Configuración del modo de seguridad de línea base

Como administrador de Microsoft 365, puede usar la configuración del modo de seguridad de línea base para proteger y proteger su entorno empresarial frente a amenazas externas.

El modo de seguridad de línea base le ayuda a:

  • Proteger los datos empresariales.
  • Evite la interrupción del negocio.
  • Bloquear las prácticas inseguras del usuario final.
  • Proteger las cuentas internas.
  • Garantizar una colaboración segura.

El modo de seguridad de línea base cubre servicios clave de Microsoft 365, entre los que se incluyen:

  • Aplicaciones de Microsoft 365.
  • SharePoint y OneDrive.
  • Microsoft Teams.
  • Exchange Online.
  • Plataforma de identidad de Microsoft Entra.

Al usar el modo de seguridad de línea base en el Centro de administración de Microsoft 365, puede establecer determinadas opciones de seguridad que anteriormente solo estaban disponibles en PowerShell.

Ahora que estas opciones de configuración están disponibles en el Centro de administración, su organización puede evaluar cuidadosamente cada una de las opciones de configuración del modo de seguridad de línea base antes de la implementación.

En este artículo se proporciona información sobre la configuración del modo de seguridad de línea base que puede activar. También tiene vínculos a contenido que te ayuda a comprender lo que hace cada configuración y por qué deberías activarla.

Antes de empezar

Los administradores específicos de la carga de trabajo solo pueden administrar su propia configuración. Para administrar la configuración que desea configurar, asegúrese de iniciar sesión con una cuenta que tenga el rol adecuado. Por ejemplo, para administrar la configuración relacionada con Microsoft Entra ID, inicie sesión con una cuenta que tenga el rol de administrador de seguridad.

La configuración del modo de seguridad de línea base admite el control de acceso basado en roles (RBAC), por lo que los siguientes roles también pueden ver esta configuración:

Para obtener más información, consulte Roles integrados de Microsoft Entra.

Importante

Puede configurar las opciones del modo de seguridad de línea base en todas las suscripciones y planes de Microsoft 365.

Recomendación de configuración del modo de seguridad de línea base

La configuración del modo de seguridad de línea base proporciona flexibilidad y control, por lo que puede administrar cada configuración de forma independiente. También puede experimentar deshabilitando una configuración durante un período definido (por ejemplo, unos pocos días) para evaluar las dependencias.

Ejecute la configuración del modo de seguridad de línea base de la siguiente manera:

  • Ejecute informes de impacto para cada una de las configuraciones del modo de seguridad de línea base.
  • Si la configuración muestra cero impactos, active esa configuración.
  • Si existen dependencias críticas, no active la configuración. Planee abordar esas dependencias antes de hacer que los cambios sean permanentes. Este enfoque intuitivo y por fases garantiza una transición sin problemas a configuraciones seguras de forma predeterminada.

Cómo acceder a la configuración del modo de seguridad de línea base

Para acceder a la configuración del modo de seguridad de línea base , siga estos pasos:

  1. Inicie sesión en el Centro de administración de Microsoft 365.

  2. En la barra de navegación izquierda, seleccione ... Mostrar todo y, a continuación, seleccione Configuración para expandirlo.

  3. En Configuración, seleccione Configuración de la organización.

  4. En la página Configuración de la organización , seleccione la pestaña Seguridad y privacidad .

  5. En la pestaña Seguridad y privacidad , seleccione Modo de seguridad de línea base.

Autenticación

En esta sección se describen las opciones disponibles para bloquear métodos de autenticación no seguros en el Centro de administración de Microsoft 365.

Importante

Es posible que los clientes que accedieron al modo de seguridad de línea base en Microsoft 365 entre noviembre de 2025 y principios de febrero de 2026 vean dos borradores de directivas de acceso condicional de Microsoft Entra ID creadas en su inquilino en estado Deshabilitado. Estas directivas están asociadas con el modo de seguridad de línea base y pueden aparecer como creadas por el administrador que inició sesión en la página Modo de seguridad de línea de base de Microsoft.

Este comportamiento no representa un incidente de seguridad y no tiene ningún efecto en la seguridad de los inquilinos. Las directivas se encuentran en un estado de borrador deshabilitado. Se está trabajando en una corrección para garantizar que las directivas solo se creen mediante acciones explícitas del administrador. Microsoft elimina los borradores de directiva creados involuntariamente y notifica a los clientes con antelación.

