Un pase de acceso temporal (Temporary Access Pass o TAP) es un código con vigencia limitada en Microsoft Entra ID que permite a un usuario iniciar sesión una vez, o durante un periodo corto, para configurar una passkey u otro método seguro. Es el puente que hace que passwordless funcione en la práctica: los empleados nuevos lo usan para registrar su primera passkey y quienes pierden el teléfono lo usan para volver a entrar. Mal configurado, se convierte en una contraseña con pasos de más.
Esta guía explica qué es el TAP y qué no es, las configuraciones que importan, los tres escenarios en los que vale la pena y los errores que nuestros expertos en identidad ven con más frecuencia. Lea esta guía como complemento de nuestro plan de 90 días para desplegar passkeys.
Qué es un pase de acceso temporal y qué no es
El TAP sirve para dar de alta métodos sin contraseña, como las passkeys, y para ayudar a los usuarios a recuperarse cuando pierden u olvidan su método seguro. Hay algunos puntos que suelen pasarse por alto:
- No reemplaza la contraseña. Si el usuario tiene contraseña, sigue funcionando.
- Cuenta como autenticación multifactor, pero no como resistente al phishing. En las fuerzas de autenticación del Acceso condicional, el TAP solo forma parte de la fuerza MFA, no de las fuerzas sin contraseña ni resistente al phishing.
- No es un método de recuperación de autoservicio. En la tabla de métodos de autenticación de Microsoft, el TAP sirve para iniciar sesión y como MFA, pero no para el restablecimiento de contraseña de autoservicio.
- Uno por usuario. Cada usuario solo puede tener un TAP a la vez. Si se crea uno nuevo, reemplaza al anterior.
Las configuraciones que importan
El TAP se configura en la directiva de métodos de autenticación. Estos son los valores predeterminados y los límites de Microsoft:
| Configuración | Predeterminado | Rango | Qué recomiendan nuestros expertos |
|---|---|---|---|
| Vigencia mínima | 1 hora | 10 minutos a 30 días | Mantenerla corta |
| Vigencia máxima | 8 horas | 10 minutos a 30 días | Un día laboral como máximo para la mayoría de los usuarios |
| Vigencia predeterminada | 1 hora | 10 minutos a 30 días | 1 hora para recuperación |
| Uso único | No | Sí / No | Sí para recuperación; considerar varios usos solo para configurar equipos |
| Longitud | 8 caracteres | 8 a 48 caracteres | Mantener la predeterminada o una mayor |
Dos detalles cambian el diseño del proceso. Primero, la opción de uso único se aplica a todo el tenant: si la activa, todos los TAP son de un solo uso. Segundo, solo los usuarios incluidos en la directiva de TAP pueden iniciar sesión con uno, aunque un administrador les haya creado un pase.
Quién puede emitir un TAP
| Rol | Qué puede hacer |
|---|---|
| Authentication Policy Administrator | Activar el TAP, elegir qué usuarios y grupos se incluyen y editar la directiva |
| Privileged Authentication Administrator | Crear, eliminar y ver TAP de administradores y miembros |
| Authentication Administrator | Crear, eliminar y ver TAP de miembros |
| Global Reader | Ver los detalles del TAP, pero no el código |
El código se muestra una sola vez, al crear el TAP. El proceso de su mesa de ayuda debe tenerlo en cuenta.
Tres escenarios en los que el TAP vale la pena
1. Dar de alta a un empleado nuevo sin contraseña
La guía de implementación sin contraseña de Microsoft recomienda verificar la identidad de la persona nueva y luego darle un TAP para registrar su primera credencial portátil. Para un nivel de seguridad alto, la identidad se puede verificar con Microsoft Entra Verified ID y Face Check. El usuario puede iniciar sesión directamente en Microsoft Authenticator con el TAP, en iOS o Android, y crear allí su passkey.
2. Recuperar a un usuario que perdió todos sus métodos
Cuando alguien pierde su único método seguro, la mesa de ayuda verifica su identidad y emite un TAP de un solo uso para que registre una passkey nueva. Microsoft también documenta un flujo de recuperación de cuentas de autoservicio: el usuario verifica su identidad con la revisión de un documento y Face Check, recibe un TAP y debe registrar un método nuevo antes de que venza.
