TL;DR (para los que vamos justos de tiempo)
- El Acceso condicional es el motor de políticas de Microsoft Entra ID. En cada inicio de sesión comprueba quién entra, desde dónde, con qué dispositivo y a qué aplicación, y decide si deja pasar, exige algo más o bloquea.
- Funciona con reglas del tipo «si pasa esto, entonces exige aquello». Por ejemplo: si alguien quiere entrar en Microsoft 365, tiene que superar la autenticación multifactor (MFA).
- Se evalúa después de que la persona supere el primer factor de autenticación. Es una capa de decisión, no una defensa de primera línea.
- Si ninguna política se aplica a un inicio de sesión, el acceso se concede. Lo que no cubre ninguna política queda permitido.
- Hace falta Microsoft Entra ID P1, que incluye Microsoft 365 Business Premium. Sin esa licencia existen los valores predeterminados de seguridad, que no se pueden combinar con el Acceso condicional.
- Antes de activar nada: una cuenta de emergencia excluida y la política en modo solo informe.
Qué es el Acceso condicional
El Acceso condicional (Conditional Access) es la parte de Microsoft Entra ID que decide qué se le exige a cada persona que intenta entrar. Microsoft lo presenta como su motor de políticas de Confianza cero (Zero Trust): reúne señales, toma una decisión y la aplica.
Una política de Acceso condicional es, en esencia, una frase con condición. Si un usuario quiere acceder a un recurso, entonces tiene que cumplir una acción. El ejemplo que usa la documentación de Microsoft es el más habitual: si alguien quiere entrar en un servicio como Microsoft 365, tiene que hacer la autenticación multifactor.
Para una pyme, es la herramienta con la que se pasa de «cualquiera entra desde cualquier sitio con usuario y contraseña» a «se entra con MFA, desde dispositivos conocidos, y se bloquea lo que no tiene sentido». Es también el punto donde se concentran decisiones que antes estaban repartidas: quién necesita qué, desde dónde y con qué garantías.
Cómo funciona: señales, decisión y aplicación
Cada política tiene dos mitades. Las asignaciones dicen a quién se aplica, a qué recursos y bajo qué condiciones. Los controles de acceso dicen qué ocurre cuando todo eso se cumple.
| Parte de la política | Qué puede incluir |
|---|---|
| Señales (a quién y cuándo) | Usuario, grupo o agente (los agentes, en vista previa). Ubicación por IP, con rangos propios o países y regiones completos. Dispositivo, por plataforma, estado o filtros. Aplicación. Riesgo del inicio de sesión o del usuario, con Microsoft Entra ID Protection. Microsoft Defender for Cloud Apps. |
| Decisión | Bloquear el acceso, que es lo más restrictivo, o concederlo exigiendo una o varias cosas: MFA, una intensidad de autenticación concreta, un dispositivo marcado como compatible, un dispositivo unido a Entra híbrido, una aplicación cliente aprobada, una directiva de protección de aplicaciones, un cambio de contraseña o la aceptación de términos de uso. |
| Controles de sesión | Restricciones aplicadas por la aplicación, control de aplicaciones de Acceso condicional, frecuencia de inicio de sesión, sesiones de explorador persistentes y evaluación continua de acceso personalizada. |
No hace falta usar todo. Las políticas más útiles para empezar combinan pocas señales con una decisión sencilla, como exigir MFA a los administradores o bloquear los protocolos de autenticación heredados.
Cuándo se aplica, y qué pasa con lo que no cubre
Las políticas de Acceso condicional se aplican una vez completado el primer factor de autenticación. Microsoft lo advierte expresamente: no está pensado como defensa de primera línea frente a ataques como la denegación de servicio, aunque sí puede usar las señales de esos eventos para decidir.
El token de acceso se emite por defecto cuando ninguna condición activa un control. Si una política exige MFA a los usuarios del grupo Finanzas para la aplicación de nóminas, quien no pertenece a Finanzas entra sin MFA. Para impedirlo hace falta otra política que bloquee a todos los demás.
Por eso Microsoft recomienda que cada aplicación tenga al menos una política. La forma más cómoda es una política que incluya «todos los recursos» (antes «todas las aplicaciones en la nube»), de manera que las aplicaciones nuevas queden cubiertas sin tocar nada.
Qué resuelve en una pyme
Estos son los usos que Microsoft recoge como habituales. Se pueden crear desde cero o a partir de las plantillas del portal, o mediante Microsoft Graph:
- Exigir MFA a los usuarios con roles de administración.
