--- title: "Cuentas break-glass en Microsoft 365 | DataRoad IT" description: "Sin administrador en Microsoft 365, el correo, Teams y los archivos quedan sin gestión. Cómo crear cuentas break-glass con llaves FIDO2. Sin compromiso." language: es url: https://www.dataroad-it.com/es/cuentas-break-glass-microsoft-365/ source: https://www.dataroad-it.com/es/cuentas-break-glass-microsoft-365/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Sin administrador en Microsoft 365, el correo, Teams y los archivos quedan sin gestión. Cómo crear cuentas break-glass con llaves FIDO2. Sin compromiso. # Cuentas break-glass en Microsoft 365: el seguro de la empresa En resumen Para directivos con poco tiempo. - 01 Cuentas break-glass: administradores globales de reserva para cuando falla el acceso. - 02 Mínimo dos, solo en la nube (.onmicrosoft.com), con llave FIDO2 o certificado. - 03 El MFA obligatorio de Microsoft las incluye: una contraseña en un sobre ya no basta. - 04 Las llaves, en la empresa y en dos lugares, con alerta a cada uso y prueba cada 90 días. ### En este artículo Si el único administrador de Microsoft 365 pierde el acceso, la empresa pierde el control del correo, de Teams y de los archivos, y la recuperación pasa a depender de solicitudes al soporte de Microsoft y de pruebas de propiedad. Las cuentas break-glass existen para que eso nunca ocurra. Son administradores globales de reserva, custodiados por la propia empresa, que solo se usan cuando todo lo demás ha fallado. Esta guía explica cuántas crear, cómo protegerlas y quién se queda con las llaves. ## ¿Qué situaciones dejan a una empresa sin administrador? Rara vez un ataque sofisticado. Casi siempre algo trivial: - **Segundo factor perdido** El móvil del único administrador se averió, se cambió o desapareció, y era el único método configurado. - **Acceso condicional mal activado** Una regla del tipo «solo desde Portugal» o «solo en equipos de la empresa» entró con un error y bloqueó a todos, incluido su autor. - **Salida sin traspaso** Un empleado o el proveedor anterior se fue y se llevó las credenciales. - **Cuenta tomada** Un atacante entró como administrador y cambió la contraseña y los métodos de autenticación. La pregunta siempre es la misma: ¿quién entra ahora sin necesitar la cuenta que ha caído? **Una imagen sencilla:** piense en el martillo de emergencia tras el cristal de un tren. Nadie lo usa en el día a día, todos saben dónde está y romper el cristal dispara una alarma. Cuando se usa, ha habido una emergencia, y queda registrado. ## ¿Cómo debe montarse una cuenta break-glass? Microsoft documenta el tema en Microsoft Entra, el servicio de identidades en el que se apoya Microsoft 365. Traducido a decisiones: - **Al menos dos** Si una queda inutilizable o comprometida, queda la otra. - **Solo en la nube, en .onmicrosoft.com** Independientes del servidor local, de la sincronización y del dominio propio. - **Sin dueño personal** Nada de cuentas con el nombre de un empleado ni de móviles personales como factor. - **Autenticación resistente al phishing, sin contraseña** Llave física FIDO2 (la opción que Microsoft prioriza) o certificado, distinta del método de las cuentas de administración habituales. - **Fuera de las reglas de bloqueo** Excluidas del acceso condicional, para que un error no las bloquee también. - **Administrador global permanente** Rol siempre activo, no «elegible» por solicitud de activación. - **Credenciales separadas físicamente** Cajas fuertes distintas, accesibles solo a personas autorizadas. - **Alarma en cada uso** Cualquier inicio de sesión dispara una alerta crítica para quien decide. - **Prueba trimestral** Como máximo cada 90 días y siempre que cambien el equipo de IT o la suscripción. ## ¿Sigue sirviendo una contraseña guardada en un sobre? No. Esa práctica terminó cuando Microsoft hizo obligatorio el MFA en los portales de administración, en el centro de administración de Microsoft 365 desde febrero de 2025. La documentación es explícita: las cuentas de emergencia no son una excepción. Para estas cuentas, Microsoft señala dos métodos: llave física FIDO2 o autenticación basada en certificados. En una pyme, lo más práctico son dos llaves físicas por cuenta, en lugares distintos. Comparamos los métodos disponibles en la guía de [autenticación multifactor para empresas](https://www.dataroad-it.com/es/mfa-autenticacion-multifactor-plan-14-dias/). ## ¿Quién