Guía para administradores: Ascripto y Microsoft 365

Última revisión: 19 de octubre de 2026

Para el Administrador global, el Administrador de Exchange o el proveedor de TI a quien se ha pedido que conecte Microsoft 365 o que cambie el flujo de correo, y para cualquiera que esté evaluando qué hace Ascripto con un mensaje.

La aplicación de Entra

Un único registro de aplicación multiinquilino, Ascripto, con el dominio del publicador ascripto.com. Cada cliente ve una sola aplicación empresarial en el Centro de administración de Microsoft Entra.

Permiso	Tipo	Cuándo se solicita	Para qué se usa
`openid`, `profile`, `email`	delegado	inicio de sesión	quién inicia sesión; la identidad se basa en el Id. de objeto y el Id. de inquilino de la cuenta, nunca en la dirección de correo electrónico
Microsoft Graph `User.Read.All`	aplicación	Conectar Microsoft 365 (consentimiento del administrador)	la lectura del directorio: usuarios, con consultas delta para los cambios
Microsoft Graph `Domain.Read.All`	aplicación	el mismo consentimiento	los dominios verificados de la organización: la prueba de que un dominio enrutado a través de la retransmisión (relay) es tuyo
Office 365 Exchange Online `Exchange.Manage` (Manage Exchange As Signed-in User)	delegado	solo Configúralo por mí	permitir que Ascripto cree los conectores y la regla en esa única ocasión

No se solicita Group.Read.All; nada lee grupos. Los permisos de aplicación se autentican con un certificado, no con un secreto de cliente.

Quién puede dar el consentimiento. El consentimiento del administrador para el directorio requiere un Administrador global o un Administrador de roles con privilegios; Ascripto comprueba los roles de directorio de quien inicia sesión antes de enviar a nadie a la pantalla de consentimiento de Microsoft, y a quien no es administrador le indica quién puede hacerlo en su lugar. Configúralo por mí requiere un Administrador global o un Administrador de Exchange; Exchange aplica además su propio control de acceso basado en roles.

La comprobación del publicador está en curso (la inscripción en el Centro de partners empezó el 15 de octubre de 2026). Hasta que termine, la pantalla de consentimiento de Microsoft muestra no comprobado, y quien no es administrador no puede dar su consentimiento, ni siquiera para iniciar sesión, sin la aprobación de un administrador. Empieza con un administrador.

Sincronización del directorio

Los cambios se leen cada minuto (consulta delta de Microsoft Graph) y el directorio completo una vez al día, o al momento desde Configuración → Conexiones. Los usuarios sin licencia de Microsoft 365 aparecen y no cuestan nada. Un usuario que desaparece pasa a la papelera de reciclaje de Ascripto (7 días de forma predeterminada, configurable hasta un año) y vuelve como el mismo registro si se detecta de nuevo.

Flujo de correo: la retransmisión de ida y vuelta

Microsoft Graph no puede gestionar las firmas de Outlook, Exchange Web Services se está deshabilitando por fases de octubre de 2026 a abril de 2027, y los avisos legales de las reglas de transporte no pueden llevar imágenes ni colocarse bajo la respuesta más reciente. Por eso Ascripto firma en tránsito:

remitente ─▶ Exchange Online ──(conector de salida)──▶ retransmisión de Ascripto
                                                       │ inserta la firma
            Exchange Online ◀──(conector de entrada)───┘
               │
               └─▶ lo entrega al destinatario como hasta ahora

El mensaje sale de tu inquilino y vuelve de inmediato. Consecuencias que conviene explicar a quien se encargue de tu correo:

Los registros MX, el correo entrante y SPF no cambian. El último salto hacia el destinatario es la propia IP de Exchange Online, así que SPF y DMARC se evalúan exactamente igual que antes.
Solo correo saliente, y solo para los dominios que añadas en Configuración → Entrega, que deben estar verificados en tu inquilino (Ascripto los lee desde Graph).
Los dos tramos van por SMTP en el puerto 25 con TLS obligatorio. Ascripto se identifica ante tu inquilino por certificado, nunca por IP, así que un cambio en el lado de Ascripto nunca requiere un cambio en tu inquilino.
Servidores de retransmisión: eu1.relay.ascripto.com (principal) y eu2.relay.ascripto.com (en espera), ambos con el certificado *.relay.ascripto.com. Alojados en Microsoft Azure, en Germany West Central.

Qué crea la configuración

Las dos vías (Configúralo por mí y el script) crean los mismos tres objetos a partir de la misma descripción, y ambas son idempotentes: un objeto existente se actualiza, no se duplica.

