Cómo corregir el error ‘TLS handshake failed’ de Copilot en clientes antiguos

Si ve un error de “TLS Handshake Failed” al intentar usar Copilot en aplicaciones de Microsoft 365 en un cliente Windows antiguo, su conexión está siendo bloqueada antes de que Copilot pueda responder. Este error significa que el canal de comunicación seguro entre su dispositivo y los servidores de Microsoft no pudo establecerse. La causa raíz es casi siempre una versión de protocolo TLS desactualizada o un conjunto de cifrado faltante en el equipo cliente. Este artículo explica por qué ocurre el error y proporciona los pasos exactos para corregirlo en Windows 10 y Windows 11.

Por qué Copilot muestra TLS Handshake Failed en clientes antiguos

El protocolo de enlace TLS es una negociación criptográfica entre su cliente y el servicio de Microsoft 365. Copilot requiere TLS 1.2 o superior. Los clientes Windows antiguos, especialmente las versiones de Windows 10 anteriores a 1809 o las compilaciones de Windows 11 anteriores a 22H2, pueden tener TLS 1.2 deshabilitado por defecto o carecer de los conjuntos de cifrado necesarios, como TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384. Cuando el cliente ofrece solo TLS 1.0 o 1.1, o cuando presenta un conjunto de cifrado que los servidores de Microsoft ya no aceptan, el servidor termina el protocolo de enlace y devuelve el error TLS Handshake Failed.

Claves de registro de SCHANNEL

El componente SCHANNEL en Windows controla las versiones del protocolo TLS. Si las claves de registro para TLS 1.2 faltan o están establecidas en 0, el cliente no puede usar TLS 1.2. Copilot fallará porque la única versión común entre el cliente y el servidor no está disponible.

Discrepancia de conjuntos de cifrado

Incluso si TLS 1.2 está habilitado, el cliente puede no tener los conjuntos de cifrado específicos que Microsoft 365 requiere. Windows 10 versión 1607 y anteriores, por ejemplo, carecen de TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384. Sin este cifrado, el protocolo de enlace falla.

Pasos para habilitar TLS 1.2 y corregir el error de protocolo de enlace de Copilot

Siga estos pasos en orden. Cada paso aborda una causa específica de la falla del protocolo de enlace. No omita ningún paso a menos que ya haya verificado que TLS 1.2 está habilitado.

1. Verifique la versión actual de TLS en uso
   Abra un símbolo del sistema como administrador. Ejecute certutil -urlcache https://www.microsoft.com test.txt. Si el comando devuelve un error TLS, su cliente no está usando TLS 1.2. Consulte el registro de eventos de SCHANNEL para los ID de evento 36871 o 36874 para ver los protocolos ofrecidos.
2. Habilite TLS 1.2 mediante el Registro
   Abra el Editor del Registro. Navegue a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client. Si la ruta no existe, cree la clave manualmente. Establezca el valor DWORD DisabledByDefault a 0 y Enabled a 1. Repita para la subclave Server bajo TLS 1.2. Reinicie el equipo.
3. Instale la última actualización de Windows
   Vaya a Configuración > Actualización y seguridad > Windows Update e instale todas las actualizaciones pendientes. Para Windows 10 versiones 1809 y anteriores, es posible que necesite instalar la actualización KB4054519 o un paquete acumulativo mensual posterior que agregue los conjuntos de cifrado faltantes. Para Windows 11 versión 21H2, instale la actualización acumulativa de 2023-11 o una más reciente. Reinicie después de la instalación.
4. Agregue los conjuntos de cifrado faltantes mediante la Directiva de grupo
   Presione Win + R, escriba gpedit.msc y presione Enter. Navegue a Configuración del equipo > Plantillas administrativas > Red > Configuración de SSL. Haga doble clic en Orden de conjuntos de cifrado SSL. Establézcalo en Habilitado. En el cuadro Conjuntos de cifrado SSL, pegue la siguiente cadena de conjuntos de cifrado al principio: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384. Haga clic en Aceptar. Reinicie el equipo.
5. Pruebe la conexión
   Abra un navegador web y navegue a https://ssltools.microsoft.com. El sitio mostrará su versión de TLS y conjunto de cifrado. Si informa TLS 1.2 o superior y un conjunto de cifrado de la lista anterior, la corrección fue exitosa. Abra Copilot en Word o Teams y verifique que el error ya no aparezca.

Si Copilot aún muestra TLS Handshake Failed después de la corrección

Si el error persiste, verifique estas causas adicionales y sus correcciones.

Copilot falla en Windows 10 versión 1507 o 1511

Estas versiones no admiten TLS 1.2 en absoluto. Microsoft finalizó el soporte para estas compilaciones. Actualice a Windows 10 versión 1809 o posterior, o a Windows 11. Después de la actualización, habilite TLS 1.2 usando los pasos de registro anteriores.

Copilot falla solo en aplicaciones de Microsoft 365 pero funciona en Edge

Esto indica que las aplicaciones de Microsoft 365 están usando un contexto SCHANNEL diferente o un proxy que elimina TLS 1.2. Verifique su configuración de proxy o firewall. Asegúrese de que el proxy no fuerce TLS 1.0 en la conexión. En las aplicaciones de Microsoft 365, vaya a Archivo > Opciones > Centro de confianza > Configuración del Centro de confianza > Opciones de privacidad y habilite Permitir el uso de TLS 1.2 si la opción existe.

Copilot falla después de una actualización reciente de Windows

Algunas actualizaciones restablecen las claves de registro de SCHANNEL. Vuelva a aplicar los cambios de registro del Paso 2. También revise el registro de eventos para errores de SCHANNEL. Si la actualización eliminó conjuntos de cifrado, vuelva a aplicar el orden de conjuntos de cifrado de la Directiva de grupo del Paso 4.

TLS 1.2 vs TLS 1.3 para Copilot: diferencias clave

Elemento	TLS 1.2	TLS 1.3
Descripción	Versión mínima del protocolo requerida por Microsoft 365 para Copilot	Versión opcional del protocolo compatible con Windows 11 22H2 y versiones posteriores
Soporte de Windows	Windows 7 con KB, Windows 8.1, Windows 10, Windows 11	Windows 11 22H2 y posterior, Windows 10 20H2 con KB5014699
Compatibilidad con Copilot	Totalmente compatible	Compatible pero no requerido
Conjuntos de cifrado necesarios	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 o similar	Solo TLS_AES_256_GCM_SHA384
Método de configuración	Registro o Directiva de grupo	Habilitado por defecto en compilaciones compatibles

Después de completar los pasos anteriores, Copilot debería conectarse correctamente en su cliente antiguo. Si administra varios dispositivos, aplique los cambios de registro y Directiva de grupo mediante un script o una directiva de dominio para evitar que el error se repita. Pruebe la conexión con el sitio de herramientas SSL de Microsoft antes de implementar en producción.