Si tu CRM dejó de ver el correo en octubre, es EWS: Microsoft lo bloquea por defecto y el 1 de abril de 2027 lo apaga sin excepciones

En octubre muchas empresas descubrieron que algo dejó de sincronizar con su correo de Microsoft 365 sin que nadie hubiera tocado nada: el CRM ya no registra los correos con clientes, la pantalla afuera de la sala de juntas no muestra las reservaciones o el respaldo del buzón marca error. La causa más probable tiene tres letras: EWS, Exchange Web Services.

Microsoft lo anunció en su aviso MC1227454 del 5 de febrero de 2026: desde el 1 de octubre de 2026 empezó a desactivar EWS por fases en Exchange Online, tenant por tenant, para quien no lo hubiera configurado expresamente. Y el 1 de abril de 2027 empieza el apagado definitivo, sin prórrogas ni excepciones. A partir de ahí, ninguna configuración lo vuelve a encender.

Si en tu empresa todo sigue funcionando, no cantes victoria: el bloqueo va por fases y puede que tu tenant todavía no haya entrado. Y aunque ya lo hayas reactivado, solo compraste tiempo hasta abril.

Fuentes: avisos MC1227454 (5 de febrero de 2026), MC1447678 (5 de agosto, actualizado el 24 de agosto de 2026) y MC1485116 (1 de octubre de 2026) del centro de mensajes de Microsoft 365; Petri (10 de febrero de 2026) y Office 365 for IT Pros (6 de febrero y 23 de octubre de 2026).

Quién usa EWS en una PyME sin saberlo

Durante años EWS fue la forma estándar de que un programa externo leyera o escribiera correo, calendario y contactos de Exchange, así que está metido en lugares que nadie revisa:

• Conectores de CRM y ERP que guardan en la ficha del cliente los correos enviados y recibidos, o que crean citas en el calendario del vendedor. Si implementaste un CRM hace años, pregunta cómo se conecta al correo.
• Respaldos de Microsoft 365. EWS fue la vía principal de muchas herramientas de respaldo y de importación y exportación de buzones. Después del robo de la credencial del respaldo de ConnectWise, antes SkyKick, conviene revisar de todos modos qué herramienta tiene acceso a tus buzones.
• Reservación de salas y pantallas de agenda, que consultan el calendario de cada sala.
• Sincronizadores de calendario con Google, apps de agenda de citas y herramientas de mesa de ayuda que convierten correos en tickets.
• Scripts propios que alguien hizo para descargar adjuntos (facturas de proveedores, por ejemplo) o mover correos a carpetas.
• Clientes de correo viejos: el Outlook para Mac heredado (Legacy) usa EWS y deja de funcionar con Exchange Online. La Universidad William & Mary advierte que algunas versiones de Apple Mail y clientes como Thunderbird también pueden verse afectados.

Lo que no cambia: Outlook para Windows (en la compilación 16.0.20430.20092 de agosto de 2026 o posterior, según el aviso MC1485116), Outlook para Mac en su versión actual, Outlook en la web y Outlook móvil siguen funcionando. Ese mismo aviso menciona que Power Query de Excel, Power BI y los esquemas híbridos con Exchange Server pueden generar tráfico EWS: revísalos. Y el retiro es solo de la nube: Exchange Server local conserva EWS.

Cómo saber si te pega y ganar tiempo

Microsoft deja dos herramientas para el periodo de transición, que termina el 31 de marzo:

El reporte de uso. En el centro de administración de Microsoft 365 hay reportes de uso de EWS que muestran qué aplicaciones lo están usando en tu tenant. Es el punto de partida: cada aplicación que aparezca ahí es un proveedor al que hay que llamar.

