Correo corporativo y continuidad
Cuando una persona sale de la empresa, cambiar la contraseña de su correo no cierra todo el proceso. También hay que revisar sesiones, aplicaciones conectadas y quién atenderá los mensajes que sigan llegando.
Las guías vigentes de Microsoft 365 y Google Workspace coinciden en separar dos tareas: impedir accesos no autorizados y conservar la información que el negocio necesita. Para una pyme, hacerlo en el orden correcto evita tanto una cuenta expuesta como una cotización perdida por borrar el buzón demasiado pronto.
Este es un tema operativo vigente, no el anuncio de una nueva vulnerabilidad. La documentación oficial fue consultada el 20 de octubre de 2026; las recomendaciones de coordinación y el ejemplo que siguen son elaboración editorial de Tiser.
Tres decisiones diferentes, no un solo botón
Cerrar accesos
Bloquear el ingreso y revisar sesiones, credenciales y aplicaciones que todavía pueden conectarse.
Conservar información
Identificar mensajes, archivos y calendarios que deben permanecer bajo control de la empresa.
Dar continuidad
Asignar un responsable para los pendientes y para el correo entrante, con permisos propios y trazables.
Por qué una contraseña nueva no basta como comprobación
Microsoft documenta acciones separadas para restablecer la contraseña, cerrar las sesiones y bloquear el inicio de sesión. También advierte que algunos cambios no se reflejan inmediatamente: el cierre depende del estado de la sesión y de los tokens, y el bloqueo de acceso puede tardar en propagarse. Por eso, pulsar «guardar» no demuestra por sí solo que todos los accesos quedaron cerrados.
Google recomienda revisar además las aplicaciones autorizadas mediante OAuth, las cookies de acceso, los métodos de recuperación, las llaves de seguridad y las contraseñas de aplicación. Su guía señala que cambiar la contraseña revoca tokens de ciertos productos, pero pide revisar y revocar el resto del acceso autorizado.
La conclusión práctica no es aplicar el mismo menú a todos los proveedores: es comprobar qué mecanismos utiliza cada cuenta. Un buzón alojado en un servidor propio puede requerir revisar webmail, IMAP, SMTP, dispositivos y paneles de administración con procedimientos diferentes.
Una secuencia de baja que protege la operación
- Define responsable, autorización y hora efectiva. Coordina a dirección, recursos humanos y soporte. Registra qué cuentas y equipos están incluidos; no dependas de que alguien recuerde enviar un mensaje al final del día.
- Inventaría las dependencias. Además del correo, identifica nube, VPN, sistema administrativo, grupos, buzones compartidos y servicios donde esa dirección recibe códigos de recuperación. Asigna un nuevo responsable a las funciones del negocio.
- Cierra el acceso en el momento acordado. Ejecuta las medidas que correspondan al proveedor: bloqueo o suspensión, cambio de contraseña, revocación de sesiones y revisión de aplicaciones, llaves y métodos de recuperación. Incluye credenciales compartidas que la persona conociera y que deban rotarse.
- Conserva y transfiere los datos necesarios. Antes de eliminar la cuenta o retirar licencias, confirma qué mensajes, archivos y calendarios deben mantenerse, quién puede consultarlos y bajo qué política. Si existe una retención legal, coordina el tratamiento con el responsable correspondiente antes de modificarla.
- Resuelve la atención del buzón. Según la plataforma y la política interna, utiliza delegación, un buzón compartido o redirección autorizada. Define duración y responsable; no entregues la contraseña anterior ni reenvíes todo a una cuenta personal.
- Verifica y documenta el cierre. Revisa el estado de la cuenta y los registros disponibles; comprueba que el responsable accede con su propia identidad y envía un mensaje de prueba para verificar la ruta del correo entrante. Documenta excepciones, pendientes y fecha de revisión.
No borres primero para «ahorrar una licencia»
Microsoft contempla conservar el contenido, reenviar mensajes o convertir el buzón en compartido antes de completar la eliminación. La posibilidad de retirar una licencia depende de las características utilizadas y de los requisitos del buzón: conviene revisarlos, no asumir que cualquier conversión permite quitarla.
En Google Workspace, la guía para organizaciones con dominio verificado pide transferir los datos importantes antes de borrar al usuario y distingue ese proceso de suspenderlo o archivarlo. También aclara que borrar un usuario no reduce automáticamente las licencias contratadas en un plan anual o de plazo fijo.
Los plazos de recuperación, la retención y las opciones de archivo varían por servicio, configuración y contrato. No uses un plazo de rescate como si fuera un respaldo, ni confundas suspender una cuenta con haber transferido correctamente todos sus documentos.
Ejemplo: ventas cambia de responsable
Ejemplo hipotético: una ejecutiva deja la empresa y tres clientes aún responden a cotizaciones enviadas desde su dirección. Eliminar su cuenta de inmediato puede interrumpir esas conversaciones; mantenerla abierta con la misma contraseña deja acceso innecesario.
Una transición controlada cierra el acceso de la persona saliente, conserva los mensajes autorizados y permite que el nuevo responsable atienda el flujo mediante su propia cuenta. El equipo comunica el cambio con claridad y comprueba que las respuestas llegan al destino correcto. La imagen de esta entrada es ilustrativa de coordinación de equipos, no de este caso.
La baja digital también incluye los dispositivos
Revocar acceso al servidor no borra automáticamente archivos o correos que ya se descargaron. Revisa la devolución de equipos y, cuando exista administración de dispositivos y autorización, la retirada de los datos corporativos. Distingue entre borrar solo información de la organización y restablecer un dispositivo completo: no son acciones equivalentes.
Para pymes de CDMX, Querétaro y Celaya Guanajuato, una lista de cierre con evidencia verificable resulta más útil que una confirmación informal de «ya cambiamos la contraseña». El objetivo es que nadie conserve acceso indebido y que el trabajo continúe con un responsable identificable.
Cómo puede ayudar Tiser: podemos revisar tu proceso de alta y baja de usuarios, correo corporativo, permisos y continuidad de buzones para adaptar la transición a los servicios que realmente utiliza tu empresa.
Consulta nuestros servicios de correo e infraestructura, solicita una revisión de accesos y continuidad o registra una solicitud en Soporte Tiser.
Fuentes consultadas
- Microsoft Learn: retirar a un exempleado y proteger los datos. Conservación, continuidad del correo y eliminación de cuentas.
- Microsoft Learn: impedir el inicio de sesión y bloquear el acceso. Contraseña, sesiones y tiempos de aplicación de los cambios.
- Google Workspace: seguridad de los datos después de la salida de un empleado. Aplicaciones OAuth, recuperación, cookies, llaves y dispositivos.
- Google Workspace: borrar o quitar un usuario de la organización. Transferencia de información, alternativas y facturación.
- Fotografía: «Millennials Jam Workshop: Youth and ICTs beyond 2015», ITU Pictures, Flickr, licencia CC BY 2.0. Recorte horizontal y ajuste de tamaño por Tiser. Fotografía de un taller, utilizada para ilustrar coordinación de equipos; no muestra personal de Tiser ni un proceso real de baja de usuarios.