La contraseña de aplicación de Outlook falla con la autenticación moderna: solución

Está intentando agregar una cuenta de Outlook a un dispositivo o aplicación que no admite la autenticación moderna, pero la contraseña de aplicación que generó no logra conectarse. Este problema ocurre porque Microsoft ha deshabilitado las contraseñas de aplicación para los inquilinos que usan autenticación moderna, aunque algunas aplicaciones heredadas aún las requieren. Este artículo explica por qué las contraseñas de aplicación dejan de funcionar con la autenticación moderna y proporciona los pasos correctos para solucionar la conexión.

Por qué las contraseñas de aplicación dejan de funcionar cuando la autenticación moderna está habilitada

Las contraseñas de aplicación son un método de autenticación heredado diseñado para aplicaciones y dispositivos que no admiten protocolos de autenticación moderna como OAuth 2.0. Cuando una organización habilita la autenticación moderna para Exchange Online, Microsoft desactiva automáticamente el uso de contraseñas de aplicación para la mayoría de los protocolos. Esta es una característica de seguridad: las contraseñas de aplicación omiten la autenticación multifactor (MFA) y crean una credencial estática que es vulnerable al robo.

La autenticación moderna utiliza autenticación basada en tokens donde el usuario se autentica interactivamente y recibe un token temporal. Las contraseñas de aplicación utilizan una contraseña fija de 16 caracteres que nunca caduca. Cuando la autenticación moderna está habilitada, el servidor de Exchange Online rechaza las contraseñas de aplicación para conexiones IMAP, POP, SMTP y ActiveSync. El mensaje de error típicamente dice “La configuración de su cuenta está desactualizada” o “El servidor rechazó sus credenciales”.

La causa raíz es que el administrador del inquilino ha habilitado la autenticación moderna globalmente en el centro de administración de Microsoft 365 o ha habilitado los valores predeterminados de seguridad en Azure Active Directory. Ambas configuraciones bloquean las contraseñas de aplicación. La solución es desactivar completamente las contraseñas de aplicación y cambiar a OAuth 2.0, o volver a habilitar las contraseñas de aplicación para un usuario específico si el dispositivo no puede admitir la autenticación moderna.

Cómo difiere la autenticación moderna de las contraseñas de aplicación

La autenticación moderna requiere que el cliente admita OAuth 2.0. El usuario inicia sesión con su contraseña habitual más MFA si está habilitada. El cliente recibe un token que es válido por un tiempo limitado. Las contraseñas de aplicación omiten MFA y usan una contraseña separada generada desde el portal de Azure. Cuando la autenticación moderna está activada, el servidor rechaza las contraseñas de aplicación porque violan la política de seguridad.

Pasos para solucionar los fallos de contraseña de aplicación de Outlook

Hay tres métodos para resolver este problema. Use el primer método si controla el dispositivo y puede actualizar el cliente de correo. Use el segundo método si debe mantener la aplicación heredada. Use el tercer método si es administrador del inquilino.

Método 1: Cambiar el cliente de correo para usar autenticación moderna

1. Abra Outlook y vaya a Archivo > Configuración de cuenta > Configuración de cuenta
   Seleccione su cuenta de correo y haga clic en Cambiar. Esto abre la ventana de configuración de la cuenta.
2. En Configuración del servidor, haga clic en Más configuraciones
   Vaya a la pestaña Avanzadas. Para el servidor de entrada, establezca el puerto en 993 para IMAP o 995 para POP y elija SSL en el menú desplegable de cifrado. Para el servidor de salida, establezca el puerto 587 y elija TLS. Haga clic en Aceptar.
3. En la ventana Cambiar cuenta, desmarque la casilla que dice Iniciar sesión usando contraseña de texto sin cifrar
   Si esta casilla está presente, desmárquela. Esto obliga a Outlook a usar OAuth 2.0 en lugar de autenticación básica.
4. Haga clic en Siguiente y espere a que Outlook pruebe la conexión
   Outlook le pedirá que inicie sesión con su dirección de correo electrónico completa y su contraseña. Ingrese su contraseña habitual, no una contraseña de aplicación. Si MFA está habilitado, complete el aviso de MFA.
5. Cierre la configuración de la cuenta y reinicie Outlook
   Outlook ahora usa autenticación moderna y ya no requerirá una contraseña de aplicación.

