Chociaż pełne bezpieczeństwo nie istnieje w dzisiejszych czasach ze względu na ciągłe zagrożenia generowane każdego dnia w postaci złośliwych koderów i hakerów, można ustanowić protokoły bezpieczeństwa w celu utrzymania wysokiego poziomu bezpieczeństwa wymiany.
Istnieje kilka sposobów na zabezpieczenie systemu Windows Exchange. Wirtualne serwery SMTP są zazwyczaj niewidoczne i niedostępne dla ogółu społeczeństwa, inaczej oznaczane jako nieautoryzowani użytkownicy. Domyślne ograniczenia przekaźnika nie pozwalają użytkownikom na wysyłanie wiadomości e-mail do lokalizacji zewnętrznych za pomocą serwera Exchange.
Czasami użytkownik ma tendencję do zmiany ograniczeń, które pozwalają na wykorzystanie serwera Exchange do celów spamowania. Innymi słowy, jeśli serwer jest otwarty do przekazywania, nieautoryzowani użytkownicy mogą używać serwera do wysyłania wiadomości e-mail do innych, co zwiększa widoczność i jest oznaczane jako serwer do otwartego przekazywania. Czasami kontrola przekaźników i przekazywanie jest mylone ze spamem; administrator musi zrozumieć, że przekazywanie nie blokuje spamu.
Anonimowy dostęp do wewnętrznych serwerów SMTP i dedykowanych serwerów SMTP musi być uniemożliwiony dla klientów IMAP i POP. Ogólne serwery Simple Mail Transfer Protocol nie muszą mieć uniemożliwionego anonimowego dostępu, ponieważ protokoły autoryzacji istnieją domyślnie.
Serwery Exchange są zaprojektowane do automatycznego uwierzytelniania i zapewniania dostępu do poczty i komunikacji wewnętrznej. Zapobiegają one nieautoryzowanemu dostępowi, dzięki czemu przepływ poczty nie jest zakłócany. Zapewnia to dodatkową siłę lub bezpieczeństwo wirtualnego serwera SMTP.
Ograniczenie przesyłania poczty, wiadomości i plików oraz dostępu do przekazywania na wewnętrznych serwerach SMTP może również pomóc w zwiększeniu poziomu bezpieczeństwa. Standardowy serwer Windows 2000 lub Windows 2003 Discretionary Access Control List pomaga zapewnić użytkownikom i grupom wyraźne uprawnienia dostępu do serwerów.
W przypadku serwerów, które muszą odbierać pocztę z Internetu, obowiązkowe jest pozostawienie anonimowego odbioru poczty, ale z dodatkowymi zabezpieczeniami. Zapewnia to, że wiadomości z różnych serwerów i dostawców usług pocztowych mogą być nadal odbierane przy zachowaniu dobrego poziomu bezpieczeństwa w Exchange.