Cómo activar la verificación en dos pasos (MFA) en Microsoft 365 paso a paso

Si solo vas a hacer una cosa este trimestre para proteger la informática de tu empresa, haz esta. El MFA es la medida que más ataques corta por euro invertido, porque convierte una contraseña robada en un papel mojado. Y en Microsoft 365 no cuesta dinero, ya está incluido en cualquier licencia.

Lo que sí cuesta es media tarde de preparación. No por los pasos, que son cuatro clics, sino por lo que se rompe cuando lo activas y nadie lo había previsto: el escáner que envía los PDF, la aplicación de gestión que manda avisos, el móvil viejo del comercial. Esta guía cubre las dos partes.

¿Qué es el MFA y por qué importa tanto?

El MFA, o autenticación multifactor, es exigir una segunda prueba además de la contraseña para entrar en una cuenta, normalmente una notificación que apruebas en el móvil. Aunque alguien te robe la contraseña en un phishing o la compre en un foro, sin tu teléfono no entra. Lo verás con tres nombres distintos, verificación en dos pasos, 2FA y MFA, y en Microsoft 365 son lo mismo.

Importa tanto porque casi todos los incidentes serios que vemos en despachos y gestorías empiezan igual, con una cuenta de correo comprometida. A partir de ahí viene todo lo demás, desde el fraude del CEO y la factura con el IBAN cambiado hasta el acceso a los archivos compartidos. Microsoft cifra en más del 99,2 % los ataques basados en identidad que bloquea la autenticación multifactor.

Las tres formas de activarlo y cuál elegir

Microsoft ofrece tres caminos y no son intercambiables. Dos son excluyentes entre sí, así que conviene elegir bien antes de tocar nada.

Valores predeterminados de seguridad

Es un interruptor único, gratis y disponible en cualquier licencia de Microsoft 365, incluida la más básica. Al activarlo, Microsoft aplica un paquete cerrado de medidas: obliga a todos los usuarios a registrarse en MFA, exige MFA siempre a los administradores, la pide al resto cuando lo considera necesario y bloquea los protocolos de autenticación antiguos.

No se puede personalizar. Es todo o nada, y ese es a la vez su punto fuerte y su límite. Para una oficina de 10 a 30 personas sin casos raros es la opción correcta y la que recomendamos por defecto. Ojo, si tu inquilino se creó después de octubre de 2019 puede que ya lo tengas activado sin saberlo, porque Microsoft lo enciende de serie en los nuevos.

MFA por usuario

Es el método antiguo, de cuando se activaba cuenta por cuenta. Sigue disponible en cualquier licencia, pero Microsoft lo desaconseja expresamente y lo llama "la última opción": el usuario acaba viendo la petición de segundo factor cada vez que inicia sesión, sin ninguna inteligencia detrás, y eso quema a la gente en dos semanas. Y no lo mezcles con los otros dos, hay que dejarlo desactivado para todo el mundo antes de usarlos.

Acceso condicional

Es la versión afinada. En lugar de una regla igual para todos, defines políticas propias: pedir MFA solo cuando alguien entra desde fuera, exigir un dispositivo gestionado, bloquear países enteros, diferenciar entre dirección y plantilla.

Requiere licencia Microsoft Entra ID P1 como mínimo, es decir Microsoft 365 Business Premium, E3 o E5, o el complemento aparte. Con Business Standard no lo tienes.

Y no puedes tener las dos cosas a la vez. Si activas acceso condicional hay que apagar los valores predeterminados de seguridad, y Microsoft recomienda entonces recrear con plantillas las cuatro protecciones que pierdes: MFA para todos, MFA para administradores, bloqueo de autenticación heredada y MFA para la administración de Azure.

Los pasos concretos en el panel de administración

Un aviso antes de empezar. Microsoft renombra sus menús a menudo, y ha cambiado hasta el nombre del producto (Azure AD pasó a llamarse Microsoft Entra ID). Las rutas de abajo están comprobadas contra la documentación oficial a fecha de septiembre de 2026. Si un menú no aparece con ese nombre exacto, busca el equivalente por el concepto.

Activar los valores predeterminados de seguridad

Necesitas el rol de administrador de acceso condicional como mínimo, o administrador global.

1. Entra en el centro de administración de Microsoft Entra, entra.microsoft.com.
2. Ve a Entra ID y luego a Visión general. En algunas versiones del panel esta sección aparece como Identidad y Información general.
3. Abre la pestaña Propiedades.
4. Abajo del todo, pulsa Administrar valores predeterminados de seguridad.
5. Pon Valores predeterminados de seguridad en Habilitado y dale a Guardar.

Si ese botón sale en gris y el panel dice que la organización ya usa directivas de acceso condicional, es que alguien creó una política en su día.

Comprobar y quitar la MFA por usuario

Antes de lo anterior, revisa que no quede nadie con el método antiguo activo. En el mismo panel: Identidad, Usuarios, Todos los usuarios, y ahí el botón MFA por usuario. Los estados posibles son deshabilitado, habilitado y aplicado, y todos deben quedar en deshabilitado.

Crear políticas de acceso condicional

Solo si tienes Entra ID P1. En el centro de administración de Entra, ve a Acceso condicional, luego Directivas, y usa Nueva directiva desde plantilla. En la pestaña Base segura están las plantillas que replican lo que hacían los valores predeterminados de seguridad.

