SSPR de Microsoft Entra: restablecimiento de contraseña, escritura diferida y marca

radio_button_uncheckedshort_text1. Reduce retrasos sin debilitar los controles de identidad

Una organización minorista usa Microsoft Entra ID para acceder a aplicaciones de software como servicio, Microsoft 365, Azure y recursos federados. Los restablecimientos manuales consumen tiempo de soporte y dejan al usuario esperando. El autoservicio de restablecimiento de contraseña (SSPR) permite que una persona elegible demuestre su identidad y establezca otra contraseña sin que el administrador haga el cambio.

Este capítulo desarrolla la decisión completa: evaluar SSPR, desplegar un piloto, registrar y probar un usuario, comprender la escritura diferida híbrida y crear una experiencia de inicio de sesión con la marca de la organización.

• Diferenciar cambio, restablecimiento, desbloqueo y escritura diferida de contraseñas.
• Configurar ámbito, métodos, registro, notificaciones y soporte de SSPR.
• Ejecutar los ejercicios de grupo, usuario, registro, restablecimiento, marca y limpieza.
• Aplicar licencias, roles y la directiva centralizada de métodos de autenticación vigente.

radio_button_uncheckedshort_text2. Cambio, restablecimiento, desbloqueo y escritura diferida son distintos

Un usuario conectado puede cambiar una contraseña conocida incluso con Microsoft Entra ID Free. Restablecer una contraseña olvidada de nube necesita una licencia SSPR válida. Un usuario híbrido sincronizado también requiere una edición con escritura diferida y una ruta configurada con Microsoft Entra Connect o sincronización en la nube.

radio_button_uncheckedshort_text3. Por qué SSPR mejora las operaciones y la productividad

SSPR transfiere una recuperación urgente y repetitiva al usuario sin renunciar a la prueba definida por el administrador. Puede comenzar en el portal de restablecimiento, mediante “¿No puede acceder a su cuenta?” o “Olvidé mi contraseña” y en experiencias compatibles del inicio de sesión de Windows.

• El usuario no espera a que soporte esté disponible.
• Los administradores reducen solicitudes repetitivas.
• Las notificaciones dan visibilidad de actividad inesperada.
• Un vínculo personalizado dirige los fallos al soporte aprobado.

radio_button_uncheckedshort_text4. Transacción SSPR de extremo a extremo

1. Localización: el portal usa la configuración regional del explorador; mkt puede solicitar una región compatible.
2. Identificación y defensa contra bots: el usuario indica su id. y completa CAPTCHA.
3. Elegibilidad: Microsoft Entra ID comprueba ámbito, métodos registrados, cantidad requerida, directiva de administradores y autoridad de la contraseña.
4. Autenticación: el usuario supera una o dos pruebas aprobadas.
5. Restablecimiento o desbloqueo: tras la prueba, establece una contraseña válida o usa el desbloqueo permitido.
6. Notificación: los mensajes configurados confirman el evento al usuario y, en escenarios privilegiados, a los administradores adecuados.

El servicio detiene el proceso y dirige a soporte si la cuenta no está habilitada, faltan métodos o una contraseña local no puede escribirse. El portal no evita la directiva de recuperación.

radio_button_uncheckedshort_text5. Métodos de autenticación: módulo y directiva actual

El módulo proporcionado presenta seis opciones de la directiva SSPR heredada. Los conceptos siguen siendo útiles, pero la administración de métodos en las directivas heredadas de MFA y SSPR se retiró el 30 de septiembre de 2025. Los inquilinos actuales deben usar la directiva centralizada de Métodos de autenticación y el registro combinado de información de seguridad. Confirma la interfaz vigente antes de reproducir una captura antigua.

La documentación actual enumera push de Microsoft Authenticator, tokens OATH de software y hardware en versión preliminar, SMS, llamada de voz y OTP por correo. Las organizaciones de prueba pueden limitar llamadas, y la disponibilidad varía por cuenta, nube, directiva y migración.

radio_button_uncheckedshort_text6. Registro y número mínimo de métodos

El usuario se considera registrado únicamente cuando guarda datos suficientes para el número de métodos exigido, no por abrir la página. La directiva admite una o dos pruebas. Subir de una a dos deja sin recuperación a quien solo tenga un método elegible hasta que registre otro.

• Solicita el registro durante un inicio interactivo compatible o dirige a https://aka.ms/ssprsetup.
• Mantén los datos actuales; la reconfirmación admite de 0 a 730 días y 0 desactiva la petición periódica.
• Para preguntas de seguridad, define cuántas se registran y cuántas deben responderse.
• Si retiras un método, los usuarios que dependían de él pueden dejar de cumplir el mínimo.

radio_button_uncheckedshort_text7. Seguridad y diferencias para cuentas administradoras

Prefiere pruebas resistentes a la suplantación o basadas en aplicación y conserva una alternativa independiente. SMS puede sufrir intercambio de SIM o interceptación; las respuestas personales pueden conocerse. El módulo recomienda Microsoft Authenticator como principal, correo o teléfono de oficina como alternativa y preguntas de seguridad solo con otro método.