Configuración Más información
Proteger el acceso de los administradores a los portales de administración de Microsoft con una autenticación resistente a la suplantación de identidad (phishing) Las cuentas a las que se asignan roles administrativos con privilegios específicos son objetivos frecuentes de los atacantes. Exigir la autenticación multifactor (MFA) resistente a la suplantación de identidad (phishing) en esas cuentas es una manera fácil de reducir el riesgo de que esas cuentas se vean comprometidas.

Para obtener más información, consulte Requerir autenticación multifactor resistente a la suplantación de identidad (phishing) para administradores

Debe ser miembro de los roles Administrador de seguridad o Administrador de acceso condicional para realizar esta tarea.
Bloquear flujos de autenticación heredados Bloquear las solicitudes de autenticación que usan protocolos heredados que no admiten la autenticación multifactor. Según el análisis, la mayoría de los ataques de relleno de credenciales usan autenticación heredada y la mayoría de los ataques de rociado de contraseñas usan protocolos de autenticación heredados. Puede ayudar a detener estos ataques deshabilitando o bloqueando la autenticación básica.

Para obtener más información, consulte Bloqueo de la autenticación heredada con acceso condicional

Debe ser miembro de los roles Administrador de seguridad o Administrador de acceso condicional para realizar esta tarea.
Bloquear la adición de nuevas credenciales de contraseña a las aplicaciones Para aumentar la seguridad, bloquee la adición de credenciales de contraseña en las aplicaciones. Las contraseñas son uno de los métodos más débiles de autenticación de servicios y son vulnerables a riesgos por parte de actores malintencionados. Cambiar a un método más seguro mejora la seguridad y reduce la sobrecarga de administración.

Para obtener más información, consulte Restringir el uso de contraseñas en aplicaciones de Microsoft Entra.

Debe ser miembro de los roles de administrador de seguridad, administrador de aplicaciones o administrador de aplicaciones en la nube para realizar esta tarea.
Restringir el consentimiento del usuario final a las aplicaciones de inquilino único y certificadas de Microsoft 365 con permisos de bajo riesgo Actualice la configuración de consentimiento del usuario de Microsoft Entra para restringir a los usuarios el acceso a las aplicaciones creadas en su inquilino o desde la lista de certificados de Microsoft 365. Microsoft trabaja con partners desarrolladores de Microsoft 365 a fin de proporcionar esta información, con el fin de que las organizaciones puedan acelerar e informar decisiones sobre las aplicaciones y los complementos que pueden usar sus usuarios.

Para obtener más información, consulte Configuración de cómo los usuarios aceptan las aplicaciones

Debe ser miembro de los roles de administrador de seguridad o administrador de roles con privilegios para realizar esta tarea.
Bloquear autenticación básica La autenticación básica es un método obsoleto e inseguro que transmite las credenciales de usuario de una manera que puede ser fácilmente interceptada y robada. Al bloquear solicitudes de autenticación básicas, esta configuración ayuda a proteger a los usuarios del robo de credenciales, especialmente durante ataques de suplantación de identidad (phishing) o al acceder a servicios a través de redes inseguras. Al habilitar esta configuración, los usuarios ya no verán solicitudes de autenticación básica. Esta configuración reduce el riesgo de robo de credenciales y aplica métodos de autenticación más seguros.

Para obtener más información, consulte Bloqueo de la autenticación básica en aplicaciones de Microsoft 365.
Bloquear protocolos inseguros para abrir archivos Cuando los usuarios abren archivos desde ubicaciones que usan protocolos inseguros como HTTP o FTP, se pueden exponer datos confidenciales porque estos protocolos transmiten información en texto sin formato. El bloqueo de estos protocolos ayuda a evitar que los atacantes intercepten credenciales u otros datos confidenciales durante el acceso a los archivos. Si habilita esta configuración, los usuarios podrán abrir archivos desde ubicaciones que utilicen HTTP o FTP. Esta configuración ayuda a aplicar prácticas seguras de transmisión de datos y reduce la exposición a ataques de tipo intermediario.

Para obtener más información, consulte Bloquear protocolos inseguros para abrir archivos.
Bloquear el protocolo de llamada a procedimiento remoto (FPRPC) de FrontPage para abrir archivos La llamada a procedimiento remoto de FrontPage (FPRPC) es un protocolo obsoleto que se usaba para la creación remota de páginas web. Aunque ya no se usa ampliamente, los atacantes aún pueden aprovechar FPRPC para ejecutar comandos arbitrarios o comprometer un sistema a través de archivos especialmente diseñados o tráfico de red. Las aplicaciones de Microsoft 365 ahora bloquean FPRPC de forma predeterminada a favor de HTTPS. Habilitar esta configuración garantiza que los usuarios de su entorno no puedan invalidar la configuración predeterminada.

