En este artículo
Una cuenta de emergencia (break-glass) es una cuenta de administrador global de Microsoft 365 que solo existe para un momento: cuando las cuentas normales de administración dejan de funcionar. Móvil de autenticación perdido, regla de acceso mal configurada, administrador que se marchó con las credenciales: en cualquiera de estos casos, es por ahí por donde la empresa vuelve a entrar. Sin ella, la recuperación pasa por solicitudes al soporte de Microsoft y pruebas de propiedad, con el correo, Teams y los archivos sin gestión mientras tanto.
Resumen para la dirección
- Cantidad Al menos dos cuentas, según Microsoft.
- Naturaleza Solo en la nube (dominio .onmicrosoft.com), sin vínculo con personas ni con móviles.
- Autenticación Llave de seguridad física (FIDO2) o certificado; el MFA obligatorio de Microsoft también se aplica a estas cuentas.
- Control Alerta en cada uso y prueba al menos cada 90 días y siempre que cambie el equipo de IT.
Cuatro formas corrientes de perder el acceso
No hace falta un ataque. En los entornos que analizamos, los escenarios se repiten:
- Segundo factor único: el móvil del único administrador se ha perdido o se ha cambiado.
- Acceso condicional con error: una regla del tipo «solo desde Portugal» o «solo en ordenadores de la empresa» ha bloqueado a todo el mundo, incluido quien la creó.
- Salida del administrador: un empleado o el proveedor anterior se marchó y se llevó las credenciales.
- Cuenta comprometida: el atacante cambió la contraseña y los métodos de autenticación.
La pregunta es siempre la misma: ¿quién puede entrar ahora, sin depender de la cuenta que ha fallado? Piense en el martillo tras el cristal en un vagón de tren: nadie lo usa en el día a día, todos saben dónde está y romper el cristal hace saltar una alarma.
Las reglas de Microsoft, traducidas
La documentación de Microsoft sobre cuentas de acceso de emergencia en Microsoft Entra —el sistema de identidades de Microsoft 365— establece lo siguiente:
| Regla | Qué significa en la empresa |
|---|---|
| Dos o más cuentas | Si una falla o se ve comprometida, queda la otra. |
| Solo nube, dominio .onmicrosoft.com | Independientes del servidor local, de la sincronización y del dominio de la empresa. |
| Sin titular personal | Nada de «joao.admin» ni móvil personal como segundo factor. |
| Sin contraseña, resistente al phishing | Passkey FIDO2 (recomendada) o certificado, distinto del método de las cuentas normales. |
| Fuera de las reglas de bloqueo | Un error en el acceso condicional no les afecta. |
| Administrador global permanente | Siempre activo, no «apto» previa solicitud. |
| Credenciales en lugares separados | Cajas fuertes distintas, acceso solo para personas autorizadas. |
| Alerta por uso | Cada inicio de sesión genera una alerta crítica. |
| Prueba cada 90 días | Y siempre que cambie el equipo de IT o la suscripción. |
El fin de la cuenta con la contraseña en un sobre
Durante años, la cuenta de emergencia era una contraseña larga guardada en un sobre. Ya no sirve: Microsoft pasó a exigir MFA en los portales de administración —en el centro de administración de Microsoft 365 desde febrero de 2025— y la documentación dice expresamente que las cuentas de emergencia no son una excepción.
Los métodos indicados son la llave FIDO2 o el certificado. Para una pyme, lo más sencillo son dos llaves físicas por cuenta, en lugares distintos. Comparación de métodos: MFA en la empresa, método a método.
Las llaves pertenecen a la empresa, no al proveedor
Es una decisión de gestión. En la gestión de IT que hacemos, el proveedor trabaja con cuentas de administración nominales, una por técnico; las cuentas de emergencia quedan en manos del cliente. Así la empresa nunca queda a merced de nadie, ni siquiera de nosotros.
- Llave 1 En la caja fuerte de la empresa, accesible para la dirección.
- Llave 2 En otro lugar: otra oficina, la caja fuerte de un administrador o una caja de seguridad bancaria.
- Registro escrito Quién tiene acceso, dónde están, fecha de la última prueba.
- Contraseñas asociadas En un gestor de contraseñas empresarial, en un área restringida a la dirección.
Es también una cláusula que confirmar en cualquier contrato: salida del proveedor y devolución de datos y accesos.
DataRoad IT Unlimited
Hable con DataRoad. Evaluamos su operación y proponemos el plan adecuado.
Autodiagnóstico en ocho preguntas
- ¿Hay al menos dos cuentas de emergencia en .onmicrosoft.com?
- ¿Ninguna está vinculada a una persona o a un móvil personal?
- ¿Usan llave física o certificado, y no SMS o app?
- ¿Están excluidas de las reglas de acceso condicional que bloquean?
- ¿Sabe la dirección dónde están las llaves, en lugares separados?
- ¿Cada acceso genera una alerta inmediata?
- ¿Se han probado en los últimos 90 días?
- ¿Cada técnico usa una cuenta de administración propia?
Dos o más «no» o «no lo sé» significan un riesgo real. Gran parte de los fallos que encontramos en la seguridad del correo de Microsoft 365 empiezan en la administración.
Ejemplo: 50 buzones en una entidad pública
En la União das Freguesias de Massamá e Monte Abraão, DataRoad migró unos 50 buzones a Exchange Online, con transferencia íntegra del contenido, reconfiguración de puestos y móviles y validación final. En una entidad pública, la administración del entorno debe seguir perteneciendo a la entidad, sea quien sea el proveedor. Es el modelo que aplicamos: cuentas nominales para los técnicos, cuentas de emergencia en poder del cliente y un registro claro de accesos.
Preguntas frecuentes
¿Cuántas cuentas de emergencia hacen falta?
Dos o más, según Microsoft, para que el fallo de una no deje a la empresa fuera.
¿Sirve el móvil del administrador como segundo factor?
No es recomendable. Estas cuentas no deben depender de personas ni de dispositivos personales; use FIDO2 o certificado.
¿Puedo mantener la cuenta solo con contraseña?
No. El MFA es obligatorio en los portales de administración y abarca las cuentas de emergencia.
¿Quién guarda las llaves?
La empresa, en dos lugares seguros y separados, con registro de accesos. El proveedor de IT trabaja con cuentas propias y nominales.
Fuentes
Siguiente paso: revisión de la administración en 5 días laborables
Analizamos las cuentas de administración, las cuentas de emergencia, los métodos de autenticación y las reglas de acceso, y entregamos las correcciones por prioridad, en una propuesta sin compromiso. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Más información sobre Microsoft 365 gestionado y los planes IT Unlimited.
