Entender el error AADSTS700082 y los errores de refresh token caducado en OAuth de Microsoft

By Mirko Peters · 2026-04-20

Cuando recibes el error AADSTS700082, Microsoft te está indicando que tu refresh token ha caducado, normalmente porque ha estado sin usarse durante demasiado tiempo. Esto ocurre a diario en el sistema OAuth de Microsoft y afecta a desarrolladores y usuarios que trabajan con todo, desde Azure AD hasta Microsoft 365 y Power Platform.

Automatically translated with AI from the original post. Read the English original

Cover: Stop OAuth Consent Attacks in Microsoft Entra ID

En resumen, un refresh token es lo que mantiene tu sesión activa sin que tengas que volver a iniciar sesión una y otra vez. Cuando caduca, la mayoría de las aplicaciones pierden la capacidad de obtener un nuevo access token, y el acceso se corta de golpe. El error AADSTS700082 es la forma en que la plataforma de identidad de Microsoft señala ese corte definitivo. Entender por qué ocurre y cómo se gestionan las sesiones OAuth es el primer paso para restaurar el acceso sin problemas y evitar dolores de cabeza más adelante.

Qué provoca el error AADSTS700082: refresh token caducado por inactividad

El código de error AADSTS700082 aparece cuando el sistema OAuth de Microsoft determina que tu refresh token ha quedado obsoleto, normalmente porque no se ha usado durante un tiempo. No se trata del access token habitual (que caduca mucho antes), sino del refresh token de mayor duración, diseñado para mantenerte autenticado en segundo plano.

En la plataforma de identidad de Microsoft, cada refresh token tiene una duración máxima y un tiempo de espera por inactividad. Si tu aplicación o usuario no utiliza el token para obtener un nuevo access token durante un periodo determinado (a menudo 90 días o menos, según las directivas), Microsoft lo marcará como caducado. Al intentar usar ese token, obtendrás el error AADSTS700082: "the refresh token has expired due to inactivity".

Esto puede ocurrir tanto con sesiones de navegador en aplicaciones de una sola página (SPA) como con aplicaciones nativas. La idea básica es esta: si no hay actividad, el token se trata como una membresía de gimnasio que no se usa. Pasado un tiempo, ya no puedes usar las instalaciones hasta que vuelvas a darte de alta. Los tiempos de espera de sesión, las reglas estrictas de inactividad o las renovaciones en segundo plano mal gestionadas suelen provocar este error y frustran tanto a los usuarios como a los equipos de TI que intentan mantener una autenticación fluida. Conocer la directiva de Microsoft te ayuda a identificar por qué se produce el error y a empezar a corregirlo.

Causas principales de la caducidad de tokens en la plataforma de identidad de Microsoft

Los refresh tokens caducados no aparecen por casualidad: la plataforma de identidad de Microsoft tiene varios desencadenantes claros integrados en el sistema. Entender qué está en juego te ayuda a determinar rápidamente si te enfrentas a un límite de directiva, a una marca de seguridad o a alguna acción del administrador.

Hay más de una cosa que puede interrumpir tu sesión. A veces es simplemente la inactividad, pero otras veces indica cambios más profundos, como un restablecimiento de contraseña, nuevos requisitos de MFA, una revocación iniciada por un administrador o cambios en las directivas de acceso condicional. Cada situación deja su propio rastro, que puede guiar la resolución de problemas y la respuesta.

En las siguientes secciones te explicaré con detalle las cinco causas principales de caducidad de tokens. Así tendrás claridad práctica tanto si desarrollas, das soporte a usuarios o proteges tu entorno. Tanto si solo quieres que las cosas sigan funcionando como si buscas una seguridad a prueba de fallos, conocer el "por qué" hace que la recuperación sea mucho más sencilla.

Caducidad por inactividad y directivas de duración fija para SPA

Caducidad por inactividad: si un refresh token no se usa durante un periodo determinado (normalmente 90 días, aunque puede ser menos con ciertas directivas), Microsoft lo marcará como caducado, independientemente de la duración total del token. Es el escenario clásico de "refresh token caducado por inactividad".
Duración absoluta del token: todo refresh token tiene también una vida útil máxima, que la actividad por sí sola no puede prolongar. Cuando se agota ese plazo, normalmente un año por defecto, el token deja de ser válido sin excepciones.
Reglas para SPA (aplicaciones de una sola página): en las SPA, las directivas de Microsoft suelen imponer duraciones de refresh token más estrictas y cortas, sobre todo por el mayor riesgo que supone el almacenamiento en el navegador. Las estrategias de renovación silenciosa no funcionan indefinidamente; tarde o temprano, los usuarios tendrán que volver a iniciar sesión.

