La forma habitual de entregar un buzón a alguien consiste en crearlo, elegir una contraseña y enviarle ambos datos. Todo el mundo sabe que no es correcto y casi todo el mundo lo hace, porque históricamente la alternativa exigía más trabajo. Las invitaciones de configuración eliminan esa excusa: el administrador nunca elige la contraseña y nadie tiene que compartirla por correo electrónico o chat.
En esta página explicamos cómo funcionan las invitaciones, por qué la decisión de no compartir nunca contraseñas importa más de lo que parece y qué implica para la autenticación de dos factores y la baja de usuarios.
Por qué no debes compartir contraseñas, aunque nunca ocurra nada
La razón más evidente para no compartir contraseñas es el riesgo de que alguien las intercepte. Una contraseña enviada por correo o chat permanece indefinidamente en al menos dos buzones, se puede encontrar con una búsqueda y sobrevive en todas las copias de seguridad. Cualquiera que más adelante acceda a una de esas cuentas podrá verla. Las recomendaciones del NIST llevan años desaconsejando transmitir secretos de esta forma.
El problema menos visible es que la contraseña nunca se cambia. En teoría, el usuario establece una nueva al iniciar sesión por primera vez; en la práctica, conserva la que recibió porque funciona y nada le obliga a sustituirla. Meses después, el administrador sigue conociendo una credencial válida del buzón de otra persona. Esto impide sostener con garantías que las acciones realizadas desde ese buzón fueron obra del usuario.
Este último punto es el importante cuando surge una disputa. Si dos personas conocen una contraseña, ninguna acción realizada desde esa cuenta puede atribuirse con certeza a una de ellas. Evitar las contraseñas compartidas no solo mejora la seguridad: es un requisito para que el registro de auditoría tenga algún valor.
Cómo permiten las invitaciones no compartir contraseñas
El administrador crea el buzón sin asignarle ninguna contraseña. El sistema envía un enlace al usuario previsto, este lo abre y elige su propia contraseña. La credencial no pasa en ningún momento por manos de otra persona.
Por tanto, la credencial nunca existe en una forma que alguien más haya visto. No queda nada en la carpeta de enviados ni en el historial de un chat, y el administrador no tiene ninguna contraseña que pueda olvidar que conoce.
Las invitaciones se pueden enviar de forma individual o en lote. Esa posibilidad marca la diferencia entre una buena idea y una herramienta realmente práctica. Preparar cuarenta buzones para un nuevo cliente supone enviar cuarenta invitaciones en una sola operación, en lugar de generar, registrar y transmitir cuarenta contraseñas. Explicamos este proceso en la creación de buzones en lote.
La autenticación de dos factores completa la protección
No compartir contraseñas cierra una brecha, pero deja otra abierta: una contraseña que solo conoce el usuario todavía puede ser débil o haberse reutilizado.
La autenticación de dos factores cierra esa segunda brecha. El usuario la activa desde la configuración del webmail, no durante la invitación. Es una solicitud aparte y requiere adquirir otro hábito, así que su adopción depende de que la pidas y no de que el proceso la imponga.
Pídela al enviar la invitación y vuelve a recordarla una semana después. La página de seguridad de buzones del panel muestra qué buzones tienen activo el segundo factor y cuándo se confirmó. Así puedes revisar una lista concreta en lugar de confiar en suposiciones.
Exige también que se guarden los códigos de recuperación. El propietario de una cuenta no puede eliminar desde el panel el segundo factor de un buzón. Si un usuario pierde tanto el dispositivo como los códigos, necesitará abrir una solicitud de soporte. Encontrarás todos los detalles en cómo resolver un bloqueo por 2FA.
Cómo cambia el trabajo del administrador
No compartir contraseñas reduce en gran medida el trabajo del administrador, aunque exige un pequeño cambio.
Dejas de custodiar credenciales y desaparece toda una clase de solicitudes. «¿Puedes recordarme mi contraseña?» se convierte en un restablecimiento que realiza el propio usuario. También dejas de ser la persona en quien todos deben confiar, lo que supone un verdadero alivio cuando gestionas buzones de clientes y no de compañeros.
El cambio consiste en que ya no puedes entrar en el buzón de otra persona para comprobar algo. Puede resultar incómodo la primera vez, pero siempre es lo correcto. Si la empresa necesita acceso a la correspondencia, la solución es un buzón compartido con una lista de miembros, no que el administrador conozca la contraseña de un usuario. Son modelos distintos, con responsabilidades diferentes, y confundirlos es precisamente lo que se pretende evitar al no compartir contraseñas.
Los casos que todavía requieren atención
Hay dos situaciones que conviene estudiar en lugar de activarlas y olvidarse. En ambos casos resulta mejor hacer comprobaciones periódicas que confiar en la memoria.
Usuarios que nunca completan la invitación. Un buzón sin reclamar es un buzón que nadie lee, aunque puede estar recibiendo mensajes. Es correcto que las invitaciones caduquen, pero alguien debe comprobar que la persona prevista terminó la configuración en lugar de darlo por hecho.
Direcciones asociadas a un objeto o una referencia, no a una persona. Un buzón para un inmueble o un número de trabajo no tiene un usuario al que invitar. En estos casos conviene crear desde el principio un buzón compartido con miembros, para que el acceso dependa de una lista y no de una credencial. De lo contrario, acabarás recurriendo de nuevo a una contraseña compartida por otra vía.
Las invitaciones caducan para evitar que acabes compartiendo contraseñas
Un enlace de configuración que permaneciera válido para siempre sería una contraseña con pasos adicionales. Por eso las invitaciones tienen una vigencia limitada y dejan de funcionar cuando vence.
En la práctica, preparar el buzón mucho antes de que la persona empiece a trabajar produce enlaces caducados y una cadena de correos confusos durante su primera mañana. Envía las invitaciones cuando los usuarios estén listos para utilizarlas. Si una ha caducado, emite otra en lugar de intentar recuperarla: solo lleva unos segundos.
No compartas contraseñas en ningún otro servicio
Cuando dejas de distribuir las credenciales de los buzones, la misma cuestión aparece en otros ámbitos y merece la pena aplicar allí el mismo criterio.
Una cuenta compartida para el almacenamiento, la misma contraseña de aplicación en varios dispositivos o un único token de API utilizado por tres scripts presentan la misma debilidad: revocar el acceso a una parte obliga a interrumpirlo para todas. Las credenciales de almacenamiento por dispositivo resuelven un problema equivalente, como explicamos en la sincronización de archivos entre dispositivos.
La regla es general: una credencial conocida por más de una parte no se puede revocar solo para una de ellas ni permite atribuir una acción con certeza. Organizar el acceso para no compartir contraseñas no trata principalmente de mantener secretos. Se trata de poder cambiar una decisión sobre una persona sin afectar a todas las demás.