Para obtener más información, consulte Bloquear las extensiones del servidor de FrontPage Remote Procedure Call (FPRPC) for file opens in Microsoft 365.
Bloquear las conexiones de autenticación del explorador heredado a SharePoint y OneDrive con el protocolo del conjunto de usuarios de confianza (RPS) heredado Los protocolos heredados son más susceptibles a ataques de fuerza bruta y suplantación de identidad (phishing). Microsoft informa de que las organizaciones que deshabilitan la autenticación heredada experimentan menos riesgos de cuenta. Exigir esta configuración impide que las aplicaciones (incluidas las que no son de Microsoft) usen protocolos de autenticación heredados para acceder a los recursos de SharePoint y OneDrive en un explorador.

Los informes de esta configuración muestran qué usuarios tienen acceso a SharePoint o OneDrive con la autenticación RPS. El informe también le permite conocer la fecha y hora, y a qué sitio de SharePoint o archivo o carpeta de OneDrive han accedido.

Nota: El cambio no es instantáneo. La aplicación puede tardar hasta 24 horas. Debe ser miembro del rol de administrador de SharePoint para poder configurar esta configuración.

Para obtener más información, consulte Set-SPOTenant -LegacyBrowserAuthProtocolsEnabled.

Nota: La autenticación del explorador heredado quedó en desuso para los inquilinos empresariales a partir de octubre de 2025. Esta configuración ya no está disponible para establecerla en true. El protocolo RPS ya no funciona.
Bloquear conexiones de autenticación de cliente heredadas a SharePoint y OneDrive con el protocolo Biblioteca en tiempo de ejecución del cliente de identidad (IDCRL) heredado Los protocolos heredados son más susceptibles a ataques de fuerza bruta y suplantación de identidad (phishing). Microsoft informa de que las organizaciones que deshabilitan la autenticación heredada experimentan menos riesgos de cuenta. Aplicar esta configuración evita que los clientes usen protocolos de autenticación heredados para acceder a los recursos de SharePoint y OneDrive.

Los informes de esta configuración muestran qué usuarios tienen acceso a SharePoint con la autenticación IDCRL. Los informes también le permiten conocer la fecha y hora, y a qué sitio de SharePoint o archivo o carpeta de OneDrive han accedido.

Nota: El cambio no es instantáneo. La aplicación puede tardar hasta 24 horas. Debe ser miembro del rol de administrador de SharePoint para poder configurar esta configuración.

Para obtener más información, consulte Set-SPOTenant -LegacyAuthProtocolsEnabled.
No permitir nuevos scripts personalizados en los sitios de SharePoint Los scripts personalizados se usan para modificar los comportamientos del sitio de SharePoint. Al permitir que los usuarios ejecuten un script personalizado, ya no puede aplicar la gobernanza, definir el ámbito de las capacidades del código insertado, bloquear partes específicas del código o bloquear todo el código personalizado implementado. Esta configuración elimina permanentemente la capacidad de agregar nuevos scripts personalizados en los sitios de OneDrive y SharePoint. En lugar de permitir un script personalizado, use SharePoint Framework. Debe ser miembro del rol de administrador de SharePoint para poder configurar esta configuración.

Para obtener más información, consulte Permitir o impedir scripts personalizados.
Deshabilitar el acceso a Microsoft Store para SharePoint Los usuarios pueden instalar determinadas aplicaciones desde Microsoft Store. A veces, esta capacidad puede ir en contra de las directivas de la organización y puede aumentar los costos de gobernanza. Esta configuración elimina la capacidad de los usuarios finales de instalar aplicaciones directamente desde Microsoft Store. Debe ser miembro del rol de administrador de SharePoint para poder configurar esta configuración.

Para obtener más información, vea Configurar las opciones de la tienda de SharePoint
Deshabilitar el acceso de toda la organización a los servicios Web Exchange (EWS) servicios Web Exchange (EWS) proporciona acceso API multiplataforma a datos confidenciales de Exchange Online, como correos electrónicos, reuniones y contactos. Si se ven comprometidos, los atacantes pueden acceder a datos confidenciales, enviar correos electrónicos de phishing, falsificar identidades y potencialmente obtener el control del sistema. Al deshabilitar el acceso a EWS, también se reduce el uso de aplicaciones heredadas y se minimiza el número de puntos de conexión que los atacantes pueden segmentar. EWS también se usa en algunas características propias de Outlook y de la plataforma de complementos web. Los complementos web para Word, Excel, PowerPoint y Outlook no funcionan en algunas compilaciones.

