La guía definitiva de la autenticación sin contraseña en Microsoft 365

By Mirko Peters · 2026-08-27

¡Bienvenidos de nuevo, oyentes y lectores! Si escuchaste nuestro último episodio del podcast, sabrás que profundizamos en uno de los temas de ciberseguridad más urgentes de nuestro tiempo: la eliminación de la contraseña tradicional. En esta entrada de blog complementaria, ampliamos esa conversación y nos remangamos para ofrecerte un plan completo y muy práctico para dejar atrás las contraseñas en

Automatically translated with AI from the original post. Read the English original

¡Bienvenidos de nuevo, oyentes y lectores! Si escuchaste nuestro último episodio del podcast, sabrás que profundizamos en uno de los temas de ciberseguridad más urgentes de nuestro tiempo: la eliminación de la contraseña tradicional. En esta entrada de blog complementaria, ampliamos esa conversación y nos remangamos para ofrecerte un plan completo y muy práctico para dejar atrás las contraseñas en toda tu organización, utilizando las potentes herramientas de seguridad modernas que ya incluye Microsoft 365.

Enfrentémoslo: las contraseñas están fundamentalmente rotas. Año tras año, las filtraciones de datos confirman que las credenciales robadas, débiles o reutilizadas siguen siendo el principal vector de los ciberataques. Las campañas de phishing se han vuelto tan sofisticadas que incluso los empleados más conscientes de la seguridad caen en ellas de vez en cuando. Bienvenida, era del Zero Trust. En una arquitectura Zero Trust, operamos bajo el principio de «nunca confiar, siempre verificar». Simplemente no se puede alcanzar una postura Zero Trust real si se depende de una cadena secreta de caracteres que los usuarios escriben en notas adhesivas, reutilizan en distintos sitios web o entregan fácilmente a un atacante astuto en una página de inicio de sesión falsificada.

Afortunadamente, Microsoft 365 ofrece un sólido conjunto de métodos de autenticación sin contraseña. Al pasar tu organización a un modelo sin contraseñas, reduces drásticamente la superficie de ataque, eliminas el robo de credenciales y, paradójicamente, mejoras la experiencia de usuario. Se acabaron los restablecimientos de contraseña que consumen el tiempo de tu servicio de asistencia y los empleados frustrados bloqueados en sus cuentas los lunes por la mañana. Exploremos el conjunto de herramientas y veamos cómo implementar una empresa sin contraseñas sin fricciones.

Descripción del conjunto de herramientas sin contraseña en Microsoft 365

Antes de entrar en las estrategias de implementación, repasemos las armas de nuestro arsenal. Microsoft Azure Active Directory (ahora conocido como Microsoft Entra ID) admite varios mecanismos principales de autenticación sin contraseña. Cada uno se adapta a un perfil de usuario, una postura de dispositivo y un caso de uso empresarial ligeramente distintos.

En primer lugar, tenemos Windows Hello para la empresa. Es el estándar de oro para los equipos Windows corporativos dedicados. Sustituye las contraseñas por una autenticación fuerte de dos factores que consiste en una credencial específica del dispositivo vinculada a un dato biométrico (como una huella dactilar o el reconocimiento facial) o a un PIN. La clave privada nunca abandona el hardware del dispositivo, por lo que es inmune a las filtraciones en el lado del servidor.

En segundo lugar, tenemos las claves de seguridad FIDO2 y las passkeys. Se trata de tokens basados en hardware (como una YubiKey) o passkeys basadas en la plataforma que utilizan estándares abiertos desarrollados por la FIDO Alliance. Son resistentes al phishing por diseño, ya que el mecanismo criptográfico de desafío-respuesta garantiza que una credencial solo puede usarse en el dominio exacto para el que se registró. Si un usuario llega a un sitio de phishing, la clave se niega a firmar.

En tercer lugar, tenemos la aplicación Microsoft Authenticator. Para las organizaciones con trabajadores que priorizan el móvil, escenarios BYOD (traiga su propio dispositivo) o entornos híbridos, la coincidencia de números mediante la aplicación Authenticator ofrece una experiencia de notificación push sin fricciones que obliga a los usuarios a verificar su identidad de forma segura y rápida.

Por último, tenemos el Pase de acceso temporal (TAP). Aunque no es un método de inicio de sesión para el día a día, TAP es el puente fundamental que permite incorporar nuevos usuarios, recuperar cuentas bloqueadas o aprovisionar nuevo hardware sin tener que emitir nunca una contraseña heredada temporal e insegura.

Implementación de Windows Hello para la empresa en los endpoints corporativos

Si tu organización depende en gran medida de dispositivos con Windows 10 y Windows 11, Windows Hello para la empresa (WHfB) debe ser el pilar fundamental de tu viaje hacia la autenticación sin contraseña. Desplegar WHfB exige una planificación cuidadosa en torno a las autoridades de certificación y a los modelos de confianza en la nube o de confianza en clave, pero la recompensa es enorme.

