integrazioni in esecuzione.
Esamina i criteri di accesso condizionale e il consenso: Controlla i criteri di accesso condizionale per eccezioni troppo ampie o lacune nella conformità dei dispositivi: possono interrompere i flussi senza alcun messaggio di errore evidente. Rafforza i processi di consenso degli utenti e verifica che il consenso amministrativo sia ancora applicato dove necessario. Per strategie di governance, consulta questa guida approfondita sulle best practice di sicurezza.
Aggiorna gli ambiti delle autorizzazioni: Controlla con attenzione gli ambiti delle autorizzazioni richiesti dalla tua app o dall'automazione. Gli ambiti a volte cambiano nome o vengono ritirati, soprattutto in Microsoft Graph. Assicurati che tutto sia allineato tra codice dell'app, registrazione nel portale e cronologia dei consensi.
Forza la cancellazione dei token dopo le modifiche di sicurezza: Se i token potrebbero essere stati compromessi o hai appena aggiornato i criteri delle password, usa Intune o il portale di Azure per revocare tutte le sessioni attive e richiedere un nuovo accesso per tutti gli utenti e le automazioni. Per saperne di più sugli attacchi persistenti basati sul consenso, leggi questa guida sui rischi e le contromisure degli attacchi di consenso in Entra ID.

Problema di Power Automate: risoluzione degli errori di autenticazione invalid grant

Riconnetti o aggiorna le connessioni ai dati interessate: Se il flusso genera l'errore 70000, inizia aprendo il flusso in Power Automate, individuando le connessioni che mostrano avvisi e riconnettendole. In questo modo il servizio ottiene un nuovo token con le credenziali più recenti.
Verifica le autorizzazioni dell'utente e la validità delle credenziali: Assicurati che l'utente assegnato al flusso abbia l'accesso corretto all'origine dati. Se un account usato nel flusso è disabilitato, la password è scaduta o i requisiti MFA sono cambiati, continueranno a verificarsi errori di autenticazione persistenti.
Convalida gli ambiti di autorizzazione richiesti: Controlla con attenzione che gli ambiti concessi corrispondano a ciò che il flusso deve fare per leggere o inviare email, creare file o aggiungere elementi a SharePoint. Questo aspetto è particolarmente importante con i connettori di Outlook e Teams.
Esamina i criteri DLP e le restrizioni dei connettori: I criteri di prevenzione della perdita di dati (DLP) possono interrompere silenziosamente i flussi se un connettore passa da non bloccato a bloccato o viene riclassificato dagli amministratori. Per saperne di più su come costruire automazioni stabili con i giusti limiti DLP, consulta questa guida ai criteri DLP per gli sviluppatori di Power Platform.
Distingui tra errori transitori e persistenti: A volte l'errore 70000 deriva da interruzioni brevi o da piccoli problemi del servizio. Un singolo errore seguito da un ripristino di solito non è motivo di allarme, ma se l'errore persiste, inizia a verificare le autorizzazioni di connessione e gli ambiti di consenso in tutto il tenant.
Esamina la configurazione della governance: Le lacune nella governance degli ambienti o delle identità possono far entrare i rischi di autenticazione col tempo. Per consigli sulla governance di Power Platform, consulta questa panoramica sulle best practice.

Accesso Azure 70000: utilizzo dei log di Azure AD e dell'audit per la diagnosi

Inizia dai log di accesso di Azure AD: Vai ai log di accesso di Azure nel portale di Azure e filtra i tentativi non riusciti con il codice "AADSTS70000". Controlla il motivo dell'errore, l'app client e l'IP di origine. Questo aiuta a capire se il problema dipende dall'utente, dall'app o da una configurazione.
Analizza i modelli di comportamento di token e client: Cerca errori ripetuti legati allo stesso utente, service principal o app. Errori «invalid grant» costanti dopo un evento pianificato, come la rotazione di un segreto, spesso indicano criteri per i token non allineati o refresh token scaduti.
Usa i log di controllo di Azure AD per un contesto più ampio: Incrocia i tentativi di accesso non riusciti con i log di controllo di Azure AD. Così emergono modifiche alle registrazioni delle app, aggiornamenti ai criteri di accesso condizionale e possibili revoche massive di token. Individuare una modifica subito prima dell'inizio degli errori può portarti dritto alla causa principale.
Sfrutta gli strumenti di audit avanzati: Per indagini più ampie su Microsoft 365, strumenti come Microsoft Purview Audit offrono una conservazione estesa e segnali approfonditi utili per l'analisi forense. Scopri come configurare e usare questi strumenti in questa panoramica su Purview Audit.
Rafforza la governance per una stabilità duratura: Una buona governance aiuta a prevenire interruzioni silenziose e la deriva cumulativa dei criteri nel tempo. Applica le misure di protezione con Azure Policy e monitora le eccezioni. Per una strategia completa, consulta la guida alla governance enterprise di Azure.

Sincronizzazione dell'orario e sfasamento dell'orologio (clock skew): la causa nascosta degli errori OAuth invalid grant

Una delle cause più trascurate degli errori AADSTS70000 invalid grant è il semplice disallineamento dell'orologio di sistema, noto come clock skew. Quando il computer client e i server Microsoft non concordano sull'ora corrente, i token OAuth e i codici di autorizzazione possono sembrare scaduti o non ancora validi, anche se tutto il resto è corretto.

Il problema è particolarmente insidioso negli ambienti virtualizzati o cloud, dove sistemi diversi girano su orologi leggermente sfasati tra loro. I ritardi di rete o la modalità sospensione dei dispositivi possono amplificare il problema, facendo fallire un tentativo di autenticazione valido senza un motivo apparente.

La soluzione? Sincronizza regolarmente tutti i dispositivi con un server NTP affidabile. Configura la correzione automatica dell'orario sui controller di dominio, sulle macchine virtuali e sui dispositivi degli utenti finali. Restare entro un minuto o due dall'«ora reale» batte qualsiasi fallimento misterioso nella concessione dei token. Per una visione più ampia degli approcci proattivi alla sicurezza di Microsoft 365 e Dynamics (inclusi i controlli adattivi), dai un'occhiata a questo podcast su Zero Trust by Design.