Desuso de EWS y firmas de correo: qué deja de funcionar realmente
Exchange Web Services se está desactivando por fases entre octubre de 2026 y abril de 2027. Si tu herramienta de firmas de correo depende de él, dejará de funcionar en algún momento de esa ventana, y Microsoft Graph, el sustituto recomendado, no puede gestionar firmas en absoluto.
En resumen: EWS no se desactiva en un solo día. Microsoft empieza a desactivarlo a escala global en octubre de 2026 y completa el cierre en abril de 2027. Los proveedores de firmas basados en EWS no tienen una ruta de migración equivalente, porque Graph nunca ha admitido firmas ni está previsto que lo haga. Las alternativas realistas son un complemento de Outlook, una regla de flujo de correo (regla de transporte) o la retransmisión de correo saliente (relay SMTP), y no son equivalentes.
El calendario, contado con exactitud
Buena parte del contenido que circula ahora mismo sobre esto dice que todo deja de funcionar el 1 de octubre de 2026. No es lo que dice la documentación de Microsoft, y la diferencia importa si estás planificando una migración.
| Cuándo | Qué ocurre |
|---|---|
| Julio de 2018 | Se anuncia el desuso de EWS. No habrá más actualizaciones de funcionalidad. |
| 2023 | Se fija octubre de 2026 como objetivo para la desactivación. |
| Enero de 2024 | EWS se ve implicado en el incidente de Midnight Blizzard. El alcance se amplía de las aplicaciones de terceros a los propios productos de Microsoft, y el proceso se acelera. |
| Octubre de 2026 | EWS empieza a desactivarse, inquilino a inquilino. Desde el 10 de octubre, un inquilino que lo mantenga necesita una lista de aplicaciones permitidas. |
| Abril de 2027 | EWS queda desactivado por completo. Sin excepciones. |
El mecanismo es una opción del inquilino llamada EWSEnabled. La mayoría de los inquilinos nunca la han configurado, así que está en Null. Cuando la desactivación llega a un inquilino, Null pasa a ser False y todas las aplicaciones EWS de ese inquilino dejan de funcionar a la vez. Como la desactivación es progresiva y no simultánea, dos organizaciones con el mismo plan pueden perder EWS con meses de diferencia.
Pon su ID de aplicación en una lista EWSAllowedAppIDs y establece EWSEnabled=True. Si lo dejas en manos de Microsoft, la lista se rellena con 60 días de uso observado poco antes de que el cambio llegue a tu inquilino, así que es fácil que se quede fuera una aplicación que se ejecuta mensual o trimestralmente. Todas las fechas, y el orden en que hacer los cambios, están en nuestro calendario de la retirada de EWS.
Es una prórroga, no una solución. Mantiene viva una aplicación concreta durante el periodo de desactivación por fases; no sobrevive a abril de 2027.
Por qué Graph no lo resuelve
La recomendación de Microsoft para migrar desde EWS es coherente y razonable: pasarse a Microsoft Graph. Para calendarios, contactos, correo y la mayoría de las operaciones de buzón hay correspondencias directas, y Microsoft publica las equivalencias operación por operación.
Las firmas son la excepción, y conviene explicar con precisión por qué.
Graph nunca ha ofrecido una API para leer o escribir firmas de Outlook. No es una carencia a la espera de una versión preliminar. Microsoft publica una hoja de ruta de las funciones de EWS que Graph aún no cubre: importación y exportación de buzones, carpetas públicas, importación y exportación de Grupos de Microsoft 365, buzón de archivo, consultas delta de eventos periódicos, notas rápidas, configuración de usuario y un conjunto de API de administración. La gestión de firmas no aparece en esa lista, porque las firmas nunca fueron un objeto de buzón de primera clase en EWS, como sí lo eran los calendarios. Están ligadas al cliente de Outlook.
La consecuencia práctica: un proveedor de firmas que migra de EWS a Graph no está portando una integración. Está eligiendo un mecanismo de implementación completamente distinto, con otra cobertura y otros modos de fallo. Cuando te digan que una herramienta está “preparada para Graph”, la pregunta que vale la pena hacer es a cuál de los mecanismos siguientes se ha pasado realmente.
