MFA の適用により、セキュリティの既定値の無効化は不要になる場合があります。M365 アカウントで MFA を有効にしてから適用すると、アカウントの MFA セットアップ ページに移動して、MFA をバイパスするために使用するアプリ パスワードを追加できます。MFA の適用、SMTP AUTH、およびセキュリティの既定値がすべて有効になっている M365 Business Basic ライセンスを持つユーザーで動作させることができました。SMTP のオープンおよび読み取りタイムアウトを 2 行追加して調整する必要があっただけです。30 は過剰かもしれませんが、5 は少なすぎました。
動作する app.yml エントリ（2023 年 9 月現在）：
DISCOURSE_SMTP_ADDRESS: smtp.office365.com
DISCOURSE_SMTP_PORT: 587
DISCOURSE_SMTP_USER_NAME: user@domain.com
DISCOURSE_SMTP_PASSWORD: whatever-your-app-password-is
DISCOURSE_SMTP_AUTHENTICATION: login
DISCOURSE_SMTP_ENABLE_START_TLS: true
DISCOURSE_NOTIFICATION_EMAIL: user@domain.com
DISCOURSE_SMTP_OPEN_TIMEOUT: 30
DISCOURSE_SMTP_READ_TIMEOUT: 30