[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/exchange-online-powershell-credential-scripts-diciembre":3,"prev-/blog/noticias/exchange-online-powershell-credential-scripts-diciembre":402,"next-/blog/noticias/exchange-online-powershell-credential-scripts-diciembre":380,"related-/blog/noticias/exchange-online-powershell-credential-scripts-diciembre":405,"author-Diego Herrera":423},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":357,"cta":358,"date":363,"dateModified":363,"description":364,"draft":365,"extension":366,"faq":367,"featured":365,"howto":380,"image":381,"imageAlt":382,"intent":383,"keywords":384,"meta":389,"navigation":390,"path":391,"publishedTime":392,"readingTime":393,"seo":394,"seoTitle":395,"stem":396,"tags":397,"__hash__":401},"blog/blog/noticias/exchange-online-powershell-credential-scripts-diciembre.md","Tus scripts de Microsoft 365 con usuario y contraseña dejan de servir en diciembre: Exchange Online retira -Credential","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":348},"minimark",[11,15,44,109,112,117,130,133,145,149,177,180,184,294,305,309,327,335],[12,13,14],"p",{},"Si alguien en tu empresa (o tu proveedor de TI) programó tareas que entran solas a Microsoft 365 para dar de alta buzones, sacar reportes o ajustar permisos, es probable que lo haga con un usuario y una contraseña guardados en el servidor. Esa forma de conexión tiene fecha de salida.",[12,16,17,18,22,23,26,27,30,31,35,36,39,40,43],{},"Microsoft publicó el aviso ",[19,20,21],"strong",{},"MC1248389"," el 10 de marzo de 2026 y lo actualizó el 15 de julio: las versiones del módulo de PowerShell de Exchange Online (",[19,24,25],{},"ExchangeOnlineManagement",") que salgan ",[19,28,29],{},"a partir de diciembre de 2026"," ya no incluirán el parámetro ",[32,33,34],"code",{},"-Credential"," en ",[32,37,38],{},"Connect-ExchangeOnline"," (correo) ni en ",[32,41,42],{},"Connect-IPPSSession"," (cumplimiento y seguridad). La fecha original era julio; Microsoft la recorrió a fin de año.",[45,46,47,63],"table",{},[48,49,50],"thead",{},[51,52,53,57,60],"tr",{},[54,55,56],"th",{},"Qué",[54,58,59],{},"Cuándo",[54,61,62],{},"Efecto",[64,65,66,81,92],"tbody",{},[51,67,68,75,78],{},[69,70,71,72,74],"td",{},"Módulo con ",[32,73,34],{}," (3.10.1 y anteriores)",[69,76,77],{},"Hoy",[69,79,80],{},"Sigue funcionando",[51,82,83,86,89],{},[69,84,85],{},"Primera versión del módulo de diciembre de 2026",[69,87,88],{},"Diciembre de 2026",[69,90,91],{},"El parámetro desaparece; el script falla al conectar",[51,93,94,97,100],{},[69,95,96],{},"Retiro del lado del servidor",[69,98,99],{},"Fecha por anunciar",[69,101,102,104,105,108],{},[32,103,34],{}," deja de funcionar con ",[19,106,107],{},"cualquier"," versión",[12,110,111],{},"Fuentes: aviso MC1248389 (versión del 15 de julio de 2026, consultada en el espejo público mc.merill.net) y notas de versión del módulo en Microsoft Learn, consultadas el 19 de octubre de 2026.",[113,114,116],"h2",{"id":115},"por-qué-microsoft-lo-quita","Por qué Microsoft lo quita",[12,118,119,121,122,125,126,129],{},[32,120,34],{}," usa un flujo de inicio de sesión llamado ROPC: el script entrega usuario y contraseña directamente, sin pantalla de Microsoft de por medio. Ese flujo ",[19,123,124],{},"no puede pedir MFA",". Por eso, para que esos scripts funcionen, muchas empresas dejaron una cuenta de administrador ",[19,127,128],{},"excluida de la MFA y del acceso condicional",", con la contraseña escrita en un archivo o en el propio script.",[12,131,132],{},"Es justo la cuenta que buscan los atacantes: permisos altos, nadie la usa a mano y su contraseña casi nunca cambia. El aviso de Microsoft lo dice de forma directa: al retirar este flujo, el acceso condicional y la MFA pueden aplicarse a todas las conexiones de PowerShell de Exchange Online.",[134,135,138],"callout",{"icon":136,"title":137},"i-lucide-triangle-alert","La versión del módulo puede cambiar