debe quedarse con las llaves? La dirección de la empresa, nunca el proveedor de IT. Es una decisión de gestión, no técnica. - **Primera llave** En la caja fuerte de la empresa, al alcance de la dirección. - **Segunda llave** En otro lugar: otra oficina, la caja fuerte personal de un directivo o una caja de seguridad bancaria. - **Registro** Quién tiene acceso, dónde están y fecha de la última prueba, por escrito. - **Contraseñas asociadas** En un [gestor de contraseñas para empresas](https://www.dataroad-it.com/es/gestor-contrasenas-empresarial-boveda/), en un cofre reservado a la dirección. El socio de IT opera con cuentas de administración nominales, una por técnico. Las cuentas break-glass garantizan que la empresa nunca dependa de nadie, nosotros incluidos. Recomendamos confirmar este punto en cualquier contrato, como detallamos en [lo que debe decir un contrato de IT sobre la salida y los datos](https://www.dataroad-it.com/es/contrato-msp-clausulas-salida-datos/). ## ¿Mi empresa está protegida? Ocho preguntas - ¿Hay dos o más cuentas de emergencia en .onmicrosoft.com? - ¿Están libres de cualquier vínculo con personas o móviles personales? - ¿Se autentican con llave física o certificado, y no con SMS o app? - ¿Quedan fuera del acceso condicional que bloquea inicios de sesión? - ¿La dirección sabe dónde están las llaves, y están separadas? - ¿Un inicio de sesión en una de ellas dispara una alerta inmediata? - ¿La última prueba fue hace menos de 90 días? - ¿Cada técnico tiene su propia cuenta de administración, sin compartir? Dos o más «no» o «no lo sé» significan un riesgo concreto. Buena parte de los fallos que encontramos en la [protección del correo en Microsoft 365](https://www.dataroad-it.com/es/microsoft-365-fraudes-correo-filtros/) nace precisamente en la administración. ## ¿Cómo lo aplicamos en la práctica? En la [União das Freguesias de Massamá e Monte Abraão](https://www.dataroad-it.com/es/massama-migracion-exchange-online-correo/), DataRoad llevó unos 50 buzones a Exchange Online, con todo el contenido transferido, puestos y móviles reconfigurados y validación final. En una entidad pública, la administración del entorno tiene que seguir siendo de la entidad, sea cual sea el proveedor. Es el estándar en todos los entornos Microsoft 365 que gestionamos: cuentas nominales para los técnicos, cuentas de emergencia en manos del cliente y un registro inequívoco de accesos. ## Preguntas de quien decide ### ¿Cuántas cuentas break-glass necesita una empresa? Al menos dos, según Microsoft. Así, si una falla o se ve comprometida, la empresa conserva el acceso. ### ¿El móvil del administrador puede servir de segundo factor? No debería. Estas cuentas no pueden depender de personas ni de equipos personales; Microsoft indica llave FIDO2 o certificado. ### ¿Basta con proteger la cuenta de emergencia con una contraseña? No. El MFA es obligatorio en los portales de administración de Microsoft y las cuentas de emergencia también están sujetas a él. ### ¿Dónde deben guardarse las llaves de emergencia? En la empresa, en dos lugares seguros y distintos, con registro de accesos. El socio de IT usa cuentas propias y nominales. ## ¿Quiere revisar la administración de su Microsoft 365 en 5 días laborables? Auditamos las cuentas de administración y de emergencia, los métodos de autenticación y las reglas de acceso, y le entregamos las correcciones ordenadas por prioridad, sin compromiso. Vea nuestra [gestión de Microsoft 365](https://www.dataroad-it.com/es/microsoft-365-empresas-gestion/) y los planes de servicios gestionados [IT Unlimited](https://www.dataroad-it.com/es/soporte-informatico-ilimitado-empresas/). **Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.** +351 211 459 950 * · sales@dataroad.pt **Llamada a la red fija portuguesa.