Al implementar WHfB, tienes dos modelos de implementación principales entre los que elegir: Cloud Trust y Hybrid Key Trust. Para las organizaciones modernas que priorizan la nube, el modelo Microsoft Entra Cloud Trust es un cambio de juego. Simplifica la arquitectura de implementación al eliminar la dependencia de la sincronización de la infraestructura de clave pública (PKI) con los controladores de dominio. En su lugar, la autenticación se realiza directamente en la nube, aprovechando las extensiones del protocolo Kerberos.

Para empezar, conviene configurar la directiva de Windows Hello para la empresa a través de Microsoft Intune. Ve a tus directivas de seguridad de puntos de conexión y asegúrate de que estén establecidos los requisitos de complejidad del PIN, de que los métodos biométricos estén habilitados y de que las funciones antisuplantación estén activadas siempre que el hardware del dispositivo lo admita. También deberías definir si los usuarios deben usar un módulo de seguridad de hardware (TPM 2.0 es obligatorio para una seguridad de nivel empresarial).

Durante la implementación, comunícate con claridad con tus usuarios finales. Explícales que su PIN de Windows está vinculado estrictamente a su portátil físico y que no puede ser interceptado por la red. Una vez que los usuarios inicien sesión en su equipo con reconocimiento facial o con un PIN rápido que desbloquea un enclave de hardware seguro, ya no querrán volver a escribir una contraseña alfanumérica compleja de 16 caracteres.

Uso de claves de seguridad FIDO2 y passkeys

Aunque Windows Hello para la empresa es excelente para los puntos de conexión Windows, ¿qué pasa con los usuarios de Mac, los desarrolladores de Linux, los equipos de uso compartido o los trabajadores que cambian entre varios dispositivos? Aquí es donde las claves de seguridad FIDO2 y las passkeys brillan con más fuerza.

Las claves FIDO2 representan la máxima expresión de la autenticación resistente al phishing. Como el protocolo de autenticación utiliza criptografía de clave pública, la credencial almacenada en la clave de seguridad no puede ser objeto de phishing, robada mediante un ataque de intermediario ni obtenida a partir de una filtración de una base de datos. Cuando un usuario conecta su llave de seguridad USB (o la acerca por NFC) y toca el sensor, se envía una aserción criptográfica a Microsoft Entra ID.

Para implementar las claves FIDO2 es necesario habilitar la función en la directiva de métodos de autenticación de Microsoft Entra. Puedes limitar esta directiva a grupos piloto específicos, por ejemplo, empezando por tus administradores de TI y el equipo directivo antes de extenderla a toda la organización. Es fundamental exigir los requisitos de registro, de modo que los usuarios registren sus llaves desde un entorno corporativo seguro o mediante un proceso de incorporación verificado.

Además, conviene estudiar las passkeys de plataforma integradas en sistemas operativos como iOS, Android y macOS. Permiten que los usuarios utilicen los sensores biométricos integrados de su teléfono (Face ID, Touch ID o la biometría de Android) para iniciar sesión de forma segura en los servicios de Microsoft 365 desde distintos navegadores y dispositivos. Así se cierra la brecha entre los tokens de hardware y la comodidad del día a día.

Acceso móvil prioritario con Microsoft Authenticator

No todos los trabajadores de tu organización están sentados frente a un escritorio con un portátil asignado o una clave de seguridad de hardware. Los trabajadores de primera línea, los técnicos de campo y el personal contratado suelen trabajar en entornos centrados en el móvil. Para estos usuarios, la aplicación Microsoft Authenticator es el mejor vehículo para el acceso sin contraseña.

Para pasar Microsoft Authenticator a un estado sin contraseña, debes configurar el inicio de sesión con teléfono. Cuando el inicio de sesión con teléfono está habilitado, el usuario introduce su nombre de usuario y, en lugar de pedirle una contraseña, se envía una notificación a su dispositivo móvil. La aplicación Authenticator pide al usuario que introduzca el número coincidente que aparece en la pantalla de inicio de sesión, seguido de una confirmación biométrica (Face ID, huella dactilar o PIN).

Esta implementación elimina por completo el riesgo de los ataques por fatiga de notificaciones push, en los que los atacantes bombardean al usuario con notificaciones hasta que aprueba una por error. Al exigir la coincidencia de números, el usuario *debe* mirar la pantalla de inicio de sesión, leer el número e introducirlo en su teléfono. Si no está intentando iniciar sesión, simplemente pulsa «No soy yo», lo que puede activar directivas de riesgo automatizadas en Microsoft Entra ID para bloquear al atacante y marcar la cuenta.

Al implementar Microsoft Authenticator para el acceso sin contraseña, asegúrate de que se apliquen las directivas de seguridad a nivel de dispositivo. Debes exigir el bloqueo de la aplicación dentro de Authenticator y garantizar que el dispositivo móvil esté administrado mediante Microsoft Intune o protegido por directivas de acceso condicional que exijan versiones del sistema operativo conformes.

Gestión del onboarding y la recuperación con Temporary Access Pass (TAP)

Una de las dudas más habituales de las organizaciones al plantearse una estrategia sin contraseñas es el dilema del "huevo o la gallina" en el proceso de incorporación. ¿Cómo autenticas a un empleado recién incorporado que todavía no tiene una clave de seguridad, un teléfono registrado ni un PIN de Windows Hello? Tradicionalmente, las organizaciones entregaban una contraseña inicial temporal y fácil de adivinar. Pero eso crea una ventana vulnerable justo al principio del ciclo de vida del empleado.