- Exigir MFA para las tareas de administración de Azure.
- Bloquear los inicios de sesión que usan protocolos de autenticación heredados.
- Exigir ubicaciones de confianza para registrar la información de seguridad.
- Permitir o bloquear el acceso desde ciertas ubicaciones.
- Bloquear comportamientos de inicio de sesión de riesgo.
- Exigir dispositivos administrados por la organización para determinadas aplicaciones.
Es también la pieza que hace cumplir los métodos fuertes. Con ella se puede exigir métodos resistentes al phishing a los roles con privilegios, que es donde encaja el manual de claves de acceso en Entra ID y la retirada del SMS y la llamada de voz.
Licencias
| Qué quieres hacer | Qué necesitas |
|---|---|
| Políticas de Acceso condicional | Microsoft Entra ID P1. Microsoft 365 Business Premium también lo incluye, igual que los planes empresariales E3 y E5. |
| Políticas basadas en riesgo (de inicio de sesión y de usuario) | Microsoft Entra ID P2, por Microsoft Entra ID Protection. |
| Protección básica sin esas licencias | Valores predeterminados de seguridad, disponibles para todos los clientes. Crear políticas de Acceso condicional impide activarlos, así que no se combinan. |
Las funciones que se apoyan en el Acceso condicional, como Intune, Purview o Workload ID, exigen su propia licencia. Y si caducan las licencias del Acceso condicional, las políticas no se desactivan ni se borran solas: se pueden ver y eliminar, pero ya no editar.
Dónde se configura
En el centro de administración de Microsoft Entra, en Entra ID > Acceso condicional. Cualquier administrador con al menos el rol de lector de seguridad puede entrar a mirar. Tiene tres sitios que conviene conocer:
- Información general: resumen de la actividad reciente, con cuántas políticas están activas y cuántas en modo solo informe.
- Cobertura: qué aplicaciones han tenido y no han tenido política en los últimos siete días. Sirve para encontrar las que quedan al descubierto.
- Directivas: la lista de todas las políticas del inquilino y la herramienta What If, que simula un inicio de sesión para ver qué políticas le tocarían.
Para crear, modificar o restaurar políticas eliminadas hace falta el rol de administrador de Acceso condicional.
Antes de crear la primera política
El Acceso condicional puede dejar a toda la empresa fuera con una sola política mal configurada. Cuatro precauciones que Microsoft recomienda y que no cuestan nada:
- Excluir las cuentas de acceso de emergencia de todas las políticas. Si una política se configura mal y se bloquea a todos los administradores, esa cuenta es la que permite volver a entrar.
- Empezar en modo solo informe. La política registra qué habría hecho en los registros de inicio de sesión sin aplicarla. Las que se crean desde una plantilla nacen así, y Microsoft recomienda mantenerlas al menos una semana antes de activarlas.
- Probar con un grupo piloto, comprobar también las exclusiones y avisar a los usuarios de qué cambia y cómo pedir ayuda.
- No combinar bloqueo y «todos los recursos» en una misma política sin pensarlo: puede dejar fuera a los administradores, y hay puntos, como Microsoft Graph, a los que no se pueden configurar exclusiones.
Cada inquilino admite un máximo de 240 políticas de Acceso condicional, contando las activas, las desactivadas y las que están en modo solo informe. Es mejor agrupar aplicaciones con los mismos requisitos en una sola política que crear una por aplicación.
Qué viene en esta serie
Este es el primer artículo de una serie sobre el Acceso condicional. En los siguientes iré bajando a lo práctico: las políticas base para una pyme, cómo desplegarlas sin bloquear a nadie con el modo solo informe y la herramienta What If, y cómo diagnosticar un bloqueo con los registros de inicio de sesión.
Si tu empresa ya tiene Microsoft 365 Business Premium y nunca se ha tocado esta parte, estás pagando una herramienta que no usas. Cuando quieras ordenarlo, tienes el servicio de seguridad Microsoft.
Cualquier duda, aquí estoy. Sin humo.
Microsoft Learn: Acceso condicional de Microsoft Entra, información general · Microsoft Learn: planificar la implementación del Acceso condicional · Microsoft Learn: valores predeterminados de seguridad · Microsoft Learn: administrar cuentas de acceso de emergencia
Última verificación: 5 de noviembre de 2026, contra Microsoft Learn (información general, actualizada el 27 de abril de 2026, y planificación, actualizada el 1 de junio de 2026). Los nombres de las opciones en el portal pueden variar según el idioma y las novedades de Microsoft.