* ## Fuentes - [Microsoft Learn: cuentas de acceso de emergencia en Entra ID](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access) - [Microsoft Learn: MFA obligatorio en los portales de administración](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mandatory-multifactor-authentication) Elegida por empresas reconocidas e internacionales ★★★★★ 5,0 · 52 reseñas en Google ★★★★★ 5,0 · 52 reseñas en Google DataRoad ## Artículos relacionados [IT gestionado y ciberseguridadEquipos de viaje: portátiles, móviles y Wi-Fi público segurosEl riesgo real de un viaje es el portátil perdido sin cifrar, no el Wi-Fi del hotel. Con disco cifrado, gestión central, MFA y conexión cont…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/ciberseguridad-equipos-viaje-portatiles-wifi-publico/)[IT gestionado y ciberseguridadSuperficie de ataque externa: lo que internet ve de su empresaLos ataques automáticos buscan versiones vulnerables y el tamaño de la empresa no importa. En 2025, el CERT.PT registró 3.864 incidentes, un…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/superficie-ataque-externa-ciberseguridad/)[IT gestionado y ciberseguridadNOC y ciberseguridad gestionada: quién vigila su pyme, y cuándoLa cuestión no es tener un SOC: es saber quién recibe la alerta a las 22 h de un sábado y qué hace después. En DataRoad, noches, fines de se…12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/noc-ciberseguridad-gestionada-pymes/)[IT gestionado y ciberseguridadSeguridad de Microsoft 365: los 10 controles de la empresaEn Microsoft 365, la plataforma es de Microsoft y las llaves son suyas. Según Microsoft, el MFA y el bloqueo de la autenticación antigua fre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/microsoft-365-responsabilidad-compartida-seguridad/)[IT gestionado y ciberseguridadRGPD y ciberseguridad gestionada: 10 controles técnicos claveSin medidas técnicas documentadas, una brecha de datos pasa de incidente de IT a problema con la autoridad de control. Diez controles en tre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/rgpd-medidas-tecnicas-infraestructura-it/)[IT gestionado y ciberseguridadContraseñas expuestas: auditar el dominio y actuar en 5 díasEl riesgo no es que el email aparezca en una filtración: es que la misma contraseña abra una cuenta de trabajo. Cambiar lo expuesto, MFA en …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/credenciales-filtradas-verificar-dominio-empresa/)[IT gestionado y ciberseguridadInventario de activos: la base de la gestión del parque y de NIS2Sin inventario de activos no hay renovación planificada, seguridad demostrable ni respuesta al CNCS. Las entidades NIS2 deben enviar la list…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/inventario-activos-parque-informatico-nis2/)[IT gestionado y ciberseguridadWindows 365 en la empresa: cuándo el PC en la nube reduce costesEl PC en la nube compensa en consultores, temporeros, equipos sin oficina y parques mixtos Mac y Windows. Para vídeo, CAD o internet débil, …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/windows-365-empresas-pc-nube-costes/)[IT gestionado y ciberseguridadBackup gestionado: la prueba de restauración de 30 minutosUna copia nunca restaurada es un riesgo aplazado. En 30 minutos, un documento antiguo, un correo borrado y un servidor arrancado en aislamie…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/backup-gestionado-prueba-restauracion/) Cifras que puede verificar **11** años en el mercado **232** clientes **< 10 min** tiempo medio de respuesta **15+** Certificaciones IT de fabricantes **10+** Países con clientes atendidos **5,0 ★** 52 reseñas en Google Transparencia ## Lo que muchos proveedores no muestran, nosotros lo publicamos. [Ver planes y precios →](https://www.dataroad-it.com/it-unlimited/) - **Precios a la vista** Essential desde 395 €/mes + IVA, Premium desde 750 € y Premium 365 desde 1.200 €. - **Sin permanencia** Contrato anual, sin permanencia y sin costes de alta. - **Todo por escrito** Qué incluye, el alcance y el precio, antes de firmar. - **Soporte sin horas contadas** Remoto y telefónico en todos los planes; presencial desde Premium. Partners y certificaciones DataRoad · Ciberseguridad gestionada ## One StepAhead of IT. La seguridad se demuestra con años, no con promesas. Firewalls gestionados, MFA, protección de equipos y copias probadas, igual en todos los clientes. - **Top 5%** pymes · scoring.pt - **11** años en el mercado, desde 2015 - **232** empresas protegidas We do **IT** right. DataRoad IT Unlimited ## ¿Cuánto costaría a su empresa un día sin sistemas? Solicite una evaluación de riesgo sin compromiso. [Solicitar propuesta sin compromiso →](https://www.dataroad-it.com/es/#contact)+351 211 459 950 **Llamada a la red fija nacional portuguesa · Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico[¿No sabe qué necesita? Hable con el asistente →](https://www.dataroad-it.com/es/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/es/cuentas-break-glass-microsoft-365/