Eventos de seguridad de credenciales y cambios en la cuenta que afectan a los tokens

Restablecimiento de contraseñas: Cuando un usuario cambia su contraseña, sobre todo en entornos híbridos o sincronizados, normalmente se invalidan todos los tokens de actualización vigentes por motivos de seguridad.
Registro o restablecimiento de MFA: Al agregar o restablecer métodos de autenticación multifactor se provoca la expiración de todos los tokens de actualización, lo que obliga a todos a volver a autenticarse.
Actividad de inicio de sesión sospechosa: Si Microsoft detecta inicios de sesión de riesgo en una cuenta, la seguridad puede hacer que los tokens caduquen automáticamente para limitar los daños de una posible brecha.
Cambios en el consentimiento de OAuth: Los cambios en el consentimiento de OAuth pueden dejar inmediatamente inservibles incluso los tokens de actualización legítimos. Consulta cómo aprovechan los ataques esta situación en OAuth Consent Attack Explained.
Deshabilitación o eliminación de la cuenta: Si la cuenta de Azure AD del usuario se deshabilita o se elimina, todos los tokens dejan de funcionar de inmediato: sin aviso y sin excepciones.

Revocación por parte del administrador y cambios de consentimiento iniciados por el usuario

Revocación del consentimiento de aplicaciones por parte del administrador: Cuando un administrador retira permisos concedidos o ejecuta una eliminación masiva de consentimientos, todos los tokens de actualización asociados a esas aplicaciones se marcan inmediatamente como no válidos. La próxima vez que cualquier usuario o servicio intente usarlos, recibirá el temido mensaje de token caducado.
Retirada del consentimiento por parte del usuario: Si un usuario revoca el acceso de una aplicación desde «Mis aplicaciones» o desde el portal de seguridad de su cuenta, todos los tokens emitidos para esa aplicación dejan de funcionar de inmediato: no se renovará nada hasta que se vuelva a conceder el consentimiento.
Gobernanza automatizada o prevención de fuga de datos: Los entornos empresariales pueden ejecutar tareas periódicas de gobernanza o reaccionar ante comportamientos sospechosos revocando a gran escala los consentimientos de las aplicaciones (sobre todo en Power Platform), lo que invalida sesiones de decenas o cientos de usuarios de una sola vez.
Aplicación de directivas de conectores: En entornos administrados de Power Platform, los cambios en las directivas de conectores o de datos pueden sacar los tokens de actualización de circulación, sobre todo si se aplican nuevos límites de cumplimiento o aislamiento durante la noche.

Efectos de las directivas de acceso condicional y de MFA en la validez de los tokens

Actualizaciones de directivas de acceso condicional: Cuando TI implementa una nueva regla de acceso condicional o modifica las existentes, es posible que se invaliden todos los tokens emitidos antes del cambio. Esto es especialmente habitual tras habilitar nuevos bloqueos geográficos o requisitos de cumplimiento de dispositivos.
Requisitos de MFA o autenticación progresiva: Si se incrementan los requisitos de MFA, los usuarios con tokens «antiguos» (anteriores a la actualización) suelen tener que volver a iniciar sesión en la siguiente renovación.
Implementación más amplia de directivas: La introducción masiva de directivas de acceso condicional más inclusivas o con límite de tiempo (como se comenta en Conditional Access Policy Trust Issues) provoca una caducidad generalizada de tokens en aras de la seguridad.
Cambios en el cumplimiento o la integridad del dispositivo: Si cambia el estado de cumplimiento de un dispositivo (por ejemplo, Intune lo marca como no conforme), los tokens de actualización usados en ese dispositivo se invalidan automáticamente.

Cómo solucionar el error de token de actualización caducado

Topar con el error AADSTS700082 puede parecer un callejón sin salida, pero no es definitivo. Resolver un token de actualización caducado, sobre todo en entornos empresariales de Microsoft, consiste en combinar un diagnóstico rápido con saber cuándo hay que volver a autenticarse desde cero.

Esta sección recoge tus opciones. A veces basta con limpiar o revisar los datos de la sesión para volver a la normalidad. Otras veces, el usuario o la propia aplicación tendrán que iniciar un nuevo flujo de OAuth y volver a conceder el consentimiento.

Vamos a desglosar los pasos exactos de diagnóstico para averiguar dónde falló todo, desde problemas en el almacenamiento local hasta cambios de directiva en toda la organización, y te alejaremos de trucos que pueden salir mal. Si administras usuarios o simplemente intentas integrar aplicaciones, encontrarás en las dos secciones siguientes una guía clara para una recuperación sin contratiempos.