sin que nadie lo decida",[12,139,140,141,144],{},"Un servidor nuevo, una reinstalación o una tarea que ejecuta ",[32,142,143],{},"Update-Module"," instala la versión más reciente. En cuanto esa versión sea de diciembre o posterior, el script que ayer funcionaba amanece con error; nadie lo nota hasta que falta un reporte o no se crea el buzón de un empleado nuevo.",[113,146,148],{"id":147},"qué-tareas-suelen-romperse-en-una-pyme","Qué tareas suelen romperse en una PyME",[150,151,152,159,165,171],"ul",{},[153,154,155,158],"li",{},[19,156,157],{},"Altas y bajas de personal:"," scripts que crean el buzón, lo agregan a listas de distribución o lo convierten en buzón compartido cuando alguien se va.",[153,160,161,164],{},[19,162,163],{},"Reportes programados:"," tamaño de buzones, reenvíos a cuentas externas, licencias asignadas.",[153,166,167,170],{},[19,168,169],{},"Permisos y calendarios:"," dar acceso a un buzón de ventas o de facturación, cambiar permisos de calendario de salas.",[153,172,173,176],{},[19,174,175],{},"Herramientas de terceros:"," algunos programas de firmas, archivado o respaldo se conectan con una cuenta y contraseña que tú les diste. Pregunta al fabricante qué método usan.",[178,179],"ad-banner",{},[113,181,183],{"id":182},"qué-hacer-antes-de-diciembre","Qué hacer antes de diciembre",[185,186,187,210,222,266,272,278,284],"ol",{},[153,188,189,192,193,196,197,199,200,202,203,205,206,209],{},[19,190,191],{},"Busca los scripts."," En cada servidor o equipo donde corran tareas programadas, busca archivos ",[32,194,195],{},".ps1"," que contengan ",[32,198,38],{}," o ",[32,201,42],{}," junto con ",[32,204,34],{},". Un ",[32,207,208],{},"Get-ChildItem -Recurse -Filter *.ps1 | Select-String \"Credential\""," en las carpetas de scripts da una primera lista. Revisa también el Programador de tareas.",[153,211,212,215,216,221],{},[19,213,214],{},"Identifica las cuentas."," Anota qué usuario usa cada script, qué rol tiene y si está excluido de la MFA o del acceso condicional. Si la contraseña está en texto plano, considérala expuesta: cámbiala hoy y guárdala en un ",[217,218,220],"a",{"href":219},"/blog/tutorial/implementar-gestor-contrasenas-empresa","gestor de contraseñas empresarial"," mientras migras.",[153,223,224,227,228],{},[19,225,226],{},"Pasa cada script a autenticación con certificado."," El procedimiento oficial de Microsoft Learn es:\n",[150,229,230,233,240,243,259],{},[153,231,232],{},"Registrar una aplicación en Microsoft Entra ID (de un solo inquilino).",[153,234,235,236,239],{},"Darle el permiso de aplicación ",[19,237,238],{},"Exchange.ManageAsApp"," (Office 365 Exchange Online para correo; Microsoft Exchange Online Protection para cumplimiento) y otorgar el consentimiento de administrador.",[153,241,242],{},"Crear un certificado (puede ser autofirmado; Microsoft aclara que debe ser de proveedor CSP, no CNG) y subir la parte pública a la aplicación.",[153,244,245,246,249,250,254,255,258],{},"Asignarle ",[19,247,248],{},"el rol más limitado que alcance",": para altas de buzones basta ",[251,252,253],"em",{},"Exchange Recipient Administrator","; ",[251,256,257],{},"Global Reader"," sirve para reportes. Evita Administrador global.",[153,260,261,262,265],{},"Cambiar la línea de conexión a ",[32,263,264],{},"Connect-ExchangeOnline -CertificateThumbPrint ... -AppID ... -Organization tuempresa.onmicrosoft.com",".",[153,267,268,271],{},[19,269,270],{},"Si el script corre en Azure Automation",", usa identidad administrada: no hay contraseña ni certificado que custodiar.",[153,273,274,277],{},[19,275,276],{},"Para el trabajo manual de los administradores",", inicio de sesión interactivo con MFA. Nadie debería escribir su contraseña en un script \"para no estar tecleando\".",[153,279,280,283],{},[19,281,282],{},"Cierra las excepciones."," Cuando el último script esté migrado, deshabilita la cuenta de servicio o quítale el rol, y elimina su