Las cuentas con roles administrativos de Azure incluidos usan una directiva fuerte de dos comprobaciones independientemente de la configuración normal. Las preguntas de seguridad no están disponibles para ellas. Prueba la experiencia ordinaria con un usuario sin roles administrativos.

radio_button_uncheckedshort_text8. Notificaciones y ruta personalizada de soporte

El destino de soporte acepta correo o URL. Valida remitentes permitidos, correo no deseado, buzón supervisado y respuesta a incidentes; activar una opción no garantiza un proceso operativo.

radio_button_uncheckedshort_text9. Licencias: relaciona función y edición

Cada usuario beneficiario debe tener licencia adecuada aunque el servicio aún no limite técnicamente todas las cuentas. La afirmación general del material sobre planes gratuitos o de pago por uso debe leerse por función: Free cambia contraseña conocida, pero no cubre el olvido en nube ni la escritura diferida híbrida.

radio_button_uncheckedshort_text10. Escritura diferida híbrida y opciones de implementación

Cuando Active Directory local es la autoridad de la contraseña sincronizada, actualizar solo la nube no basta. Configura escritura diferida mediante Microsoft Entra Connect o sincronización en la nube. Sin ella, usuarios federados, de autenticación de paso o hash sincronizado cuya contraseña sea local deben contactar al administrador.

• Microsoft Entra Connect puede servir al dominio conectado existente.
• La sincronización en la nube puede servir a otros conjuntos o dominios desconectados y no depender de una sola instancia de Connect.
• Ambas opciones pueden coexistir en dominios diferentes, por ejemplo el original y uno adquirido.
• La directiva puede desbloquear una cuenta local sin cambiar la contraseña o exigir ambas operaciones.

Para usuarios federados, la sincronización del hash a la nube puede tardar hasta el intervalo programado. SSPR tampoco muestra toda la directiva local porque los agentes no envían esos detalles a la nube.

radio_button_uncheckedshort_text11. Planea una implementación segura

Prepara un inquilino activo, licencia elegible, cuenta con al menos Administrador de directivas de autenticación, usuario de prueba licenciado y no administrador y un grupo de seguridad que lo contenga. El escenario propone unas 20 personas de marketing; el principio es validar un piloto antes del despliegue general.

El centro actual selecciona directamente un grupo para SSPR y admite grupos anidados en un destino más amplio. Antes de pasar de Seleccionado a Todos, documenta propietarios, comunicación, soporte, criterios de éxito y reversión.

radio_button_uncheckedshort_text12. Configura SSPR en la experiencia administrativa actual

Inicia sesión en el Centro de administración de Microsoft Entra con al menos Administrador de directivas de autenticación y ve a Entra ID > Restablecimiento de contraseña. Las exportaciones antiguas muestran Microsoft Azure Portal > Microsoft Entra ID > Administrar; los conceptos equivalen aunque cambie la navegación.

1. Propiedades: elige Seleccionado para el piloto o Todos para la población y guarda.
2. Métodos: usa la directiva centralizada vigente y define el número de pruebas SSPR donde aparezca.
3. Registro: decide si se registra al iniciar sesión y cuándo se reconfirman datos.
4. Notificaciones: elige avisos para usuarios y administradores.
5. Personalización: reemplaza el contacto genérico por correo o URL oficial.
6. Integración local: comprueba escritura diferida y desbloqueo independiente cuando corresponda.

radio_button_uncheckedshort_text13. Ejercicio: crea el grupo piloto

En el Centro de administración de Microsoft Entra, abre Entra ID > Grupos > Nuevo grupo y crea el grupo limitado.

Revisa y selecciona Crear. La pertenencia asignada hace explícita y auditable la población del piloto.

radio_button_uncheckedshort_text14. Ejercicio: crea y asigna el usuario de prueba

1. Abre Entra ID > Usuarios > Nuevo usuario > Crear nuevo usuario.
2. Usa balas como nombre principal y Bala Sandhu como nombre para mostrar.
3. Copia la contraseña temporal a un lugar protegido; en producción no guardes credenciales en Bloc de notas.
4. En Asignaciones, agrega SSPRTesters.
5. Revisa, crea y confirma la licencia requerida.

No asignes rol administrativo: esas cuentas tienen comprobaciones más fuertes y probarían otra directiva.

radio_button_uncheckedshort_text15. Ejercicio: habilita SSPR y registra información de seguridad

1. En Entra ID > Restablecimiento de contraseña > Propiedades, elige Seleccionado, SSPRTesters y guarda.
2. Revisa registro y notificaciones; permite OTP por correo para el grupo en la directiva vigente.
3. Personaliza soporte con admin@organization-domain-name.onmicrosoft.com, sustituyendo el dominio, y guarda.
4. Abre una ventana privada y visita https://aka.ms/ssprsetup.
5. Inicia sesión como balas@organization-domain-name.onmicrosoft.com y cambia la contraseña temporal si se solicita.
6. En Información de seguridad, agrega Correo, indica una dirección externa y valida el código.