Las dos cuentas que no debes olvidar

Antes de activar nada, crea dos cuentas de acceso de emergencia: cuentas de administrador global que no son de nadie en concreto, con contraseñas largas guardadas en el gestor de la dirección, y que quedan fuera de las políticas de MFA. Existen para un solo escenario, el día que el móvil del administrador se pierde y nadie puede entrar en el panel. Microsoft lo recomienda expresamente.

La parte que nadie cuenta: qué se rompe al activarlo

Aquí es donde se tuercen los despliegues. Al activar los valores predeterminados de seguridad se bloquean los protocolos de autenticación heredados, las formas antiguas de conectarse al correo que no saben pedir un segundo factor: IMAP, POP3, SMTP básico y el Exchange ActiveSync antiguo. Todo lo que use eso deja de funcionar el mismo día. La lista de sospechosos es corta y siempre la misma:

• El escáner o la multifunción que envía los documentos por correo. El caso número uno, con diferencia. Suele estar configurado con el usuario y la contraseña de un buzón real contra smtp.office365.com, y eso es justo lo que se bloquea. Microsoft además tiene en desuso la autenticación básica para el envío SMTP de cliente, así que hay que resolverlo igualmente, con MFA o sin él.
• La aplicación de gestión o el ERP que manda avisos y facturas. Mismo problema, misma solución.
• Las cuentas de servicio. Ese buzón genérico que usan tres sistemas y del que nadie recuerda la contraseña.
• Clientes de correo antiguos y móviles viejos. Outlook 2013 o anterior, programas configurados por IMAP o POP, y el correo nativo del fabricante en lugar de Outlook.

La solución para el escáner y el ERP no es dejar el MFA sin activar, es cambiar la forma en que envían. Las dos alternativas razonables en una PYME son la retransmisión SMTP, un conector de entrada en Exchange autenticado por la IP pública fija de la oficina o por certificado, y el envío directo, que solo sirve si los correos van a buzones internos.

Lo práctico es hacer inventario antes: una hoja con cada aparato y cada aplicación que envíe correo, con qué buzón lo hace y a quién. Diez minutos recorriendo la oficina te ahorran la llamada del viernes a las seis.

Aplicación autenticadora o SMS: por qué el SMS es la peor de las buenas

La aplicación autenticadora, sin dudarlo. Microsoft Authenticator es gratuita y funciona con una notificación que apruebas escribiendo un número que aparece en la pantalla del ordenador, precisamente para que nadie apruebe por inercia un acceso que no ha pedido. De hecho, con los valores predeterminados de seguridad no hay alternativa: el registro se hace obligatoriamente por notificación de esa aplicación, aunque después se puedan usar códigos de otras compatibles.

El SMS sigue siendo mucho mejor que nada, y si alguien se niega en redondo a instalar nada en su móvil es una salida digna. Pero es la peor de las opciones buenas por tres razones. Se puede interceptar. Se puede redirigir duplicando la tarjeta SIM, que es un fraude documentado y no teórico. Y no protege de las páginas de phishing que piden el código y lo usan al instante.

Para los cuatro o cinco perfiles con más poder, dirección, administración y quien gestione los pagos, plantéate una llave física USB, la única opción que resiste el phishing por completo.

Cómo desplegarlo en una oficina de 20 personas sin parar el trabajo

El error clásico es activarlo un lunes a las nueve para todos a la vez. Así se hace bien:

1. Semana 0, inventario. La lista de aparatos y aplicaciones del apartado anterior, y las dos cuentas de emergencia creadas.
2. Semana 1, piloto con tres o cuatro personas. Un perfil técnico, uno de administración y alguien que no se lleve bien con la tecnología. Ese tercero es el importante, porque es quien te enseña dónde se atasca la gente.
3. Aviso previo, una semana antes. Un correo corto y sin jerga: qué va a pasar, qué día, qué tienen que hacer y a quién llaman si algo falla. Microsoft publica plantillas de comunicación adaptables.
4. Ventana de activación, martes o miércoles por la mañana. Nunca un viernes ni el día de cierre de facturación.
5. Que se registren guiados. El alta se hace desde myprofile.microsoft.com, en el apartado de información de seguridad. En una oficina de 20 personas es una hora de café.
6. Revoca las sesiones abiertas. Si no, quien ya estaba conectado sigue conectado durante días y el cambio se queda a medias.
7. Alguien disponible el primer día, presencial si puede ser. Van a salir dos o tres casos, casi siempre el mismo: alguien que cambió de móvil y no pasó la aplicación.

¿Y si alguien pierde el móvil?

Se le retiran los métodos de autenticación registrados desde el panel de administración y se le pide que vuelva a registrarse con el móvil nuevo. Lleva dos minutos y lo hace el administrador o tu proveedor informático.

Lo que hay que decidir de antemano es quién verifica que quien llama es quien dice ser. Si el procedimiento acaba siendo "alguien escribe por WhatsApp diciendo que ha perdido el móvil y le quitamos el MFA", acabas de montar una puerta trasera con un candado precioso al lado.

Y un último aviso: el MFA protege el acceso, no el contenido. Sigue siendo posible que alguien borre una carpeta por error, y ahí la licencia no incluye copia de seguridad.

Empieza por saber cómo está tu correo hoy

Tres preguntas rápidas. ¿Está activado el MFA en todos los buzones, incluido el del gerente? ¿Sabes qué aparatos de la oficina envían correo con usuario y contraseña? ¿Y tienes dos cuentas de emergencia para el día que el administrador no pueda entrar?

En una auditoría de continuidad informática miramos cómo está configurado tu Microsoft 365, qué se rompería al activar el MFA y en qué orden conviene hacerlo.