exclusión de las políticas de MFA y acceso condicional.",[153,285,286,289,290,293],{},[19,287,288],{},"Mientras tanto, fija la versión."," Si no alcanzas a migrar todo, instala explícitamente la 3.10.1 (",[32,291,292],{},"Install-Module ExchangeOnlineManagement -RequiredVersion 3.10.1",") en los servidores de tareas y quita cualquier actualización automática del módulo. Es un parche temporal: el retiro del lado del servidor no depende de tu versión.",[134,295,298],{"icon":296,"title":297},"i-lucide-key-round","El certificado también es una llave",[12,299,300,301,304],{},"Quien tenga el archivo ",[32,302,303],{},".pfx"," con su clave privada puede actuar como la aplicación. Guárdalo en el almacén de certificados del usuario que ejecuta la tarea, no en una carpeta compartida, ponle vigencia (un año es razonable) y agenda su renovación antes de que venza.",[113,306,308],{"id":307},"contexto-microsoft-cierra-las-puertas-con-contraseña-una-por-una","Contexto: Microsoft cierra las puertas con contraseña una por una",[12,310,311,312,316,317,321,322,326],{},"Este cambio se suma a una serie de fechas que caen en el mismo trimestre: el ",[217,313,315],{"href":314},"/blog/noticias/smtp-auth-basica-microsoft-365-fin-diciembre","apagado por defecto de SMTP AUTH básico a fin de diciembre",", el ",[217,318,320],{"href":319},"/blog/noticias/entra-sms-voz-mfa-proveedor-30-octubre","cambio en los métodos de SMS y voz de Entra"," y el ajuste en el ",[217,323,325],{"href":324},"/blog/noticias/entra-sspr-metodos-registrados-7-noviembre","restablecimiento de contraseñas por autoservicio",". La dirección es la misma: ningún acceso a Microsoft 365 sin un factor que no sea solo la contraseña.",[12,328,329,330,334],{},"Y las cuentas técnicas se olvidan: este mismo mes vimos ",[217,331,333],{"href":332},"/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos","inquilinos de Microsoft 365 comprometidos a través de un proveedor de respaldos",", por una conexión automática con permisos amplios.",[12,336,337,338,342,343,347],{},"En ",[217,339,341],{"href":340},"/servicios/ciberseguridad","ciberseguridad"," y ",[217,344,346],{"href":345},"/servicios/cloud","cloud"," hacemos ese inventario de scripts y cuentas de servicio, migramos las conexiones a certificado con el mínimo permiso y documentamos quién renueva cada certificado.",{"title":349,"searchDepth":350,"depth":351,"links":352},"",2,3,[353,354,355,356],{"id":115,"depth":350,"text":116},{"id":147,"depth":350,"text":148},{"id":182,"depth":350,"text":183},{"id":307,"depth":350,"text":308},"noticias",{"title":359,"description":360,"label":361,"to":340,"icon":362},"¿Quién escribió los scripts que administran tu correo?","Encontramos los scripts y cuentas de servicio que se conectan a Microsoft 365 con contraseña, los pasamos a certificado con permisos mínimos y cerramos las excepciones de MFA que dejaron abiertas.","Ver servicio de ciberseguridad","i-lucide-shield-check","2026-10-26","Las versiones del módulo de Exchange Online PowerShell de diciembre de 2026 ya no aceptan -Credential. Qué scripts se rompen y cómo pasarlos a certificado.",false,"md",[368,371,374,377],{"question":369,"answer":370},"¿Qué cambia exactamente en diciembre?","Según el aviso MC1248389 del Centro de mensajes de Microsoft 365, las versiones del módulo ExchangeOnlineManagement que salgan a partir de diciembre de 2026 ya no tendrán el parámetro -Credential en Connect-ExchangeOnline ni en Connect-IPPSSession. Un script que lo use y cargue esa versión del módulo deja de conectarse.",{"question":372,"answer":373},"Si no actualizo el módulo, ¿mis scripts siguen funcionando?","Por un tiempo. Microsoft dice que las versiones anteriores a diciembre seguirán aceptando -Credential, pero también anunció un retiro posterior del lado del servidor, con fecha aún no publicada. Cuando llegue, -Credential dejará de funcionar con cualquier versión del módulo. Congelar la versión solo