Para obtener más información, vea Controlar el acceso a EWS.

Requisitos de los servicios Web Exchange

Antes de deshabilitar EWS, asegúrese de que tiene la compilación necesaria para evitar la interrupción de los complementos de Office. Agosto de 2026 La compilación 16.0.20430.20092 es la primera compilación con la característica de modo de seguridad de línea base.

Aquí es cuando la compilación llega a los distintos canales de actualización:

  • Canal actual (CC): disponible actualmente.
  • Canal mensual para empresas (MEC): disponible actualmente.
  • Semi-Annual Canal empresarial (SAC): julio de 2026.
  • Paneles de Teams: Para evitar interrupciones, actualice los dispositivos Versión 1449/1.0.97.2025120101 de la aplicación Teams, que se envió en septiembre de 2025.

Nota:

Estas instrucciones y requisitos de compilación son solo para la compilación de Aplicaciones Microsoft 365 (Office) de Win32.

Impacto de la configuración del modo de seguridad de línea base en la autenticación

Actualmente, la siguiente característica no funciona al habilitar la configuración del modo de seguridad de línea base:

  • Autenticación basada en certificados para Exchange ActiveSync (flujo de Exchange heredado, no flujo CBA de Microsoft Entra).

Impacto de la configuración del modo de seguridad de línea base en el conector de Exchange en los hosts compatibles con Power Query

Actualmente, las siguientes características no funcionan al habilitar la configuración del modo de seguridad de línea base:

  • Excel para Windows.
  • Excel para la Web.
  • Power BI y Microsoft Fabric - Power BI Desktop, flujos de datos (Gen1 y Gen2), Power BI Web Modeling, Power BI Report Server.
  • Microsoft Power Platform - Flujos de datos de Power Platform (Standard y Analytics), Dynamics 365 Customer Insights.

Impacto de la configuración del modo de seguridad de línea base en las características entre inquilinos

Actualmente, las siguientes características no funcionan al habilitar la configuración del modo de seguridad de línea base:

  • Uso compartido del Calendar y disponibilidad (entre inquilinos o nube).
  • Sugerencias de correo electrónico (entre inquilinos o nube).

Impacto del modo de seguridad de línea base en las implementaciones híbridas

  • Desactive el acceso a EWS solo después de que la configuración híbrida de Microsoft Exchange admita las API de REST. Este cambio ayuda a reducir el uso de aplicaciones heredadas y reduce el riesgo de exposición de datos.

  • La sincronización del lado del servidor entre Dynamics local y Exchange Online no funciona con esta configuración. Para seguir usando las características de sincronización, conecte Exchange Online a Dynamics 365 Customer Engagement (local).

Archivos

En esta sección se describen las opciones disponibles en OneDrive y SharePoint para desactivar la configuración del modo de seguridad de línea base en el Centro de administración de Microsoft 365.

Debe ser miembro del rol de administrador de SharePoint para realizar estas tareas.

Configuración Más información
Abrir formatos antiguos heredados en Vista protegida y no permitir la edición Los formatos de archivo antiguos heredados en las aplicaciones de Microsoft 365 (anteriormente Office) son vulnerables a daños en la memoria. Cuando los usuarios abren estos formatos obsoletos en la Vista protegida con la edición deshabilitada, se evita posibles vulnerabilidades de seguridad y, al mismo tiempo, se permite a los usuarios ver el contenido sin riesgo.

Para obtener más información, consulte Abrir formatos antiguos heredados en la Vista protegida y no permitir la edición.
Abrir formatos antiguos heredados en la Vista protegida y permitir la edición Muchos formatos de archivo heredados en las aplicaciones de Microsoft 365 (como los archivos antiguos de Word, Excel y PowerPoint) son propensos a sufrir vulnerabilidades de daño de memoria. Al abrir los formatos heredados en la Vista protegida, minimiza el riesgo de ejecución de código malintencionado y, al mismo tiempo, permite a los usuarios editar su contenido de forma segura.

Para obtener más información, consulte Abrir formatos antiguos heredados en la Vista protegida y permitir la edición.
Bloquear controles ActiveX Los controles ActiveX son pequeños programas que se usan para agregar características interactivas a documentos y páginas web de Microsoft 365. Son muy vulnerables a la explotación. Los actores malintencionados a menudo usan ActiveX para ejecutar código dañino, instalar malware o tomar el control de un sistema, especialmente cuando los usuarios abren archivos comprometidos o visitan sitios web no seguros. Debido a su historial de problemas de seguridad y a la disminución del uso, las aplicaciones de Microsoft 365 bloquean ActiveX de forma predeterminada. Aplicar esta configuración garantiza que los usuarios de su entorno no puedan invalidar la configuración predeterminada.

