Bucle de inicio de sesión en complementos web de Outlook con SSO: cómo restablecer la confianza

Cuando abre un complemento web de Outlook que usa inicio de sesión único, es posible que vea un mensaje de inicio de sesión que reaparece después de introducir sus credenciales. Esto crea un bucle de inicio de sesión infinito que le impide usar el complemento. La causa principal es una relación de confianza rota entre el complemento y la plataforma de identidad de Microsoft, a menudo provocada por un cambio en la configuración del inquilino o una caché de tokens expirada. Este artículo explica por qué ocurre el bucle y proporciona los pasos exactos para restablecer la confianza para que el complemento vuelva a funcionar con normalidad.

Por qué ocurre el bucle de inicio de sesión SSO en los complementos web de Outlook

Un complemento web de Outlook que usa inicio de sesión único solicita un token a Azure Active Directory sin pedir credenciales al usuario. El complemento y Azure AD establecen una relación de confianza a través de un ID de aplicación registrado y un secreto de cliente. Cuando esta confianza se rompe, el complemento no puede obtener un token válido de forma silenciosa. En su lugar, redirige al usuario a la página de inicio de sesión repetidamente.

La discrepancia de la caché de tokens

La causa más común es una discrepancia entre el token almacenado en caché en el navegador y el token esperado por Azure AD. Si el administrador del inquilino rota el secreto de cliente o cambia los permisos del registro de aplicaciones, el token en caché deja de ser válido. El complemento intenta actualizarlo, pero falla porque el secreto almacenado ya no coincide. El bucle de inicio de sesión comienza porque el complemento no puede completar el intercambio de tokens.

Consentimiento expirado o revocado

El consentimiento del administrador para el complemento puede expirar o revocarse. Cuando falta el consentimiento, Azure AD trata cada solicitud de token como un nuevo intento de autenticación. El complemento redirige a la página de consentimiento y, después de que el usuario aprueba, la redirección vuelve al complemento, lo que desencadena otra solicitud de token y otro mensaje de consentimiento. Esto crea un bucle que nunca llega al contenido del complemento.

Corrupción de la caché del navegador o del complemento

El navegador almacena el estado SSO en cookies y almacenamiento local. Si estos se corrompen o quedan obsoletos, el complemento lee información de estado incorrecta e inicia un nuevo flujo de inicio de sesión. Cada intento de inicio de sesión produce una nueva cookie de estado que entra en conflicto con la anterior, lo que provoca el bucle.

Pasos para restablecer la confianza SSO de un complemento web de Outlook

Siga estos pasos en orden. Cada paso borra una capa específica de la confianza rota. Pruebe el complemento después de cada paso para ver si el bucle se detiene.

Paso 1: Borrar las cookies del navegador para el dominio de Outlook

1. Abrir las herramientas de desarrollo del navegador
   Presione F12 en Chrome, Edge o Firefox. Cambie a la pestaña Application en Chrome o Edge, o a la pestaña Storage en Firefox.
2. Seleccionar Cookies
   En el panel izquierdo, expanda Cookies y seleccione el dominio de Outlook en la web, normalmente outlook.office365.com o outlook.office.com.
3. Eliminar las cookies relacionadas con SSO
   Busque cookies con los nombres EstsAuthState, SignInState, ESTSAUTHPERSISTENT y ESTSAUTHLIGHT. Haga clic con el botón derecho en cada cookie y seleccione Delete. No elimine todas las cookies, solo estas cookies SSO.
4. Actualizar la pestaña de Outlook
   Cierre las herramientas de desarrollo y actualice la pestaña del navegador. Abra el complemento de nuevo. Si el bucle se detiene, no se necesitan más pasos.

Paso 2: Quitar y volver a agregar el complemento en Outlook en la web

1. Abrir la administración de complementos
   En Outlook en la web, seleccione el icono de engranaje en la esquina superior derecha y elija Manage add-ins en el menú.
2. Buscar el complemento afectado
   Desplácese por la lista de complementos instalados. Haga clic en los tres puntos junto al nombre del complemento y seleccione Remove.
3. Confirmar la eliminación
   En el cuadro de diálogo de confirmación, seleccione Remove de nuevo. El complemento desaparece de la lista.
4. Volver a agregar el complemento
   Haga clic en Add add-in en la esquina superior izquierda. Busque el complemento por nombre o explore la tienda. Selecciónelo y haga clic en Add. Espere a que se complete la instalación.
5. Probar el complemento
   Abra un mensaje de correo nuevo o existente. Haga clic en el icono del complemento en la cinta de opciones. Si el bucle de inicio de sesión vuelve, continúe con el Paso 3.