Aquí entra el Temporary Access Pass (TAP). Un TAP es un método de autenticación basado en códigos de acceso y con tiempo limitado que puedes configurar en Microsoft Entra ID para que los usuarios registren sus métodos de autenticación sin contraseña. Un TAP solo se puede usar una vez (o varias, si se configura para escenarios de migración específicos), tiene una duración estricta que va de minutos a horas y puede ser generado de forma segura por un administrador o por el servicio de asistencia técnica.

Veamos un escenario real de incorporación con TAP:

• Recursos Humanos activa un flujo de trabajo para nuevas incorporaciones, y TI aprovisiona la cuenta de usuario en Microsoft Entra ID.
• Un administrador genera un Temporary Access Pass con una caducidad de 1 hora y lo comunica de forma segura al nuevo empleado a través de un canal fuera de banda (como un mensaje de texto seguro o un portal de incorporación cifrado).
• El nuevo empleado inicia sesión en su nuevo portátil o navegador usando *solo* el TAP.
• Como el TAP cumple los requisitos de autenticación fuerte, al usuario se le pide de inmediato que registre sus credenciales permanentes sin contraseña, como configurar Windows Hello for Business, inscribir una clave FIDO2 o registrar la aplicación Microsoft Authenticator.
• Una vez registradas, el TAP caduca y el usuario queda totalmente sin contraseña desde el primer día.

El TAP es igual de revolucionario para la recuperación de cuentas. Si un empleado pierde su clave de seguridad o cambia de teléfono, el servicio de asistencia técnica no necesita emitir una contraseña de respaldo. Simplemente genera un TAP, lo que permite al usuario autenticarse de forma segura y configurar por sí mismo su dispositivo o token de sustitución.

Mejores prácticas para crear una estrategia integral sin contraseñas

Migrar a toda una empresa para dejar atrás las contraseñas no es cuestión de pulsar un interruptor; requiere un despliegue estratégico y por fases. Como comentamos en el podcast, la gestión del cambio y la aplicación de directivas son tan importantes como la propia tecnología. Estas son las mejores prácticas básicas para que tu camino hacia un entorno sin contraseñas sea un éxito rotundo.

1. Adopta un enfoque de despliegue por fases

No intentes un despliegue "big bang" sin contraseñas en toda la empresa en un solo fin de semana. Empieza por tus equipos de TI y de seguridad. Entienden la tecnología, pueden resolver casos límite y actúan como embajadores internos. A continuación, extiende el despliegue a la dirección y a las unidades de negocio con mayor afinidad tecnológica. Una vez resueltos los problemas operativos, amplía el despliegue a los trabajadores de oficina en general y, por último, aborda los entornos de primera línea o de fabricación especializados.

2. Aprovecha las directivas de Conditional Access con criterio

Las directivas sin contraseñas deben integrarse estrechamente con Microsoft Entra Conditional Access. Crea directivas que exijan métodos de autenticación resistentes al phishing para acceder a aplicaciones en la nube sensibles, mientras que, quizá, permitas temporalmente métodos heredados en aplicaciones de menor riesgo durante el periodo de transición. Usa controles de sesión para limitar la duración de las sesiones, forzando una nueva autenticación cuando aumenten las señales de riesgo.

3. Invierte a fondo en formación de usuarios y gestión del cambio

Los cambios tecnológicos fracasan cuando se deja a las personas fuera de la ecuación. Los usuarios están acostumbrados a las contraseñas; las llevan usando desde hace décadas. Tienes que explicar *por qué* haces este cambio. Presenta la autenticación sin contraseña no como una imposición de TI, sino como una medida de protección que les facilita la vida: se acabaron los olvidos de contraseñas complejas, las renovaciones forzosas trimestrales y los inicios de sesión relámpago.

4. Prevé alternativas de respaldo y casos límite

Anticipa siempre qué ocurre cuando algo sale mal. ¿Qué pasa si un usuario rompe su teléfono durante un viaje de negocios? ¿Y si una clave de seguridad física se cae en un charco? Establece flujos de trabajo claros y seguros que utilicen Temporary Access Passes y protocolos verificados de verificación de identidad en el servicio de asistencia técnica, para que los usuarios recuperen el acceso rápidamente sin comprometer la seguridad de la organización.

Al combinar Windows Hello para empresas, las llaves de seguridad FIDO2, Microsoft Authenticator y los Pases de acceso temporal, por fin puedes cerrar la etapa de las contraseñas, vulnerables y anticuadas. Las herramientas están listas, la arquitectura está probada y los beneficios de seguridad son innegables. Ha llegado el momento de dar el paso hacia un futuro de Confianza Cero real y sin contraseñas.

¡Gracias por leer! Asegúrate de suscribirte al podcast si aún no lo has hecho, comparte este artículo con tu equipo de seguridad y mantente atento a nuestro próximo episodio en profundidad, en el que abordaremos la caza avanzada de amenazas en Microsoft Defender.