Método 2: Rehabilitar contraseñas de aplicación para un usuario específico

1. Inicie sesión en el centro de administración de Microsoft 365 como administrador global
   Vaya a Usuarios > Usuarios activos y seleccione el usuario que necesita la contraseña de aplicación.
2. Haga clic en Administrar autenticación multifactor en el panel del usuario
   Esto abre la página de configuración de MFA en una nueva pestaña del navegador.
3. Haga clic en Configuración del servicio en la parte superior de la página de MFA
   Desplácese hacia abajo hasta la sección Contraseñas de aplicación. Desmarque la casilla que dice Permitir a los usuarios crear contraseñas de aplicación. Esto desactiva las contraseñas de aplicación para todo el inquilino.
4. Si desea permitir contraseñas de aplicación solo para este usuario, desactive la autenticación moderna para ese usuario
   Vaya a Azure AD > Usuarios > seleccione el usuario > Métodos de autenticación. En Contraseñas de aplicación, haga clic en Permitir. Luego elimine al usuario de cualquier política de acceso condicional que requiera autenticación moderna.
5. Genere una nueva contraseña de aplicación para el usuario
   Haga que el usuario inicie sesión en https://account.activedirectory.windowsazure.com/AppPasswords y cree una nueva contraseña de aplicación. Use esta contraseña de 16 caracteres en la aplicación de Outlook heredada.

Método 3: Habilitar autenticación básica para protocolos específicos en Exchange Online

1. Conéctese a Exchange Online PowerShell como administrador
   Abra PowerShell y ejecute Connect-ExchangeOnline. Inicie sesión con sus credenciales de administrador.
2. Verifique la política de autenticación actual
   Ejecute Get-AuthenticationPolicy | fl Name,AllowBasicAuth. Esto muestra qué protocolos aún permiten autenticación básica.
3. Habilite la autenticación básica para el protocolo que usa su aplicación heredada
   Ejecute Set-AuthenticationPolicy -Identity "Default" -AllowBasicAuthImap:$true para IMAP o -AllowBasicAuthPop:$true para POP. Reemplace “Default” con el nombre de su política si es diferente.
4. Asigne la política de autenticación al usuario
   Ejecute Set-User -Identity "user@domain.com" -AuthenticationPolicy "Default". El usuario ahora puede usar una contraseña de aplicación con autenticación básica para ese protocolo.

Si Outlook aún tiene problemas después de la solución principal

Outlook sigue solicitando contraseña después de cambiar a autenticación moderna

Esto sucede cuando Outlook ha almacenado en caché credenciales antiguas en el Administrador de credenciales de Windows. Abra Panel de control > Administrador de credenciales > Credenciales de Windows. Busque cualquier entrada en Credenciales genéricas que contenga “Outlook” o “MicrosoftOffice16”. Haga clic en la flecha para expandir la entrada y haga clic en Quitar. Reinicie Outlook e inicie sesión nuevamente.

La contraseña de aplicación funciona en un dispositivo pero no en otro

Cada dispositivo debe usar una contraseña de aplicación única si el inquilino permite contraseñas de aplicación. Verifique la fecha y hora del dispositivo. Si el reloj está desviado por más de cinco minutos, el servidor rechaza la contraseña de aplicación. Sincronice el reloj del dispositivo con time.windows.com y genere una nueva contraseña de aplicación para ese dispositivo.

El error “La configuración de su cuenta está desactualizada” aparece repetidamente

Este error ocurre cuando Outlook detecta que se requiere autenticación moderna pero la cuenta está configurada para autenticación básica. Ejecute el Asistente de soporte y recuperación de Microsoft desde https://aka.ms/SaRA. Seleccione Outlook > Tengo problemas con mi contraseña. La herramienta detecta automáticamente el tipo de autenticación y actualiza el perfil de Outlook para usar autenticación moderna.

Contraseñas de aplicación vs autenticación moderna: diferencias clave

Elemento	Contraseñas de aplicación	Autenticación moderna
Método de autenticación	Contraseña estática de 16 caracteres	Token OAuth 2.0 con vida limitada
Soporte multifactor	Omite MFA	Admite MFA
Versión de cliente requerida	Cualquier cliente que admita autenticación básica	Outlook 2013 o posterior con clave de registro, Outlook 2016 o posterior de forma nativa
Riesgo de seguridad	Alto, la contraseña puede ser robada y reutilizada	Bajo, el token caduca y está vinculado al dispositivo
Control de administrador	Deshabilitado por valores predeterminados de seguridad y acceso condicional	Habilitado por defecto en Microsoft 365

Ahora puede solucionar los fallos de contraseña de aplicación de Outlook cambiando a autenticación moderna o rehabilitando contraseñas de aplicación para usuarios específicos. Si su cliente de correo admite OAuth 2.0, use el Método 1 para evitar futuros problemas de contraseña. Para dispositivos heredados que no pueden actualizarse, use el Método 2 o el Método 3. Como paso avanzado, revise las políticas de acceso condicional de su inquilino en Azure AD para asegurarse de que solo los protocolos necesarios usen autenticación básica.