Todas las opciones que quedan, comparadas con honestidad
Hay cuatro formas de poner una firma en el correo saliente de Microsoft 365 una vez retirado EWS. Ninguna es estrictamente mejor que las demás; cada una sacrifica cosas distintas.
| Método | Llega a dispositivos móviles | Visible en Elementos enviados | Imágenes | Principal inconveniente |
|---|---|---|---|---|
| Regla de transporte de Exchange Regla de flujo de correo / aviso legal |
Sí | No | No | Se añade al final de todo el hilo, no debajo de la última respuesta. Omite sin avisar las líneas que contienen variables que no puede rellenar. El correo cifrado obliga a elegir una acción de reserva incómoda. |
| PowerShell de Exchange Online Set-MailboxMessageConfiguration |
No | Sí | Limitadas | Configura la firma de OWA y luego deja de aplicarse sin avisar en cuanto se activan las firmas itinerantes, que cada vez más son la opción predeterminada. Falla en silencio, que es la peor forma de fallar. |
| Complemento de Office.js Activación basada en eventos |
En parte | Sí | Sí | Una matriz de pruebas que abarca Outlook clásico, el nuevo Outlook, Mac, web, iOS y Android. Un límite de ejecución de cinco minutos. La compatibilidad con dispositivos móviles está limitada por el conjunto de requisitos Mailbox 1.5. Hay que instalar algo. |
| Retransmisión de correo saliente Conector de salida de Exchange |
Sí | No | Sí | Pone a un tercero en la ruta de tu correo saliente. Su caída es tu caída. No se instala nada, y cubre todos los clientes, teléfonos incluidos. |
Lo que de verdad significa “visible en Elementos enviados”
Tanto las reglas de flujo de correo como los servicios de retransmisión estampan la firma después de que el mensaje sale del cliente. El usuario redacta sin verla, y su copia en Elementos enviados no la contiene. Parece un detalle estético y no lo es: es la principal fuente de solicitudes de soporte en las implementaciones de firmas, porque los usuarios no pueden saber si ha funcionado. Cualquier evaluación que pase esto por alto acabará en una herramienta de la que tu personal desconfíe.
Los complementos y los enfoques del lado del cliente muestran la firma en la ventana de redacción, y por eso siguen existiendo pese al coste de la matriz de clientes.
Qué implica realmente el enrutamiento de salida
La retransmisión es la opción que más a menudo se malinterpreta, normalmente porque parece más invasiva de lo que es.
Insertar firmas solo requiere enrutamiento de salida. En Microsoft 365 es un conector de salida de Exchange Online; en Google Workspace, el servicio de retransmisión SMTP o la opción de enrutamiento. Ninguno toca los registros MX. La entrega entrante no se ve afectada. Ambos se pueden revertir desde una consola de administración en minutos. Así es como ya funcionan Exclaimer y Opensense, y es un cambio menor de lo que sugiere la frase “enrutar tu correo a través de un tercero”.
El coste real es otro, y conviene decirlo claramente: aceptas una dependencia en la ruta de tu correo. Si el operador del servicio de retransmisión sufre una caída, tu organización no puede enviar correo. Eso supone un compromiso operativo real por parte del proveedor —guardias 24/7, no una cola de soporte— y es una pregunta justa para cualquier proveedor que lo ofrezca. También es la razón por la que preferiríamos que no empezaras por ahí.
Lo que sugerimos de verdad
Si en tu caso lo que deja de funcionar es EWS, la tentación es buscar el sustituto más parecido y seguir adelante. Lo desaconsejamos, por dos razones.
Primero, la desactivación por fases te da más margen del que sugiere hablar del 1 de octubre. Si la desactivación aún no ha llegado a tu inquilino, tienes tiempo para evaluar bien en lugar de migrar dos veces.
Segundo, las herramientas basadas en EWS solían elegirse porque escribían las firmas sin tocar la ruta del correo. Si las sustituyes por un servicio de retransmisión, habrás cambiado sustancialmente tu perfil de riesgo, y eso deberías hacerlo de forma deliberada, no como medida de emergencia. Un servicio de retransmisión es la respuesta correcta cuando necesitas imponer la firma en todos los clientes, incluidos los dispositivos móviles, también en respuestas y reenvíos. Es la respuesta equivocada si lo que de verdad necesitabas era que las firmas fueran correctas y estuvieran al día.
Conviene separar dos cosas antes de elegir: la imposición (nadie puede enviar correo que no cumpla la marca) y la exactitud (las firmas reflejan los cargos, el logotipo y los avisos legales actuales). La mayoría de las organizaciones describen un problema de imposición y, cuando se examinan las firmas implementadas, lo que tienen es un problema de exactitud. Cada uno tiene una respuesta distinta, y la de la exactitud no requiere nada en la ruta del correo.
Cómo comprobar si tu inquilino está afectado
Tres pasos, y ninguno requiere un proveedor. Hazlos en este orden, porque el primero te dice cuánto tiempo tienes y el segundo, qué romperías.