Para obtener más información, consulte Bloquear controles ActiveX en documentos de Aplicaciones de Microsoft 365.
Bloquear objetos OLE Graph y OrgChart Bloquear objetos OLE Graph y OrgChart. Al activar esta configuración, las aplicaciones de Microsoft 365 bloquean la carga de objetos OLE Graph y OrgChart para proteger a los usuarios de las técnicas de explotación conocidas.

Para obtener más información, vea Bloquear objetos OLE Graph y OrgChart.
Los inicios del servidor de intercambio dinámico de datos (DDE) están bloqueados en Excel Intercambio dinámico de datos de Windows (DDE) permite que Excel extraiga datos de orígenes externos en tiempo real. Sin embargo, si la fuente es maliciosa, puede enviar código perjudicial a Excel y poner en peligro el sistema sin necesidad de macros ni ningún otro contenido activo. Los atacantes usan esta técnica en ataques de suplantación de identidad dirigidos para ejecutar comandos arbitrarios. Bloquear el inicio del servidor DDE reduce este riesgo. Al habilitar esta configuración, Excel bloquea los inicios del servidor DDE, lo que ayuda a evitar que orígenes externos malintencionados inserten código dañino en las hojas de cálculo.

Para obtener más información, vea Bloquear los inicios del servidor de Intercambio dinámico de datos (DDE) en Excel.
Bloquear Microsoft Publisher Publisher tiene una amplia superficie de ataques y no se incluirá en Microsoft 365 a partir de octubre de 2026. Bloquear Publisher ahora reduce el riesgo de seguridad y se ajusta a la estrategia de soporte técnico de Microsoft. Cuando habilita esta configuración, Microsoft Publisher no se inicia.

Para obtener más información, vea Bloquear Microsoft Publisher.

Dispositivos de sala

En esta sección se describen las opciones disponibles en Teams para desactivar la configuración del modo de seguridad de línea base en el Centro de administración de Microsoft 365.

Debe ser miembro del rol de administrador de Teams para realizar estas tareas.

Configuración Más información
No permitir que las cuentas de recursos en dispositivos de Salas de Teams accedan a los archivos de Microsoft 365 Para aumentar la seguridad, quite el acceso a las cuentas de recursos que usan las Salas de Teams y los dispositivos para acceder a los activos de Microsoft 365 para reuniones y colaboraciones.

Para obtener más información, consulte Set-SPOTenant y el parámetro restringir el acceso a la cuenta de recursos.
Permitir solo que los dispositivos compatibles y administrados por puntos de conexión inicien sesión Para aumentar la seguridad, solo los dispositivos compatibles y administrados por la organización de Salas de Teams pueden iniciar sesión en Microsoft 365, las aplicaciones y las cuentas de recursos no se pueden usar indebidamente para autenticarse desde dispositivos no administrados.

Para obtener más información, consulte Bloquear el inicio de sesión de la cuenta de recursos de Teams en clientes de Microsoft 365.
Bloquear dispositivos no administrados e inicios de sesión de cuentas de recursos en aplicaciones de Microsoft 365 Para aumentar la seguridad, bloquee las cuentas de recursos usadas para dispositivos Teams para que no se usen para iniciar sesión en clientes de Microsoft 365.

Para obtener más información, consulte Bloquear el inicio de sesión de la cuenta de recursos de Teams en clientes de Microsoft 365.

Bloquear dispositivos no administrados e inicios de sesión de cuentas de recursos en aplicaciones de Microsoft 365

Configuración Más información
No permitir que las cuentas de recursos en dispositivos de Salas de Teams accedan a los archivos de Microsoft 365 Para aumentar la seguridad, quite el acceso a las cuentas de recursos que usan las Salas de Teams y los dispositivos para acceder a los activos de Microsoft 365 para reuniones y colaboraciones.

Para obtener más información, consulte Set-SPOTenant.

No permitir que las cuentas de recursos en dispositivos de Salas de Teams accedan a los archivos de Microsoft 365

Configuración Más información
No permitir que las cuentas de recursos en dispositivos de Salas de Teams accedan a los archivos de Microsoft 365 Para aumentar la seguridad, bloquee las cuentas de recursos usadas para dispositivos Teams para que no se usen para iniciar sesión en clientes de Microsoft 365.

Para obtener más información, consulte Bloquear el inicio de sesión de la cuenta de recursos de Teams en clientes de Microsoft 365.

Contenido relacionado

  • Se actualizó por última vez el