3. Configurar un equipo con Windows
Un TAP sirve para unir un equipo a Microsoft Entra ID y registrar Windows Hello para empresas. En equipos que ya están unidos, el usuario primero debe iniciar sesión con otro método. Si el inicio de sesión web de Windows está activo, un TAP puede iniciar la sesión en el equipo, pero Microsoft aclara que es solo para la configuración inicial o la recuperación.
Errores que vemos con frecuencia
- Pases largos y de varios usos «por si acaso». Un TAP válido por varios días es una contraseña con otro nombre. Mantenga vigencias cortas y el uso único como norma.
- Emitir un TAP sin verificar la identidad. El TAP es tan seguro como la verificación que lo precede. Documente los pasos de verificación y capacite a la mesa de ayuda.
- Olvidar que las sesiones duran más que el pase. Cuando un TAP vence, las sesiones ya abiertas siguen funcionando. Use la frecuencia de inicio de sesión del Acceso condicional para limitarlas.
- Usuarios atrapados por la ventana de 10 minutos. Con un TAP de un solo uso, el registro sin contraseña debe completarse dentro de los 10 minutos posteriores al inicio de sesión. Avise a los usuarios antes de empezar.
- Directivas de registro que bloquean las passkeys. Los usuarios incluidos en la directiva de registro de SSPR o en la directiva de registro de MFA de ID Protection pasan a un modo de registro que hoy no admite registrar passkeys. Revise esas directivas antes de la campaña.
- Esperar que funcione en todas partes. El TAP no funciona con la extensión NPS ni con el adaptador de AD FS, y no se puede asignar a usuarios invitados externos.
Cómo ayudan nuestros expertos
Nuestros expertos en identidad diseñan el proceso del TAP junto con el resto del despliegue sin contraseña: quién puede emitir un pase, cómo se verifica la identidad, qué vigencia aplica a cada escenario y cómo resuelve la mesa de ayuda las recuperaciones. Nuestras soluciones de Secure Access cubren el resto del camino:
- Secure Access E-ntelligence muestra los métodos que cada usuario registró y los que realmente usa, para saber quién necesitará un TAP para pasar a passkeys.
- El Secure Access Admin Agent les dice a los administradores, en lenguaje claro, quién sigue dependiendo de SMS o voz y por dónde empezar.
- El Secure Access User Agent y Micro-Visor Passwordless guían a cada empleado para registrar su passkey dentro de Microsoft Teams.
Preguntas frecuentes
¿El pase de acceso temporal reemplaza la contraseña?
No. El TAP es una forma adicional de iniciar sesión por un tiempo limitado. Si el usuario tiene contraseña, sigue funcionando hasta que usted la quite.
¿Un TAP cumple una directiva de Acceso condicional resistente al phishing?
No. El TAP está incluido en la fuerza de autenticación MFA, pero no en las fuerzas sin contraseña ni resistente al phishing.
¿Cuánto debería durar un TAP?
El valor predeterminado de Microsoft es una hora, con un rango de 10 minutos a 30 días. Para recuperación, nuestros expertos recomiendan una hora y uso único.
¿Los invitados pueden recibir un TAP?
Solo los invitados internos. No se puede asignar un TAP a usuarios invitados externos; ellos usan los métodos de su propio tenant.
Siguiente paso
Nuestros expertos en identidad pueden revisar la configuración de su TAP y su proceso de recuperación como parte de una evaluación passwordless. Solicite su evaluación o inscríbase en el webinar Identity Protection Accelerator para España, el martes 3 de noviembre.
Fuentes
- Configurar el pase de acceso temporal Microsoft Learn
- Fuerzas de autenticación del Acceso condicional Microsoft Learn
- Métodos de autenticación en Microsoft Entra ID Microsoft Learn
- Implementar la autenticación sin contraseña resistente al phishing Microsoft Learn
- Recuperación de cuentas para usuarios Microsoft Learn