Conector de entrada Ascripto inbound: de tipo local (on-premises), habilitado, RequireTls, acepta el correo cuyo certificado de cliente TLS sea *.relay.ascripto.com, para cualquier dominio de remitente (RestrictDomainsToCertificate false), CloudServicesMailEnabled para que Exchange trate el mensaje que vuelve como propio y conserve los encabezados originales.

Conector de salida Ascripto outbound: de tipo local, habilitado, limitado a la regla de transporte (IsTransportRuleScoped), hosts inteligentes eu1.relay.ascripto.com y eu2.relay.ascripto.com, TlsSettings DomainValidation con TlsDomain *.relay.ascripto.com, UseMxRecord false, RouteAllMessagesViaOnPremises false.

Regla de flujo de correo Ascripto signatures, prioridad 0, modo Aplicar (Enforce), RuleErrorAction Ignore:

Condición / excepción	Valor	Motivo
el dominio de la dirección del remitente es	tus dominios enrutados, comprobados en el remitente del sobre	solo el correo de tus dominios
el remitente está	dentro de la organización	nunca retransmitir correo entrante ni externo
excepto si el encabezado `X-Ascripto-Relayed` coincide con	`.`	la retransmisión añade este encabezado; sin la excepción, el mensaje entraría en bucle
excepto si la dirección del remitente coincide con	`<>` y `Return-Path` contiene `<>`	los rebotes no llevan firma
excepto si el tipo de mensaje es	Calendario (Calendaring)	las invitaciones no se tocan
acción	enrutar a través de `Ascripto outbound`

El script (relay-setup.ps1, que la página Entrega muestra paso a paso) instala el módulo ExchangeOnlineManagement si falta, ejecuta Connect-ExchangeOnline y después Get- / Set- o New- con cada objeto y Enable-TransportRule. Funciona en Windows PowerShell 5.1 o PowerShell 7. Configúralo por mí ejecuta los mismos cmdlets a través del punto de conexión de administración de Exchange con un token delegado que vive en la memoria de la solicitud durante aproximadamente una hora y nunca se escribe en ningún sitio: ni en la base de datos, ni en una cookie, ni en un registro.

La comprobación

Ascripto no puede leer tu configuración de Exchange. El script de comprobación ejecuta Get-InboundConnector, Get-OutboundConnector y Get-TransportRule para los tres nombres y escribe ascripto-check.json; al subirlo en la página Entrega, cada parámetro se compara con lo que establece la configuración y cualquier diferencia se muestra por nombre y valor. El archivo se compara y se descarta. La otra mitad es la sonda de flujo de correo de la fila del dominio: Último correo hace 2 minutos · 14 en las últimas 24 horas, o No ha llegado a Ascripto ningún correo de este dominio en N días.

Qué hace la retransmisión con un mensaje

Por destinatario (la retransmisión gestiona un destinatario por transacción, así que un mensaje para tres personas son tres entregas de vuelta):

Enrutar. El dominio del remitente se busca en la copia local de tus rutas que guarda la retransmisión, para saber a qué host de Exchange Online devolver el mensaje. Un dominio desconocido se rechaza con un error temporal (4xx) y nunca se adivina, así que un desfase en la propagación cuesta un retraso y no un mensaje mal enrutado. Exchange lo reintenta.
Decidir si se firma. Se dejan exactamente como llegaron, y se registran como Sin firmar con el motivo: el correo cifrado con S/MIME o firmado digitalmente; los mensajes de calendario; los rebotes; un remitente que no es una persona de tu directorio con firma (una lista de distribución, un mensaje redirigido); un mensaje demasiado grande para firmarlo; y el raro mensaje que Outlook clásico envía solo como texto enriquecido (winmail.dat), en el que la firma no se puede colocar de forma segura.
Insertar. El HTML y el texto sin formato de la firma se colocan bajo el texto nuevo y encima de los mensajes anteriores citados, tanto en la parte HTML como en la de texto sin formato. Las imágenes se incrustan como partes MIME en línea, sin duplicados según su contenido, para que una conversación no acumule una copia del logotipo por cada respuesta. Si el mensaje lleva la propia firma de Outlook del remitente (el bloque <div id="Signature"> de Outlook), ese bloque se sustituye en lugar de duplicarse. La firma de Ascripto va envuelta en <div data-ascripto-sig="1"> para que un nuevo envío o un bucle la encuentre y no añada una segunda.
Marcar y devolver. Se añade X-Ascripto-Relayed y el mensaje se devuelve a tu inquilino a través de TLS.

