MFA en Microsoft 365: activa los valores predeterminados de seguridad

2 de noviembre de 2026 · Rafael Medina González

La autenticación multifactor (MFA) en Microsoft 365 se puede activar sin coste adicional con los valores predeterminados de seguridad de Microsoft Entra ID. Con un solo interruptor se exige un segundo factor a los usuarios, se pide MFA a los administradores y se bloquean los protocolos de autenticación antiguos que permiten saltarse la MFA. Es la mejor primera medida para una pyme sin licencias premium.

¿Por qué una contraseña sola ya no basta?

Una contraseña robada o adivinada da acceso al correo, a los archivos y a los datos de clientes. Microsoft explica que los valores predeterminados de seguridad protegen frente a ataques de identidad habituales como la difusión de contraseñas, la reproducción y el phishing, y que la mayoría de esos ataques se frenan con MFA y con el bloqueo de la autenticación heredada.

Los atacantes no solo van a por los administradores. Según la documentación de Microsoft, suelen dirigirse a los usuarios finales: desde una cuenta comprometida pueden pedir acceso a información privilegiada, e incluso descargar el directorio para lanzar phishing contra el resto de la organización.

¿Qué activan exactamente los valores predeterminados de seguridad?

Son un conjunto de controles preconfigurados, disponibles para todos los inquilinos, también en el nivel gratuito de Entra ID. Según Microsoft Learn, incluyen:

Exigir que todos los usuarios se registren en la autenticación multifactor.
Exigir MFA a los administradores cada vez que inician sesión.
Pedir MFA a los usuarios cuando sea necesario, según factores como ubicación, dispositivo, rol y tarea.
Bloquear los protocolos de autenticación heredados.
Bloquear el flujo de código de dispositivo.
Proteger las actividades con privilegios, como el acceso al portal de Azure.

Desde el 29 de julio de 2024 ya no existe el período de gracia de 14 días para registrarse en MFA, así que tras activarlos cada usuario debe registrarse en su siguiente inicio de sesión.

¿Qué es la autenticación heredada y por qué se bloquea?

La autenticación heredada es la que usan clientes sin autenticación moderna (por ejemplo Office 2010) o protocolos de correo antiguos como IMAP, SMTP o POP3. Microsoft indica que no admite MFA: aunque tengas una política de MFA, un atacante puede autenticarse con un protocolo antiguo y esquivarla.

¿Cuándo ya están activados en mi organización?

Si tu inquilino se creó el 22 de octubre de 2019 o después, puede que ya los tengas habilitados. Microsoft también notifica la activación automática a organizaciones que no tienen políticas de acceso condicional, ni licencias premium, ni usan clientes de autenticación heredada. Comprueba el estado antes de nada:

Entra en el Centro de administración de Microsoft Entra como administrador de acceso condicional como mínimo.
Ve a Entra ID > Visión general > Propiedades.
Pulsa Administrar valores predeterminados de seguridad y mira si está en Habilitado.

¿Cómo se activan sin cortar el trabajo?

La respuesta corta: inventariando primero lo que usa autenticación antigua y avisando a la plantilla. Un orden razonable:

flowchart TD
  A["Inventariar apps y equipos"] --> B{"¿Usan IMAP, POP3 o Office antiguo?"}
  B -->|Sí| C["Migrar a autenticación moderna"]
  B -->|No| D["Avisar a los usuarios"]
  C --> D
  D --> E["Activar valores predeterminados"]
  E --> F["Comprobar registros de MFA"]

Antes de activar

Busca dispositivos y aplicaciones antiguos. Impresoras multifunción, escáneres o programas que envían correo con usuario y contraseña pueden dejar de funcionar. Microsoft documenta cómo configurar un dispositivo multifunción o una aplicación para enviar correo con Microsoft 365.
Revisa Exchange Online. Los inquilinos creados antes de 2017 tienen la autenticación moderna deshabilitada por defecto; Microsoft recomienda habilitarla para evitar bucles de inicio de sesión.
No desactives métodos de autenticación. Microsoft advierte de que deshabilitar los métodos de la organización con los valores predeterminados activos podría dejarte fuera de tu propio inquilino.
Prepara una cuenta de emergencia. Microsoft recomienda dos cuentas de acceso de emergencia solo en la nube con rol de administrador global, que no se asignen a personas concretas y se reserven para bloqueos accidentales.
Separa cuentas de administración y de uso diario. Reduce las veces que se pide MFA al administrador y limita el riesgo.

Durante la activación

Activa Valores predeterminados de seguridad y guarda.
Pide a los usuarios que se registren en myprofile.microsoft.com, en Información de seguridad.
Para que el registro sea obligatorio de inmediato, Microsoft indica que los administradores deben revocar los tokens existentes (cmdlet Revoke-MgUserSignInSession).
Verifica que todos los administradores han iniciado sesión y se han registrado.

Después de activar

Con los valores predeterminados, los usuarios se registran con la aplicación Microsoft Authenticator mediante notificaciones. La pantalla de aprobación muestra un número que hay que escribir en la aplicación, lo que ayuda a evitar los ataques de fatiga de MFA (aprobar por cansancio una notificación que no has pedido). También puedes usar otras aplicaciones OATH TOTP para generar códigos.

¿Qué métodos son más seguros?

No todos los segundos factores valen lo mismo. Microsoft señala que el MFA tradicional (SMS, correo de un solo uso o aplicaciones de autenticación) mejora mucho frente a la contraseña sola, pero es vulnerable a ataques de suplantación de identidad remota. Recomienda métodos resistentes al phishing, como:

Windows Hello para empresas.
Claves de acceso (FIDO2) y claves de seguridad FIDO2.
Claves de acceso en Microsoft Authenticator.
Autenticación basada en certificados.

Para una pyme, un buen camino es empezar con Microsoft Authenticator y migrar a claves de acceso en administradores y cargos con acceso a datos sensibles.

¿Y si necesito más control?

Los valores predeterminados son todo o nada: no admiten personalización. Si necesitas excepciones o reglas por grupo, ubicación o dispositivo, el acceso condicional exige como mínimo Microsoft Entra ID P1. Al pasar a él, Microsoft recomienda deshabilitar los valores predeterminados y activar de inmediato las directivas de acceso condicional administradas por Microsoft, que mantienen las mismas protecciones.

Checklist rápido

Comprobar si los valores predeterminados ya están activados.
Inventariar impresoras, escáneres y apps que usen IMAP, POP3 o SMTP con contraseña.
Habilitar la autenticación moderna en Exchange Online si el inquilino es antiguo.
Crear dos cuentas de emergencia solo en la nube y guardar sus credenciales fuera de línea.
Avisar a la plantilla y explicar cómo registrarse con Authenticator.
Activar, revocar sesiones y verificar que todos están registrados.
Plantear claves de acceso para administradores.

Si prefieres que alguien revise tu configuración de identidad antes de tocar nada, puedes pedir la auditoría gratuita.