Solución de problemas y correcciones para tokens de actualización caducados

Borra el almacenamiento local de tokens: Empieza por limpiar las cachés locales o el almacenamiento del navegador donde pueda seguir residiendo el token de actualización caducado. Así eliminas la posibilidad de que la aplicación reutilice un token que ya no es válido.
Revisa las directivas de duración de tokens: Comprueba la duración configurada de los tokens de actualización y los periodos de inactividad en Azure AD. Si son demasiado restrictivos, ajusta estas directivas (dentro de las pautas de seguridad) para ampliar la validez de los tokens futuros.
Comprueba si hay revocaciones por parte de un administrador o de seguridad: Revisa las acciones recientes de los administradores, como la eliminación de consentimientos, la baja de usuarios o los cambios en las directivas de toda la organización, que pudieran haber invalidado todos los tokens. Solo un nuevo consentimiento o una solución de TI restablecerá estas sesiones.
Detecta cambios de credenciales o de seguridad: Verifica que la contraseña del usuario no se haya cambiado y que la configuración de MFA no se haya actualizado, ya que cualquiera de estos cambios invalida al instante todos los tokens de actualización actuales.
Evita la sustitución manual de tokens: No intentes usar el token de otro usuario ni copiar tokens entre inquilinos. Rara vez resuelve el problema y puede acabar provocando alertas de seguridad de Microsoft.
Supervisa los problemas de inactividad: Configura comprobaciones de estado de los tokens en tus herramientas de automatización o supervisión para recibir alertas antes de que un gran número de tokens superen el umbral de caducidad por inactividad, sobre todo en entornos SaaS multiusuario o multiinquilino.

Reautorizar aplicaciones y restaurar los detalles de la sesión

Pide a los usuarios que se autentiquen de nuevo: Guía a los usuarios para que inicien sesión de forma interactiva. Esto activa el flujo OAuth completo, que emite tokens nuevos y restaura el acceso a los recursos protegidos.
Solicita la renovación del consentimiento: Si se revocó el consentimiento, los usuarios tendrán que volver a conceder los permisos. Para las aplicaciones de la organización puede ser necesario el consentimiento de administrador.
Restaura el estado de la sesión de forma controlada: Diseña tu aplicación para detectar con elegancia los tokens caducados y redirigir a los usuarios a la página de inicio de sesión con mensajes claros, evitando errores confusos del tipo "token caducado".
Valida el cumplimiento de las directivas: Antes de pedir una nueva autenticación, comprueba que se cumplen los requisitos de acceso condicional, de cumplimiento del dispositivo y de MFA para evitar bucles infinitos y frustración en el usuario.

Cómo prevenir futuros problemas de caducidad de tokens en entornos de Microsoft

Si estás cansado de perseguir tokens caducados, conviene que te adelantes. A nadie le gustan las interrupciones inesperadas provocadas por un token de actualización olvidado que caduca, sobre todo en un proyecto crítico de Microsoft 365, Azure o Power Platform.

Esta sección repasa las estrategias que te ayudan a anticiparte al problema, ya sea mediante herramientas de automatización de tokens de terceros, la creación de flujos de autenticación más inteligentes en tu código personalizado o la configuración de una supervisión que detecte los riesgos de sesión antes de que los usuarios reales los noten.

Gestionando tanto la parte técnica como la parte humana de OAuth, las organizaciones pueden protegerse de la pérdida de productividad y evitar llamadas urgentes al soporte. Las siguientes secciones detallan la integración sin intervención manual, las mejores prácticas más profundas para la autenticación de API y el valor de dejar que la automatización gestione lo que antes era un quebradero de cabeza a tiempo completo. Domina estos aspectos y tus aplicaciones, y también tus usuarios, te lo agradecerán.

Renovación automática de tokens con Nango y plataformas de integración para 2026

Ciclo de vida de tokens gestionado: Plataformas como Nango supervisan, renuevan y rotan automáticamente los tokens OAuth, eliminando la necesidad de lógica de reintentos personalizada o de gestión manual.
Alertas de errores y caducidad: Estas plataformas de integración suelen ofrecer alertas y paneles cuando un token de actualización está a punto de caducar, lo que te permite actuar antes de que se produzcan interrupciones.
Escalabilidad y seguridad: Usar una herramienta diseñada específicamente para la orquestación de tokens significa almacenamiento seguro, menor riesgo para los desarrolladores y una escalabilidad más sencilla en entornos SaaS multiinquilino o empresariales.
Preparación para el futuro: Las mejores plataformas siguen los cambios en el flujo de autenticación de Microsoft por ti, así que no te pillará desprevenido una actualización de directivas en 2026 o posterior.

