¿Microsoft 365 hace copias de seguridad de tus datos? Qué guarda Microsoft y qué no

Una gestoría de veinte personas borra por error una carpeta de correo en marzo. Nadie se da cuenta. A mediados de mayo alguien busca un expediente antiguo, la carpeta no está, y la respuesta que reciben es la que nadie quiere oír: eso ya no se puede recuperar.

Detrás de ese caso hay una pregunta que casi ninguna PYME se ha hecho a tiempo. ¿Microsoft 365 hace copias de seguridad de tus datos? La respuesta corta es que Microsoft conserva lo que borras durante un plazo concreto, corto y decidido por él. Eso no es una copia de seguridad, y la diferencia entre las dos cosas es justo donde se rompe la continuidad informática de una empresa, es decir, su capacidad de seguir trabajando el día que algo falla.

¿Qué pasa realmente cuando borras un correo en Microsoft 365?

Un correo borrado no desaparece de golpe: recorre tres estados. Primero cae en Elementos eliminados, donde sigue a la vista. Si lo borras también de ahí, pasa a una carpeta oculta llamada Elementos recuperables. Cuando vence el plazo de esa carpeta, el correo se purga y deja de existir.

Ese segundo paso es el que casi nadie conoce, porque el usuario no lo ve. Al vaciar la papelera, o al pulsar Mayús+Supr, el mensaje sigue ahí unos días más. Outlook lo llama "Recuperar elementos eliminados" y permite rescatarlo sin llamar a nadie.

El tercer paso no tiene marcha atrás. Cuando expira el plazo de retención, el elemento se quita de Exchange Online. Ni el usuario ni el administrador pueden recuperarlo, porque ya no hay nada que recuperar.

¿Cuánto tiempo guarda Microsoft los datos eliminados?

Entre 14 y 93 días, según el tipo de dato. Los correos son el caso más ajustado, con 14 días por defecto. Los archivos de SharePoint son el más generoso, con 93 días. Ninguno de esos plazos se mide en años, y ninguno lo decides tú.

Qué se borra	Cuánto tiempo se puede recuperar	Matiz importante
Un correo, un contacto o una cita eliminados de forma permanente	14 días por defecto en Exchange Online	El administrador puede ampliarlo hasta un máximo de 30 días. No más.
El buzón de un usuario eliminado	30 días en estado eliminado temporalmente	Pasados los 30 días, la purga es permanente e irrecuperable
Archivos en la papelera de SharePoint	93 días	El plazo empieza a contar cuando borras el archivo, no cuando se vacía la papelera
El OneDrive de un usuario eliminado	30 días por defecto, y después 93 días más en la papelera de la colección de sitios	Recuperarlo en esa segunda fase obliga a usar PowerShell, no se hace desde el panel de administración
Cuentas de OneDrive sin licencia	Se archivan automáticamente el día 93 sin licencia	Tras 12 meses de archivo sin pagar, los datos pueden eliminarse aunque tengas retenciones configuradas

Conviene leer esa tabla dos veces, porque todos esos plazos son de Microsoft, no tuyos. Los fija la plataforma, se cuentan en días y no en meses, y empiezan a correr en el momento del borrado, no el día que alguien se da cuenta.

Las cifras están tomadas de la documentación oficial de Microsoft sobre eliminación de datos en Exchange y sobre retención y eliminación en OneDrive y SharePoint, consultada el día de publicación de este artículo.

¿Por qué la retención no es una copia de seguridad?

Son dos cosas distintas y la confusión sale cara. La retención es el tiempo que la plataforma tarda en tirar a la basura lo que has borrado. Una copia de seguridad es un duplicado independiente de tus datos, hecho a propósito para poder volver atrás. Tres diferencias concretas:

El plazo lo decide otro. La retención dura lo que Microsoft dice que dura, y el margen de maniobra del administrador es mínimo. En una copia de seguridad el plazo lo eliges tú: seis meses, tres años o lo que exija vuestro sector.

Vive en el mismo sitio que el original. Los elementos recuperables están dentro del mismo buzón que acabas de perder, y la papelera de SharePoint está dentro del mismo sitio. Una copia de seguridad vive fuera, en un sistema separado, que es precisamente lo que la hace útil cuando el entorno original está comprometido.

No está pensada para restaurar en bloque. La retención sirve para rescatar un correo suelto. No sirve para devolver 4.000 archivos al estado que tenían el martes pasado a las nueve de la mañana, que es exactamente lo que necesitas tras un incidente serio.

Responsabilidad compartida: ¿de qué responde Microsoft y de qué respondes tú?

Microsoft responde de que el servicio funcione. Tú respondes de tus datos. No es letra pequeña escondida en un contrato: es el modelo de responsabilidad compartida que Microsoft publica en su propia documentación, y ahí lo dice sin rodeos.

En su matriz de responsabilidades, la columna de SaaS (software como servicio, que es lo que compras cuando contratas Microsoft 365) asigna al cliente tres filas: los datos del cliente, las opciones y la configuración, y las identidades y usuarios. Textualmente: "para todos los tipos de implementación en la nube, posee sus datos e identidades".

