Cómo deshabilitar la autenticación heredada en Microsoft 365

La autenticación básica es un método de inicio de sesión antiguo que se usa habitualmente en protocolos como POP, IMAP y SMTP AUTH. Su principal característica es que transmite los nombres de usuario y las contraseñas a las aplicaciones en texto plano.

Aunque este método de autenticación heredado ha sido el estándar del sector durante años, hoy se considera inseguro.

Según el análisis de Microsoft, la autenticación básica puede aumentar considerablemente el riesgo de que un sistema sufra ataques de fuerza bruta y de password spray. Y lo que es más importante: dificulta —o directamente impide— aplicar protocolos de seguridad avanzados como la autenticación multifactor (MFA).

Por eso, Microsoft recomienda bloquear por completo los protocolos de autenticación heredada.

En esta guía veremos los distintos métodos que puedes usar para deshabilitar la autenticación heredada en Microsoft Office 365.

Guía completa para deshabilitar los protocolos de autenticación heredada en Office 365

📌 Requisitos previos:

• Configuración de Microsoft 365: debes trabajar en un tenant de Microsoft 365 con Exchange Online.
• Permisos de administrador: necesitas permisos de administrador global, administrador de seguridad o administrador de acceso condicional.
• Licencias para el acceso condicional: aunque puedes configurar el acceso condicional con una licencia básica, se recomienda contar con Microsoft Entra (antes Azure AD) P1 o P2 para acceder a las funciones de seguridad avanzadas.
• Compatibilidad de los clientes: tus clientes o usuarios deben admitir OAuth 2.0, es decir, deben usar Outlook 2016 o las aplicaciones de Microsoft 365 para empresas.

📌 Estrategias de despliegue recomendadas:

💡Nota: desde enero de 2023, Microsoft ha deshabilitado la autenticación básica en Exchange Online para varios protocolos, entre ellos Outlook, Exchange ActiveSync (EAS), POP, IMAP, PowerShell remoto, Exchange Web Services (EWS), Office Address Book (OAB) y Autodiscover.

Método 1: desde el Centro de administración de Microsoft 365 (GUI)

📌 Caso de uso: este método afecta a todos los usuarios del tenant y se puede configurar para que anule los ajustes individuales de cada usuario.

1. Inicia sesión en el Centro de administración de Microsoft 365.
2. Ve a Configuración > Configuración de la organización > Autenticación moderna.
3. Desmarca las siguientes casillas para deshabilitar los protocolos de autenticación heredada:
   1. IMAP
   2. POP
   3. SMTP AUTH
   4. MAPI
   5. Exchange Web Services (EWS)
   6. Exchange ActiveSync
4. Haz clic en Guardar para aplicar los cambios.

Método 2: con el acceso condicional de Microsoft Entra

📌 Caso de uso: este método es ideal para empresas con licencias Microsoft Entra P1/P2. Te permite bloquear la autenticación heredada sin impedir que funcionen las aplicaciones con autenticación moderna.

1. Entra en el Centro de administración de Entra (antes Azure AD).
2. Ve a Seguridad > Acceso condicional.
3. Haz clic en + Nueva directiva.
4. Asigna los usuarios o grupos de destino.
5. En Aplicaciones cloud, selecciona Todas las aplicaciones cloud.
6. En Condiciones > Aplicaciones cliente, incluye Otros clientes (protocolos heredados).
7. En Controles de acceso > Conceder, elige Bloquear el acceso.
8. Activa la directiva y haz clic en Crear.

Método 3: con PowerShell (por usuario y a nivel de tenant)

📌 Caso de uso: este enfoque te permite gestionar los protocolos de autenticación heredada tanto a nivel de usuario como de empresa. Es la mejor opción para crear scripts de configuración masiva, auditar el uso de la autenticación heredada y personalizar los ajustes de los buzones.

A. Conéctate a Exchange Online PowerShell

Connect-ExchangeOnline -UserPrincipalName [email protected]

B. Deshabilita la autenticación heredada en protocolos concretos

Set-CASMailbox [email protected] -PopEnabled $false -ImapEnabled
$false -MAPIEnabled $false -ActiveSyncEnabled $false -SmtpClientAuthenticationDisabled $true

C. Bloquea los protocolos heredados de forma global (ajustes a nivel de servicio)

Set-OrganizationConfig -OAuth2ClientProfileEnabled $true

D. Audita los usuarios que siguen usando autenticación heredada

Get-SignInLogs | where {$_.ClientAppUsed -in
@(«POP», «IMAP», «SMTP», «MAPI», «EWS»)}

💡 Nota: los registros de inicio de sesión requieren una licencia Microsoft Entra P1 o P2.

Método 4: con el Editor del Registro (deshabilitar la autenticación básica en Office 365)

📌 Caso de uso: este método es el más adecuado para bloquear la autenticación heredada en un único dispositivo.

A. Para aplicar la autenticación moderna en el cliente (por ejemplo, Outlook):

1. Pulsa Win + R, escribe regedit y pulsa Intro.
2. Ve a: HKEY_CURRENT_USER\Software\Microsoft\Exchange
3. Crea o actualiza: AlwaysUseMSOAuthForAutoDiscover (DWORD): 1
4. Comprueba también:
   HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity
   1. EnableADAL (DWORD): 1
   2. Version (DWORD): 1
5. Reinicia Outlook para aplicar los cambios.

Estos ajustes obligan al cliente a usar la autenticación moderna y evitan que vuelva a la autenticación básica.

⚠️ Advertencia: una configuración incorrecta del registro puede provocar inestabilidad en el sistema. Procede con cautela y haz una copia de seguridad del registro antes de hacer cualquier cambio.