compra tiempo.",{"question":375,"answer":376},"¿A qué método debo pasar mis tareas automáticas?","Para scripts desatendidos fuera de Azure, a autenticación de aplicación con certificado (app-only o CBA): una aplicación registrada en Microsoft Entra ID con el permiso Exchange.ManageAsApp y un rol limitado. Si el script corre en Azure Automation, a identidad administrada. Para uso manual de un administrador, inicio de sesión interactivo con MFA.",{"question":378,"answer":379},"¿Esto tiene que ver con el apagado de SMTP AUTH?","Es la misma tendencia, pero otro servicio. SMTP AUTH es el envío de correo con usuario y contraseña desde multifuncionales o sistemas; -Credential es la forma en que los scripts de administración se conectan a Exchange Online. Ambos eliminan inicios de sesión con contraseña que no pueden pasar por MFA.",null,"/images/blog/noticias/exchange-online-powershell-credential-scripts-diciembre.jpg","Ventana de PowerShell con el comando Connect-ExchangeOnline y un candado junto a un calendario con diciembre marcado","informational",[385,386,387,388],"exchange online powershell credential","connect-exchangeonline -credential obsoleto","mc1248389","autenticación con certificado exchange online",{},true,"/blog/noticias/exchange-online-powershell-credential-scripts-diciembre","2026-10-26T08:15:00-06:00",5,{"title":5,"description":364},"Exchange Online PowerShell retira -Credential en diciembre","blog/noticias/exchange-online-powershell-credential-scripts-diciembre",[398,341,399,400],"microsoft 365","automatización","identidad","DoDCsN4kmTpCm0E_Uw7XPJ_v9KT1q-DSbDrZ3KXTKF8",{"path":403,"title":404},"/blog/noticias/postgresql-14-php-8-2-fin-soporte-noviembre-diciembre","PostgreSQL 14 se queda sin parches el 12 de noviembre y PHP 8.2 el 31 de diciembre: revisa tu ERP y tu sitio web",[406,412,418],{"path":407,"title":408,"description":409,"date":363,"category":357,"image":410,"imageAlt":411,"readingTime":393},"/blog/noticias/imss-incapacidades-pago-cuenta-bancaria-montos","El IMSS ya solo paga por depósito las incapacidades más altas: los nuevos montos y qué debe hacer Recursos Humanos","Desde el 6 de octubre el IMSS paga por depósito toda incapacidad de 9, 16 o 99 salarios mínimos o más. Montos, a quién afecta y cómo ayudar a tu personal.","/images/blog/noticias/imss-incapacidades-pago-cuenta-bancaria-montos.jpg","Certificado de incapacidad del IMSS junto a un celular con una transferencia bancaria y una calculadora de nómina",{"path":413,"title":414,"description":415,"date":363,"category":357,"image":416,"imageAlt":417,"readingTime":393},"/blog/noticias/azure-openai-foundry-retiros-whisper-o3-gpt-4o-diciembre","Azure apaga en noviembre y diciembre los modelos de IA de muchos chatbots y transcriptores: Whisper se va sin reemplazo","Microsoft Foundry retira o3, o4-mini, Claude 4.5, gpt-4o 2024-05-13, Whisper y TTS entre el 15 de noviembre y el 16 de diciembre. Qué se actualiza solo y qué no.","/images/blog/noticias/azure-openai-foundry-retiros-whisper-o3-gpt-4o-diciembre.jpg","Panel del portal de Microsoft Foundry con una lista de implementaciones de modelos y un calendario con fechas de noviembre y diciembre marcadas",{"path":403,"title":404,"description":419,"date":420,"category":357,"image":421,"imageAlt":422,"readingTime":393},"PostgreSQL 14 recibe su último parche el 12 de noviembre de 2026 y PHP 8.2 deja de tener soporte el 31 de diciembre. Cómo saber si te afecta y a dónde migrar.","2026-10-25","/images/blog/noticias/postgresql-14-php-8-2-fin-soporte-noviembre-diciembre.jpg","Terminal de un servidor Linux mostrando la versión de PostgreSQL y de PHP junto a un calendario con el 12 de noviembre y el 31 de diciembre marcados",{"id":424,"avatar":380,"bio":425,"entityType":426,"expertise":427,"extension":428,"meta":429,"name":6,"role":430,"slug":431,"social":380,"stem":432,"url":7,"__hash__":433},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]