Si el portal dice que el administrador no habilitó la característica, comprueba grupo, pertenencia, licencia, método y propagación. La ventana privada evita contaminar la prueba con una sesión administrativa.

radio_button_uncheckedshort_text16. Ejercicio: ejecuta el restablecimiento

1. En otra ventana privada, abre https://aka.ms/sspr.
2. Escribe balas@organization-domain-name.onmicrosoft.com, completa CAPTCHA y continúa.
3. Elige correo alternativo y solicita el código.
4. Escribe el código, establece y confirma una contraseña compatible y finaliza.
5. Registra solo el resultado, nunca la contraseña, confirma la notificación y cierra la sesión.

Las respuestas clave son que un usuario queda registrado al cumplir el mínimo de métodos permitidos y que SSPR permite restablecer cuando no puede iniciar sesión.

radio_button_uncheckedshort_text17. Marca: señal de seguridad, requisitos y límites

La marca aporta coherencia a las pantallas de acceso y recuperación. Ayuda a reconocer el inquilino, pero un logotipo no demuestra autenticidad; el usuario debe comprobar el dominio. El rol mínimo actual es Administrador de personalización de marca de la organización y se necesita licencia elegible.

El fondo se escala y recorta y puede quedar cubierto por el cuadro. El color actúa como respaldo. Actualmente también hay plantillas, logotipos de encabezado/banner, iconos claro/oscuro, pie, texto público, variantes por idioma y CSS limitado según la antigüedad del inquilino y su retirada.

radio_button_uncheckedshort_text18. Ejercicio: configura y prueba el acceso personalizado

1. Entra al Centro de administración de Microsoft Entra y cambia de directorio si el inquilino no es el correcto.
2. Ve a Entra ID > Personalización de marca; exportaciones antiguas dicen Personalización de marca de empresa.
3. En Aspectos básicos, carga favicon 32 × 32 y fondo 1920 × 1080, y elige el color.
4. Revisa Diseño, Encabezado, Pie y Formulario; no publiques secretos ni información interna.
5. Selecciona Revisar y crear, inspecciona y crea la experiencia predeterminada.
6. En una ventana privada, inicia como Bala Sandhu, verifica la marca y elige Olvidé mi contraseña.

En aplicaciones SaaS o Microsoft multiinquilino, la marca puede aparecer después de que el correo descubra el inquilino principal. Un parámetro whr puede anticiparla en flujos compatibles. Las cuentas personales de Microsoft no heredan esta marca.

radio_button_uncheckedshort_text19. Soluciona problemas metódicamente

radio_button_uncheckedshort_text20. Limpia el laboratorio de forma segura

• Elimina Bala Sandhu en Entra ID > Usuarios después de guardar evidencia sin secretos.
• Elimina SSPRTesters en Entra ID > Grupos si ninguna prueba depende de él.
• Define Restablecimiento de contraseña > Propiedades como Ninguno si SSPR no debe seguir activo.
• Revierte la marca de laboratorio; la experiencia predeterminada no se elimina, pero sus ajustes se pueden borrar.
• Si creaste un inquilino Premium solo para el módulo, respeta su ciclo de vida tras la prueba.

No deshabilites SSPR de producción ni borres identidades compartidas solo por la instrucción de limpieza. Confirma propiedad e impacto.

radio_button_uncheckedshort_text21. Decisiones de AZ-104 y trampas comunes

• Conocer la contraseña implica cambio; olvidarla o expirar implica restablecimiento.
• El registro existe cuando los métodos elegibles cumplen la cantidad.
• Seleccionado corresponde al piloto; Todos viene tras validar.
• Prueba la experiencia ordinaria con cuenta no administradora.
• Las preguntas no están disponibles para administradores y son la opción más débil del material.
• Una contraseña híbrida local exige escritura diferida saludable.
• Los métodos actuales se gobiernan con la directiva centralizada, no con controles heredados.
• La marca no reemplaza dominio correcto, MFA, Acceso condicional ni formación antiphishing.

radio_button_uncheckedshort_text22. Resumen, recuerdo activo y recursos oficiales

SSPR de Microsoft Entra permite que un usuario elegible y registrado se recupere de una contraseña olvidada, expirada o bloqueada después de demostrar su identidad. Una implementación segura combina licencia, ámbito gradual, métodos fuertes, datos actuales, notificaciones, soporte, escritura híbrida cuando proceda y marca probada.

Lista de recuerdo activo

• ¿Diferencias cambio, restablecimiento, desbloqueo y escritura diferida?
• ¿Recorres todas las comprobaciones antes de aceptar la nueva contraseña?
• ¿Predices el efecto de pasar de uno a dos métodos?
• ¿Eliges Ninguno, Seleccionado o Todos según el escenario?
• ¿Identificas cuándo usar Microsoft Entra Connect o sincronización en la nube?
• ¿Reproduces piloto, registro, restablecimiento, marca, prueba y limpieza?

Documentación oficial

• Cómo funciona SSPR de Microsoft Entra
• Habilitar el autoservicio de restablecimiento de contraseña
• Requisitos de licencia de SSPR
• Escritura diferida de contraseña con SSPR
• Configurar la personalización de marca
• Métodos de autenticación en Microsoft Entra ID