En resumen
- Una cuenta de emergencia (“break-glass”) es una cuenta global de administrador de Microsoft 365 reservada para un único escenario: cuando las cuentas administrativas normales dejan de funcionar.
- Microsoft recomienda al menos dos, solo en la nube (dominio .onmicrosoft.com), no vinculadas a ninguna persona ni a ningún teléfono móvil, con autenticación mediante clave de seguridad física (FIDO2) o certificado.
- La autenticación multifactor obligatoria de Microsoft también se aplica a estas cuentas. Una cuenta de emergencia con solo contraseña ya no sirve.
- Cada uso debe generar una alerta, y las cuentas deben ser probadas al menos cada 90 días y siempre que cambie el equipo de IT.
En este artículo
- Cómo una empresa queda sin administrador
- Lo que recomienda Microsoft
- La autenticación multifactor también es obligatoria para estas cuentas.
- Quién guarda las llaves
- Lista de verificación: ¿Está listo?
- Un caso real: 50 cajas de correo, migración con control del lado del cliente
- Preguntas frecuentes
- Revisión de la administración de su Microsoft 365 en 5 días laborables
Contas de emergencia en Microsoft 365 son la clave de sustitución de la empresa. Si el único administrador queda bloqueado —porque perdió el teléfono móvil de autenticación, porque una regla de acceso mal configurada cerró la puerta a todos, o porque se fue de la empresa sin pasar las credenciales— es con estas cuentas que vuelve a entrar. Sin ellas, la recuperación depende de pedidos al soporte técnico de Microsoft y de pruebas de propiedad, mientras que el correo electrónico, Teams y los archivos quedan sin gestión.
Este artículo explica, en lenguaje de gestión, qué son, cuántas tener, dónde guardar las claves y quién debe tener acceso a ellas.
Cómo una empresa queda sin administrador
No se necesita un ataque. Los escenarios que más vemos son banales:
- El teléfono móvil de autenticación se perdió o fue cambiado y era el único método de segundo factor del único administrador.
- Una regla de acceso condicional (las reglas que dicen “solo se puede entrar desde Portugal” o “solo de computadoras de la empresa”) se activaron con un error y bloquearon a todo el mundo, incluyendo a quien las creó.
- El administrador se fue — un colaborador, o el antiguo proveedor de informática — y las credenciales salieron con él.
- La cuenta de administrador fue comprometida y el atacante cambió la contraseña y los métodos de autenticación.
En todos, la pregunta es la misma: ¿quién puede entrar ahora, sin depender de la cuenta que falló?
Lo que recomienda Microsoft
La documentación oficial de Microsoft sobre las cuentas de acceso de emergencia en Microsoft Entra (el sistema de identidades que está detrás de Microsoft 365) es clara. Resumimos las recomendaciones principales:
| Recomendación | En la práctica |
|---|---|
| Dos o más cuentas | Si una falla o se compromete, aún existe la otra. |
| Solo en la nube, en el dominio .onmicrosoft.com | No dependen del servidor local, de la sincronización de cuentas ni del dominio de la empresa. |
| No asociadas a una persona | Nada de “joao.admin”. Ni teléfono personal como segundo factor. |
| Autenticación sin contraseña y resistente a phishing | Clave de seguridad física (passkey FIDO2), recomendada por Microsoft, o certificado. Método diferente del utilizado por las cuentas normales de administración. |
| Excluidas de las reglas que bloquean el acceso | Para que un error en una regla de acceso condicional no las bloquee también. |
| Función de administrador global permanente | Activa de forma permanente, y no “elegible” mediante solicitud de activación. |
| Clasificados guardados en lugares seguros y separados | Por ejemplo, cofres en lugares diferentes, con acceso solo a personas autorizadas. |
| Alerta cada vez que se utiliza | Cada inicio de sesión genera una alerta crítica para quien debe saberlo. |
| Examinadas al menos cada 90 días | Y siempre que cambie el equipo de TI o la suscripción. |
La autenticación multifactor también es obligatoria para estas cuentas.
Durante años, muchas empresas guardaban la cuenta de emergencia con una sola contraseña larga en un sobre. Esto ha terminado. Microsoft comenzó a exigir autenticación multifactor para acceder a los portales de administración —en el centro de administración de Microsoft 365, a partir de febrero de 2025— y la documentación expresa explícitamente que las cuentas de emergencia también están incluidas, sin excepción.