La lista de aplicaciones permitidas (EWSAllowedAppIDs). Según el aviso MC1447678, desde octubre ya no basta con poner EWSEnabled en True para que todo vuelva a funcionar: con True y sin lista, se bloquea todo EWS salvo las relaciones entre organizaciones. Con True y la lista configurada, solo pasan las aplicaciones registradas, y Microsoft no te cambiará esa configuración antes de abril de 2027. Según Office 365 for IT Pros (23 de octubre de 2026), Microsoft prellenó la lista con las aplicaciones que usaron EWS en los 60 días previos, así que revísala antes de reactivar: puede incluir aplicaciones que ya nadie usa y, según el aviso MC1485116 (1 de octubre de 2026), dejar fuera las que se usan poco, como un proceso de cierre mensual. Tres detalles que cuestan horas si no los sabes:

• Para ver la lista hay que pedirla de forma explícita: Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDs.
• Al actualizarla, la lista nueva reemplaza a la anterior. Si olvidas incluir una aplicación, la dejas fuera.
• Los cambios tardan hasta 24 horas en aplicarse. No esperes a la mañana del cierre de mes para corregir.

Microsoft también advirtió que puede hacer "pruebas de grito" (scream tests): apagar EWS por un rato para que salgan a la luz las dependencias ocultas. Si un día tu integración falla y al otro vuelve, no es casualidad.

Si tienes Exchange en la oficina y en la nube

El esquema híbrido tiene su propia tarea. Con EWS apagado en la nube, Microsoft pide que los buzones locales que interactúan con Exchange Online estén en Exchange Server SE y que la conexión híbrida haga sus consultas por Graph mediante la aplicación híbrida dedicada. Si todavía tienes Exchange 2016 o 2019, ya traes dos problemas encima: su soporte pagado terminó el 31 de octubre y Microsoft ya empezó a frenar y rechazar el correo de esos servidores.

Qué hacer este mes

1. Abre el reporte de uso de EWS en el centro de administración de Microsoft 365 y anota cada aplicación que aparezca, con su ID.
2. Pregunta por escrito a cada proveedor (CRM, ERP, respaldo, salas, mesa de ayuda) si su conector ya usa Microsoft Graph y desde qué versión. Si la respuesta es "estamos trabajando en ello", pide fecha.
3. Si algo ya se rompió, configura EWSEnabled en True con la lista de permitidas que incluya solo esas aplicaciones. No abras EWS para todos.
4. Actualiza los clientes de correo. Quita el Outlook para Mac heredado y revisa quién usa Apple Mail, Thunderbird u otro cliente con la cuenta de la empresa.
5. Revisa los permisos de cada aplicación mientras haces el inventario. Una aplicación que ya no usas pero conserva acceso a los buzones es una puerta abierta, como mostró el phishing por OAuth de GhostCode. Quita las que sobren.
6. Pon una fecha interna antes de abril, por ejemplo el 1 de marzo, para tener todo migrado y un mes de margen para lo que falle.

Contexto

Microsoft publicó el calendario en el aviso MC1227454 del 5 de febrero de 2026 y lo complementó con el MC1447678 del 5 de agosto (actualizado el 24 de agosto), que explica la lista de aplicaciones permitidas. Las fechas clave, 1 de octubre de 2026 y 1 de abril de 2027, coinciden en todas las fuentes consultadas el 28 de octubre de 2026. En febrero, Office 365 for IT Pros había leído en el calendario de Microsoft que el retiro completo podía extenderse a mayo de 2027, pero en su nota del 23 de octubre de 2026 ya da el 1 de abril como la fecha en que Microsoft retira EWS de forma permanente. El aviso MC1485116 estima que todo el proceso por fases quede completo a principios de julio de 2027, pero no lo tomes como prórroga: los avisos MC1227454 y MC1447678 fijan el 1 de abril como inicio del retiro definitivo, sin reactivación posible. Petri ubicó a fines de agosto el plazo para configurar la lista y quedar fuera del primer bloqueo, plazo que ya pasó.

Aquí no se rompe un usuario sino una integración, y casi siempre la nota primero el vendedor sin historial o la recepción sin agenda, no el área de TI. En nube y soporte técnico hacemos el inventario de aplicaciones conectadas a tu Microsoft 365, armamos la lista de permitidas y coordinamos con tus proveedores la migración a Graph.