Autenticación de API robusta: mejores prácticas avanzadas para el manejo de tokens

Implementa la renovación silenciosa de tokens: Siempre que sea posible, usa flujos de renovación en segundo plano («silenciosos») para que los usuarios casi nunca vean las pantallas de inicio de sesión, salvo que sea absolutamente necesario.
Centraliza el manejo de errores: Detecta e intercepta programáticamente los errores de caducidad de tokens, mostrando avisos útiles para volver a autenticarse en lugar de fallos silenciosos o mensajes crípticos.
Flujos de autenticación alternativos: Ofrece a los usuarios experiencias de reautenticación alternativas y con tu marca, especialmente en escenarios multi-inquilino o SaaS, para que la renovación del token nunca interrumpa su flujo de trabajo.
Supervisa y prueba la validez de los tokens: Integra comprobaciones periódicas del estado de los tokens tanto en tu pipeline de CI/CD como en tus paneles operativos para anticiparte a eventos de caducidad masiva.
Documenta y forma al equipo: Asegúrate de que los administradores de TI y los desarrolladores conocen el procedimiento. No conviertas OAuth en un secreto reservado a unos pocos. Las guías de usuario y los runbooks pueden salvarte cuando cambien las directivas o se actualicen los servicios.

Cómo encontrar ayuda y documentación sobre errores de OAuth en la comunidad de Microsoft

Solucionar errores de token no es algo que debas hacer en solitario. El ecosistema de Microsoft es enorme, pero si sabes dónde buscar, hay una gran cantidad de recursos (documentación oficial, foros de la comunidad y publicaciones actualizadas) listos para ayudarte a resolver AADSTS700082 y todo lo relacionado con OAuth.

Tanto si buscas la última novedad sobre directivas, un análisis en profundidad de un escenario o experiencias de profesionales que han resuelto exactamente el mismo problema de renovación de tokens, el soporte de la comunidad aporta un valor enorme. Los foros y los hilos destacados casi siempre muestran soluciones reales que quizá no encuentres solo en la documentación de Microsoft.

En las siguientes secciones descubrirás cómo aprovechar los mejores contenidos de soporte: explorar los hilos más activos, filtrar los anuncios nuevos y usar categorías o archivos para solucionar problemas de forma eficiente. Tanto si investigas para ti como si redactas un proceso para tu equipo, dominar estas fuentes te permitirá estar siempre al día con las mejores prácticas de autenticación.

Cómo navegar por foros, anuncios y contenido destacado de OAuth de Microsoft

Revisa los debates destacados: Los foros suelen marcar los hilos más populares o los problemas recientes marcados como "resueltos", ideales para encontrar soluciones actualizadas a los errores de caducidad de tokens, especialmente AADSTS700082.
Lee los anuncios oficiales: Las nuevas implantaciones de directivas de OAuth y los cambios en la duración de los tokens aparecen primero en las publicaciones fijadas de los foros y en las secciones de anuncios oficiales de Azure o Microsoft 365.
Usa la búsqueda por palabras clave con criterio: Busca con códigos de error precisos ("AADSTS700082 refresh token expired") y nombres de producto para llegar directamente a las publicaciones relacionadas con tu problema.
Interactúa con los expertos: Participa en los hilos para hacer preguntas de aclaración o dar seguimiento a soluciones parciales. Los MVP y los ingenieros de Microsoft suelen responder para ayudar a resolver escenarios complicados.

Cómo usar la tabla de contenido, las categorías y los enlaces para encontrar soporte técnico

Explora por categoría: Los sitios de soporte y documentación de Microsoft organizan el material de solución de problemas por producto (Azure AD, Power Platform) y por tipo de error, lo que facilita una búsqueda precisa.
Usa la tabla de contenido para navegar rápido: Localiza la tabla de contenido de una página de documentación (normalmente a la izquierda o en la parte superior) para ir directamente a los detalles sobre autenticación, sesiones o códigos de error.
Aprovecha los archivos y los enlaces meta: Las actualizaciones antiguas de directivas y las guías de solución de problemas en profundidad suelen archivarse. Búscalas para encontrar soluciones anteriores relevantes para tu entorno.
Guarda en marcadores los artículos de soporte clave: Ten a mano los enlaces directos a los documentos de errores de OAuth más útiles de Microsoft para responder rápidamente a las preguntas de tus compañeros o usuarios.
Mantente actualizado: Revisa periódicamente las notas del editor, los resúmenes meta y las publicaciones de tabla de contenido para no perderte ningún cambio importante en el ecosistema de identidad de Microsoft, en constante evolución.