1. Lee tu configuración actual
En PowerShell de Exchange Online:
Get-OrganizationConfig | Format-List EwsEnabled,
EwsApplicationAccessPolicy, EwsAllowList, EwsBlockList
Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDsLa lista de permitidos solo se devuelve con ese segundo modificador; sin él, la propiedad aparece vacía aunque exista una lista.
EwsEnabled tiene tres estados, y el tercero es el que sorprende a muchos:
| Valor | Hoy | Desde octubre de 2026 |
|---|---|---|
$true | Todo EWS permitido, salvo que haya configurada una lista de permitidos por AppID; entonces, solo las aplicaciones de esa lista. | Solo las aplicaciones de la lista de permitidos. |
$false | Todo EWS bloqueado. | Todo EWS bloqueado. |
$null | Todo EWS permitido. | Se convierte en $false cuando Microsoft llega al inquilino, con un preaviso de 7 días en el Centro de mensajes. |
La mayoría de los inquilinos nunca lo han tocado, así que la mayoría muestran $null. Ese es el grupo sobre el que actúa la desactivación de octubre.
2. Averigua qué está usando EWS realmente
Microsoft lo publica por inquilino. En el Centro de administración de Microsoft 365: Informes → Uso → Exchange → la pestaña Uso de EWS. Te da, por aplicación, las acciones SOAP a las que se llama, el volumen de llamadas y la fecha de la última actividad, y se puede exportar a CSV.
Dos aspectos de este informe deciden si obtienes una respuesta fiel:
- El uso se agrega por semanas, no por días, y puede tardar hasta 10 días en aparecer. Por eso, una ventana de 7 días puede no mostrar nada mientras una aplicación se está usando activamente.
- Filtra por 90 días, no por 7 ni por 30. Todo lo que se ejecuta una vez al mes —exportaciones de cierre de trimestre, tareas de archivado, una sincronización de firmas que solo se lanza cuando cambia el directorio— será invisible en una ventana corta y aun así dejará de funcionar en octubre.
El informe identifica las aplicaciones por su ID de aplicación de Entra, no por su nombre. Identifícalas en Entra ID → Aplicaciones empresariales, en el Centro de administración de Microsoft Entra; Microsoft también publica una lista con los ID de sus propias aplicaciones. Cuenta con que algunas serán de Microsoft, y no te las saltes: Microsoft no exime a sus propias aplicaciones, así que la que siga apareciendo (lo habitual es Outlook clásico para Mac) también necesita su ID en tu lista.
3. Si algo debe conservar EWS hasta abril de 2027, añádelo a la lista de permitidos
Set-OrganizationConfig -EwsAllowedAppIDs "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee,11111111-2222-3333-4444-555555555555"
# a day later, once the list has reached every server:
Set-OrganizationConfig -EwsEnabled $trueEscribe primero la lista y espera: los cambios en la lista tardan unas 24 horas en aplicarse; los de EWSEnabled, alrededor de una hora. El comando sustituye la lista entera, así que incluye lo que ya haya en ella. Una lista que escribes tú nunca se sobrescribe; la que Microsoft escribe por ti sale de 60 días de uso y hereda todos los puntos ciegos del apartado anterior.
Aquí hay dos mecanismos y no son intercambiables. EwsAllowList y EwsBlockList, regidas por EwsApplicationAccessPolicy, son el mecanismo antiguo y filtran por la cadena de agente de usuario del cliente. EwsAllowedAppIDs es el nuevo y filtra por el ID de aplicación de Entra.
Tanto el proceso de retirada como el informe de uso de EWS trabajan con ID de aplicación. La mayoría de los resultados de búsqueda siguen describiendo el mecanismo por agente de usuario, porque lleva una década documentado. Configurar ese no te protege del cambio de octubre, y parecerá configurado sin hacer nada.
Después, hazle una sola pregunta a tu proveedor de firmas
Si una herramienta de firmas aparece en tu informe de uso, la pregunta útil no es “¿está preparada para el desuso?”, porque todos dicen que sí. Es esta: ¿a qué mecanismo va a pasarse? Graph no puede gestionar firmas, así que las respuestas honestas son un complemento de Office.js, una regla de flujo de correo o un servicio de retransmisión de correo saliente, cada opción con las contrapartidas de la tabla anterior. Un proveedor que responda “estamos migrando a Graph” sin nombrar una de ellas no ha respondido a la pregunta.
Si usas Google Workspace
Nada de esto se aplica. EWS es un protocolo de Exchange; el desuso no afecta en absoluto a Google Workspace. Los límites propios de Google son reales, pero de naturaleza completamente distinta, y la API de Gmail admite la gestión de firmas directamente como una propiedad del perfil guardada en el servidor, que llega a los dispositivos móviles sin instalar nada. Lo hemos explicado aparte.