Paso 3: Volver a crear el secreto de cliente en Azure AD

1. Abrir el centro de administración de Azure Active Directory
   Vaya a https://aad.portal.azure.com e inicie sesión como Administrador global o Administrador de aplicaciones.
2. Navegar a Registros de aplicaciones
   En la navegación izquierda, seleccione App registrations. Busque el registro de aplicación que corresponde al complemento de Outlook. El nombre de la aplicación suele ser el mismo que el nombre del complemento o el nombre del publicador del complemento.
3. Abrir Certificados y secretos
   Seleccione el registro de aplicación. En el menú izquierdo de la página del registro de aplicación, seleccione Certificates & secrets.
4. Eliminar el secreto de cliente antiguo
   En Client secrets, localice el secreto que usa el complemento. Haga clic en el icono de papelera y confirme la eliminación. Anote la fecha de expiración del secreto que va a eliminar.
5. Crear un nuevo secreto de cliente
   Haga clic en New client secret. Introduzca una descripción, por ejemplo, Secreto SSO del complemento de Outlook. Establezca la expiración en 180 días o 365 días según la política de su organización. Haga clic en Add. Copie el valor del secreto inmediatamente. No podrá recuperarlo después de salir de esta página.
6. Actualizar el manifiesto o la configuración del complemento
   Si el complemento es un complemento personalizado, actualice su archivo de configuración o script de implementación con el nuevo secreto. Para los complementos de AppSource, póngase en contacto con el soporte del proveedor para actualizar el secreto. Después de actualizar el secreto, repita el Paso 2 para quitar y volver a agregar el complemento.

Paso 4: Volver a otorgar el consentimiento de administrador para el complemento

1. Ir a Aplicaciones empresariales
   En el centro de administración de Azure AD, seleccione Enterprise applications. Busque el registro de aplicación del complemento.
2. Abrir Permisos
   Seleccione la aplicación. En el menú izquierdo, seleccione Permissions. Revise la lista de permisos delegados y de aplicación.
3. Conceder consentimiento de administrador
   Haga clic en Grant admin consent for your organization. Inicie sesión como Administrador global. Acepte los permisos. Espere el mensaje de confirmación.
4. Probar el complemento de nuevo
   Vuelva a Outlook en la web, abra el complemento y confirme que el bucle de inicio de sesión ha desaparecido.

Si el complemento sigue en bucle después de la corrección principal

El complemento funciona en otro navegador pero no en el actual

Esto indica un problema local del navegador en lugar de un problema del inquilino o del complemento. Borre toda la caché y las cookies del navegador para el dominio de Outlook, no solo las cookies SSO. En Chrome, vaya a Settings > Privacy and security > Clear browsing data. Seleccione Cookies and other site data y Cached images and files. Establezca el intervalo de tiempo en All time. Haga clic en Clear data. Pruebe el complemento de nuevo.

El complemento falla en un buzón compartido o delegado

Los tokens SSO están limitados al nombre principal de usuario. Cuando accede a un buzón compartido, el complemento puede solicitar un token para la identidad del buzón compartido en lugar de su identidad. El intercambio de tokens falla porque el complemento está registrado solo para su usuario. Use el complemento solo en su buzón principal. Para la compatibilidad con buzones compartidos, el proveedor del complemento debe registrar una aplicación independiente para escenarios de buzón compartido.

Varios usuarios informan del mismo bucle

Esto sugiere un problema en todo el inquilino. Es posible que el secreto de cliente haya expirado sin que el administrador lo haya notado. Compruebe la fecha de expiración del secreto de cliente en Azure AD. Si el secreto ha expirado, siga el Paso 3 para crear un nuevo secreto y actualizar el complemento. Verifique también que una política de acceso condicional no haya revocado el consentimiento de administrador. Revise los registros de inicio de sesión de Azure AD para la aplicación del complemento para ver el motivo del error.

Token SSO en caché vs token nuevo: diferencias clave

Elemento	Token SSO en caché	Token nuevo después de restablecer la confianza
Origen	Almacenado en cookies del navegador o almacenamiento local	Emitido por Azure AD después de una nueva solicitud de autenticación
Validez	Puede estar expirado o basado en un secreto de cliente antiguo	Válido para el secreto de cliente y el consentimiento actuales
Estado del consentimiento	Puede hacer referencia a un consentimiento de administrador revocado o expirado	Incluye el consentimiento de administrador actual para el complemento
Comportamiento en bucle	Provoca redirecciones repetidas al inicio de sesión de Azure AD	Permite la adquisición silenciosa de tokens sin mensajes al usuario

Borrar el token SSO en caché y restablecer la confianza obliga al complemento a solicitar un token nuevo a Azure AD. Este token nuevo usa el secreto de cliente y el consentimiento actuales, lo que rompe el bucle infinito. Después del restablecimiento, el complemento puede adquirir tokens de forma silenciosa y mostrar su contenido sin interrumpir su flujo de trabajo.