Los métodos que Microsoft indica para cumplir este requisito en estas cuentas son la clave de seguridad física (FIDO2) o la autenticación por certificado. En la práctica, para una PYME, la solución más simple es tener dos claves físicas de emergencia, guardadas en lugares diferentes. Hemos explicado los diversos métodos en el artículo sobre MFA en la empresa.
Quién guarda las llaves
Esta es una decisión de administración, no técnica. Recomendamos una regla simple: las llaves de emergencia pertenecen a la empresa, no al proveedor de informática.
- Una llave en el cofre de la empresa, con acceso de la administración.
- Una segunda llave en otro lugar — otro despacho, el cajón de un administrador, o un cajón bancario.
- Registro escrito de quién tiene acceso, dónde se encuentran y cuándo fueron testeadas por última vez.
- Cualquier contraseña asociada en un gestor de contraseñas empresarial, en un área restringida a la administración.
El proveedor gestiona el día a día con las cuentas administrativas nominales, cada técnico con la suya propia. Las cuentas de emergencia son la garantía de que la empresa nunca queda presa de nadie —incluyendo a nosotros. También es una de las cláusulas que recomendamos verificar en cualquier contrato, como explicamos en el artículo sobre Cláusulas de salida y datos en un contrato informático.
Lista de verificación: ¿Está listo?
- ¿Hay al menos dos cuentas de emergencia en el dominio .onmicrosoft.com?
- ¿Ninguna está asociada a una persona o a un teléfono móvil personal?
- ¿Utilizan una clave de seguridad física o un certificado, y no un SMS o una aplicación en el teléfono móvil?
- ¿Están excluidas de las reglas de acceso condicional que bloquean las entradas?
- La administración sabe dónde están las llaves, ¿y están en lugares separados?
- ¿Una entrada en una de estas cuentas genera una alerta inmediata?
- ¿Han sido probados en los últimos 90 días?
- ¿Los técnicos utilizan cuentas de administración propias, y no compartidas?
Si responde “no” o “no sé” a dos o más preguntas, el riesgo es real. La mayoría de los fallos que encontramos en Seguridad del correo electrónico en Microsoft 365 Comienza precisamente en la administración.
Un caso real: 50 cajas de correo, migración con control del lado del cliente
Na Unión de las Freguesías de Massamá y Monte Abraão, En DataRoad, se migraron alrededor de 50 cajas de correo a Microsoft 365 (Exchange Online), con la transferencia completa del contenido, la reconfiguración de los puestos de trabajo y los teléfonos móviles y la validación después de la migración. En una entidad pública, la administración del entorno debe seguir perteneciendo a la entidad, independientemente de quién presta el servicio.
Es el modelo que recomendamos en los entornos de Microsoft 365 que gestionamos: cuentas administrativas nominales para el equipo técnico, cuentas de emergencia en poder del cliente y un registro claro de quién tiene acceso a qué.
Preguntas frecuentes
¿Cuántas cuentas de emergencia debe tener una empresa?
Microsoft recomienda dos o más. Con dos, si una falla o se compromete, la empresa sigue teniendo acceso.
¿Puedo usar el teléfono del administrador como segundo factor?
No se recomienda. Las cuentas de emergencia no deben estar asociadas a ninguna persona ni a ningún dispositivo personal. Microsoft recomienda la clave de seguridad física (FIDO2) o la autenticación por certificado.
¿La cuenta de emergencia solo puede tener una contraseña?
No. Microsoft exige autenticación multifactor en los portales de administración e indica que las cuentas de emergencia también están incluidas.
¿Quién debe guardar las llaves de las cuentas de emergencia?
La propia empresa, en dos lugares seguros y separados, con registro de quién tiene acceso. El proveedor de informática debe trabajar con cuentas administrativas propias y nominales.
Revisión de la administración de su Microsoft 365 en 5 días laborables
Examinamos las cuentas administrativas, las cuentas de emergencia, los métodos de autenticación y las reglas de acceso de su Microsoft 365, y entregamos la lista de correcciones con prioridad. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico. Conozca nuestra gestión de Microsoft 365 para empresas y los planes IT Unlimited.
Revisión de Microsoft 365 en 5 días hábiles
Asigne que su empresa nunca se quede fuera de su propia cuenta.
Fuentes
- Microsoft Learn — Gestionar las cuentas de administrador de acceso de emergencia (Microsoft Entra ID)
- Microsoft Learn — Autenticación multifactorial obligatoria para Azure y los portales de administración
![Logotipo de mun[it], agencia de marketing digital — cliente de DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
