La cuenta del empleado que se marcha — Gestión de Microsoft 365 para empresas en Barcelona

El día que alguien deja la empresa, la cuenta se desactiva. Y ahí se acaba lo que hace casi todo el mundo.

El problema es que desactivar una cuenta no es cerrarla. La cuenta del empleado que se marcha sobrevive a la persona durante meses, y en ese tiempo sigue haciendo cosas: recibe correo, conserva accesos, mantiene permisos sobre documentos y, en el peor de los casos, sigue reenviando a una dirección de fuera.

Nada de esto da error. No hay ninguna pantalla en rojo. Por eso se queda así.

Las reglas de reenvío, que es lo que menos se mira

Empiezo por aquí porque es lo que más me encuentro y lo que menos se revisa.

Alguien que se va deja configurado un reenvío de su correo corporativo a su correo personal. A veces lo puso él. A veces se lo puso alguien de IT con buena intención, para que no perdiera nada. A veces es una regla de la bandeja de entrada que manda copia de todo lo que llega con determinada palabra en el asunto.

El reenvío sigue funcionando con la cuenta desactivada en muchos escenarios, porque es una configuración del buzón, no un inicio de sesión. Y si el buzón se convirtió en buzón compartido sin quitar las reglas, sigue funcionando durante años.

Lo que sale por ahí no es un correo: es todo lo que le llegue. Facturas, propuestas, nóminas, avisos de clientes, hilos internos donde se habla de la propia empresa.

Cómo se detecta: las reglas de la bandeja de entrada del buzón, una por una, y el apartado de reenvío del propio buzón. No basta con mirar uno de los dos, porque son sitios distintos y hay reenvíos configurados en cada uno.

Lo que sigue abierto cuando la cuenta se desactiva

Por orden de lo que más se olvida:

1. Las sesiones y los tokens. Desactivar la cuenta no cierra la sesión de nadie. Si la persona tenía Teams abierto en el móvil, sigue dentro hasta que ese token caduque, y un token de refresco bien puede durar semanas. Cerrar sesiones es un botón aparte.

2. El correo delegado. Si otra persona tenía permiso para leer o enviar como esa cuenta, ese permiso sigue ahí. A veces es lo que se quiere, casi nunca es lo que se revisó.

3. Los buzones compartidos. Un buzón compartido no tiene licencia y no se desactiva. Si el buzón de la persona que se fue se convirtió en compartido, ese buzón sigue vivo, con sus reglas, y ya nadie lo asocia a ningún empleado.

4. Los grupos. La pertenencia a grupos de seguridad y de distribución da acceso a sitios, a documentos y a listas de correo. Se retira al quitar la cuenta, pero si la cuenta se deja desactivada en lugar de eliminada, la pertenencia puede seguir contando para compartir cosas.

5. Las aplicaciones de terceros. Cualquier herramienta a la que la persona dio permiso con su cuenta corporativa conserva ese permiso. Es la parte que más gente desconoce que existe.

6. El OneDrive. Su contenido se reparte casi siempre entre «esto hay que conservarlo» y «esto hay que borrarlo», y sin una decisión escrita se conserva todo por defecto.

El orden correcto de cierre

El orden no es capricho: cada paso deja el terreno preparado para el siguiente.

1. Decidir qué pasa con el correo y su contenido, y dejarlo por escrito. No es una decisión técnica, es de la empresa.
2. Quitar los reenvíos y las reglas. Antes que nada, porque mientras existan todo lo que entre seguirá saliendo.
3. Cerrar las sesiones y revocar los tokens. No basta con desactivar.
4. Retirar los permisos delegados que no se hayan decidido conservar a propósito.
5. Revisar los buzones compartidos que puedan estar relacionados.
6. Retirar la pertenencia a grupos.
7. Revocar las aplicaciones de terceros.
8. Liberar la licencia. Este es el paso que se olvida; tiene su propia página.
9. Poner fecha al buzón. Si se conserva, con una fecha de destrucción decidida de antemano, no cuando alguien se acuerde.

Lo que no hay que hacer

Desactivar y pasar al siguiente. Es lo que se hace en el 90 % de los sitios y es justo lo que deja la puerta entreabierta.

Eliminar la cuenta el mismo día. Es la reacción contraria. Se pierde el buzón, se pierde el OneDrive y, si nadie ha mirado antes qué había, se pierde lo que no se debía perder. El orden de arriba existe para poder ir rápido sin destrozar nada.

Convertir el buzón en compartido y no quitar las reglas. Aquí está el caso más frecuente de todos, y el más silencioso.

Quién lo lleva

Esto es administración de Microsoft 365 y es una de las tareas del alta y baja de empleados, que entra dentro del servicio. Lo que hago en cada baja es recorrer la lista de arriba y dejar el cierre documentado, para que el día que alguien pregunte qué se hizo con esa cuenta haya una respuesta.

Si quieres saber cómo está esto en tu entorno hoy, la revisión se hace con permisos de solo lectura: qué cuentas desactivadas siguen con reenvíos activos, cuáles conservan accesos delegados y cuántas tienen licencia puesta. Con eso se decide por dónde empezar.

← Gestión de Microsoft 365 para empresas en Barcelona