La inserción de firmas nunca depende del plano de control de Ascripto. Las firmas se publican en los servidores de retransmisión como un paquete y se leen desde el disco local; la retransmisión sigue firmando aunque la aplicación web o la base de datos no estén disponibles.

Modos de fallo

Situación	Comportamiento predeterminado	Alternativa
No se puede firmar (el servicio de firma de la retransmisión está ocupado, no responde o aún no tiene paquete para tu espacio de trabajo)	fail-open (si falla, entregar sin firma): el mensaje sigue su curso y se registra como Enviado sin firma	fail-closed (retener el mensaje), por espacio de trabajo y a petición: el mensaje se aplaza para que Exchange Online lo reintente, pensado para las organizaciones cuya firma lleva un aviso legal exigido por ley
No se puede resolver el enrutamiento	siempre fail-closed (rechazo temporal; Exchange lo pone en cola y lo reintenta)	ninguna; una suposición errónea entregaría tu correo a otro inquilino
Espacio de trabajo suspendido por impago	el correo pasa sin firma durante 7 días y después se rechaza temporalmente; Exchange Online lo pone en cola y acaba devolviéndolo al remitente, salvo que se quite el enrutamiento	pagar o desactivar la regla
Espacio de trabajo suspendido por incumplir los términos	se rechaza temporalmente de inmediato	quitar el enrutamiento

El registro de mensajes

Configuración → Entrega → Registro de mensajes: todos los mensajes que pasan por la retransmisión, del más reciente al más antiguo, de los últimos 10 días, con búsqueda por remitente, destinatario o Message-ID (Id. de mensaje), y actualizado cada pocos minutos. Por destinatario: Firma insertada o Sin firmar: motivo, y Salió de la retransmisión; Microsoft lo aceptó / En espera: Microsoft pidió a la retransmisión que lo vuelva a intentar / Microsoft lo rechazó; el remitente recibe un rebote, con el código SMTP y el número de intentos. El asunto y el contenido del correo nunca se almacenan, así que no se pueden buscar. El seguimiento guarda las direcciones del sobre, el Message-ID, la hora, el tamaño y el resultado.

Qué ven los destinatarios y los remitentes

La firma no aparece en la ventana de redacción ni en Elementos enviados, porque se inserta después de pulsar Enviar. Hoy no existe una “actualización de Elementos enviados”.
Todos los clientes quedan cubiertos, incluidos Outlook para móviles y Apple Mail, porque nada depende del cliente.
Autenticación: Exchange Online entrega el mensaje devuelto con DMARC alineado con SPF (lo envía su propia IP). No firma con DKIM un mensaje que ha vuelto a través de un conector, igual que ocurre con otros productos de retransmisión. Por eso, una copia que un destinatario reenvíe más tarde puede no superar DMARC. Próximamente: DKIM por delegación, en la que añades dos registros CNAME (ascripto1._domainkey y ascripto2._domainkey) que apuntan a Ascripto y la retransmisión firma con DKIM a la vuelta.

Retirar Ascripto

El orden importa, porque quitar un dominio en Ascripto hace que la retransmisión retenga de inmediato el correo de ese dominio.

En Exchange Online, desactiva primero la regla: Disable-TransportRule -Identity 'Ascripto signatures' -Confirm:$false (la página Entrega muestra esta línea cuando quitas el último dominio).
En Ascripto, Configuración → Entrega → Quitar en cada dominio.
Elimina la regla y los conectores: Remove-TransportRule 'Ascripto signatures', Remove-OutboundConnector 'Ascripto outbound', Remove-InboundConnector 'Ascripto inbound'.
En el Centro de administración de Microsoft Entra → Entra ID → Aplicaciones empresariales → Ascripto → Permisos → Consentimiento del administrador → revoca los permisos, o elimina la aplicación empresarial, lo que quita todas las concesiones.

Para quitar un dominio y conservar el resto: quítalo en Ascripto y vuelve a ejecutar la configuración enseguida; la regla regenerada ya no lo incluye. Hasta que lo hagas, Exchange sigue enviando el correo de ese dominio a Ascripto, donde queda a la espera; no se pierde nada.

Licencias y datos

En Microsoft 365 ocupa una licencia cualquier persona para la que la retransmisión haya firmado al menos un mensaje en el mes. Los buzones compartidos y los remitentes sin firma no cuestan nada.

El tratamiento de datos (región de almacenamiento, conservación, acceso del personal, el DPA) es el mismo que para Google Workspace y se explica en esa guía. Específico de la retransmisión: el contenido de los mensajes se trata en tránsito y no se almacena; el registro de mensajes se conserva 10 días.