Microsoft mantiene esa postura incluso ahora que vende su propio producto de copia de seguridad. Preguntado en su documentación si ha cambiado de opinión sobre la responsabilidad compartida, responde que no, que sigue teniendo el mismo punto de vista y que solo ofrece más herramientas para que las organizaciones cumplan con esa responsabilidad.

Traducido: la disponibilidad del correo es problema de Microsoft, y que el correo de 2024 siga existiendo en 2027 es problema tuyo.

¿Qué es Microsoft 365 Backup y para qué sirve?

Microsoft 365 Backup es un producto propio de Microsoft, de pago y aparte de la licencia, que sí hace copias de seguridad de verdad. Cubre tres servicios: Exchange Online, OneDrive y SharePoint. Se factura por consumo, a 0,15 dólares por GB protegido al mes, y las restauraciones no se cobran.

Lo que aporta es real. Permite volver a un punto anterior con una precisión de diez minutos durante las dos primeras semanas, y semana a semana hasta las 52 anteriores. Está pensado para restaurar a gran escala y rápido, no para rescatar un correo suelto.

Y aquí viene la parte honesta, la que casi ningún artículo cuenta. Microsoft 365 Backup tiene tres límites que importan mucho a una PYME:

La copia vive dentro del mismo entorno. Lo dice la propia documentación: los datos nunca abandonan el límite de confianza de Microsoft 365. La copia se guarda dentro de tu tenant, que es el espacio propio de tu empresa dentro de la plataforma. Para una caída del proveedor, o para tener una copia realmente independiente, no sustituye a un backup externo.

La retención máxima es de un año. Suficiente para un borrado accidental. Corto si necesitas conservar información varios años por obligación fiscal, laboral o sectorial.

No es del todo inmutable. Microsoft usa almacenamiento de solo anexión, así que nadie puede modificar una copia ya hecha. Pero reconoce que "la eliminación de las copias de seguridad no está bloqueada", y compensa con un periodo de gracia de 90 días y avisos por correo a los administradores. Es una buena defensa, no un candado.

Cuatro situaciones en las que tu licencia no te salva

Borrado que se descubre tarde. El caso más común de todos. Alguien elimina una carpeta y el problema aparece semanas o meses después, cuando alguien la busca. Contra esto no protege ningún plazo por defecto, porque todos son más cortos que el tiempo que tarda una empresa en darse cuenta.

Cuenta comprometida. El atacante entra con credenciales válidas, robadas en un phishing, y borra o cifra desde dentro. Para la plataforma es actividad legítima de un usuario legítimo. Aquí el doble factor de autenticación, o MFA, que es el código adicional que se pide además de la contraseña, evita la mayoría de estas entradas. Pero si ya está dentro, no hay nada que deshacer sin una copia.

Empleado que se va. Se elimina la cuenta para dejar de pagar la licencia y con ella se van el buzón y su OneDrive. El plazo de gracia es corto y el reloj empieza el día de la baja, no el día que alguien pregunta por aquel presupuesto que llevaba el comercial que se fue.

Ransomware que sincroniza. El equipo local se infecta y OneDrive hace exactamente lo que debe hacer: sincronizar. Los archivos cifrados suben a la nube y sustituyen a los buenos. La nube no es un escudo, es un espejo. Si te pasa, lo primero son las primeras 24 horas tras un ransomware, y lo segundo es tener de dónde tirar.

Qué necesita tener montado una PYME

Sin nombres de fabricante y sin fórmulas mágicas. Cinco criterios que puedes comprobar con tu proveedor esta misma semana:

1. Copia independiente del entorno de Microsoft. Guardada en otro proveedor, no dentro de la misma plataforma que quieres proteger.
2. Retención que decidas tú. El plazo debe salir de vuestras obligaciones legales y de vuestro criterio, no de la configuración por defecto de nadie.
3. Inmutabilidad real. Que ni siquiera un administrador con las credenciales comprometidas pueda borrar la copia dentro del plazo fijado.
4. Restauración granular y probada. Granular significa poder recuperar un solo correo o un solo archivo, sin restaurar el buzón entero. Y probada significa probada de verdad: aquí está cada cuánto conviene probar las copias de seguridad y cómo hacerlo.
5. Alguien que responda con un plazo comprometido. El día que toca restaurar, la pregunta no es si existe la copia, sino en cuántas horas vuelve a trabajar la empresa y quién firma esa cifra.

En resumen

Microsoft 365 protege tus datos borrados durante días, y lo hace bien dentro de ese plazo. Lo que no hace es sustituir a una copia de seguridad con tus reglas, fuera de su entorno y con alguien que responda de la restauración.

Si al leer la tabla de plazos has pensado en algún dato de tu empresa que llevaba más de 93 días borrado, eso ya es una respuesta. El test de continuidad son unas pocas preguntas y te dice, en un par de minutos, en qué punto estás.