Método 5: con el Símbolo del sistema (comprobación de estado y resolución de problemas)

📌 Caso de uso: estos comandos te permiten verificar el comportamiento de la autenticación heredada y comprobar el acceso a los protocolos durante la resolución de problemas. También resultan útiles para saber si los puertos heredados siguen activos.

A. Verifica el tipo de autenticación de Outlook (con Tasklist)

tasklist /m | findstr auth

B. Inicia la reparación de Office (puede forzar el cambio de autenticación basado en el registro):

control appwiz.cpl

C. Comprueba el acceso a los protocolos a nivel de red:

telnet outlook.office365.com 143

telnet smtp.office365.com 587

💡 Nota: el Símbolo del sistema no puede deshabilitar protocolos de autenticación por sí solo, pero sí te sirve para comprobar su estado.

Método 6: con directivas de grupo (aplicación en el cliente)

📌 Caso de uso: este método bloquea la autenticación básica y obliga a usar la autenticación moderna en todos los clientes de Office 365. Se recomienda a las organizaciones que usan Active Directory y necesitan aplicar directivas de forma homogénea en los clientes.

1. Abre la Consola de administración de directivas de grupo (GPMC).
2. Ve a: Configuración de usuario > Plantillas administrativas > Microsoft Outlook 2016 > Configuración de cuenta > Exchange.
3. Activa los siguientes ajustes:
   1. Habilitar la autenticación moderna.
   2. No permitir la autenticación básica.
   3. Deshabilitar el retorno a la autenticación básica en el modo caché de Exchange.
4. Despliega el GPO con Active Directory o con el motor de automatización de NinjaOne.
5. Fuerza la actualización de la directiva: gpupdate /force

Otros aspectos a tener en cuenta al deshabilitar la autenticación heredada en Microsoft 365

Estos son algunos puntos adicionales que debes considerar al deshabilitar la autenticación heredada en Office 365:

• Contraseñas de aplicación: si la autenticación multifactor (MFA) está activada, los clientes heredados todavía pueden usar contraseñas de aplicación. Sin embargo, este método de inicio de sesión también está obsoleto y conviene deshabilitarlo.
• Excepciones para SMTP AUTH: puedes usar PowerShell para permitir SMTP AUTH en cuentas de servicio concretas.
• Comunicación con los usuarios: antes de deshabilitar los protocolos de autenticación heredada, avisa a los usuarios con antelación para no interrumpir el flujo de correo.

⚠️ Aspectos que debes vigilar

Ten en cuenta estos posibles problemas al seguir nuestra guía:

Consejos para resolver problemas al deshabilitar la autenticación heredada

• Usuarios que se conectan por un protocolo heredado: si un usuario sigue conectándose con un protocolo heredado, consulta los registros de inicio de sesión de Exchange Online para identificar quién continúa usando métodos de autenticación obsoletos.
• Outlook pide la contraseña una y otra vez: comprueba que los ajustes del registro y del GPO obliguen a usar OAuth.
• SMTP AUTH falla en los remitentes automatizados: añade excepciones solo si es estrictamente necesario.
• Retrasos en la aplicación: algunos ajustes de Microsoft 365 pueden tardar hasta 24 horas en surtir efecto.

¿Por qué conviene bloquear la autenticación heredada?

Aunque la autenticación básica es fácil de implementar, tiene varias limitaciones de seguridad que la convierten en un blanco fácil para atacantes avanzados.

Por ejemplo, no admite funciones de seguridad modernas como la autenticación multifactor (MFA), una de las medidas más eficaces para evitar accesos no autorizados.

Tampoco cifra las credenciales durante la transmisión, de modo que pueden interceptarse y leerse con facilidad si no se envían a través de HTTPS.

Y lo más importante: carece de las funciones necesarias para limitar los niveles de permiso de acceso en las aplicaciones. Un único conjunto de credenciales puede abrir múltiples puntos de acceso a los datos.

Sin capas de seguridad adicionales, a un atacante le basta con un nombre de usuario y una contraseña válidos para robar datos e información esenciales.

Servicios de NinjaOne para reforzar los controles de autenticación

NinjaOne ofrece a los MSP y a los administradores de sistemas herramientas para simplificar la aplicación de directivas y reforzar los controles de autenticación en entornos distribuidos.

Usar NinjaOne junto con Microsoft 365 te da un enfoque totalmente automatizado, escalable y conforme a la normativa para deshabilitar la autenticación heredada sin perder productividad.

Reduce riesgos críticos deshabilitando los protocolos de autenticación heredada en Microsoft 365

En el panorama digital actual, con un nivel de riesgo tan alto, deshabilitar los protocolos de autenticación heredada ya no es una opción, sino una obligación. Es un paso esencial para reforzar la seguridad de tu organización.

A medida que las ciberamenazas sigan evolucionando, la necesidad de estrategias de autenticación seguras y preparadas para el futuro no dejará de crecer.

Deshabilitar protocolos heredados como la autenticación básica en Microsoft 365 es el primer paso para adoptar métodos de autenticación más sólidos y modernos. Y sienta las bases para construir políticas de ciberseguridad robustas.

Temas relacionados:

• ¿Qué es la autenticación moderna?
• ¿Qué es la gestión de credenciales? Definición y buenas prácticas
• Cómo comprobar que la autenticación moderna está activada en Office 365 con PowerShell
• Cómo configurar la autenticación multifactor (MFA) en Office 365
• Cómo hacer una copia de seguridad de Microsoft 365 Exchange Online