Microsoft Entra noviembre 2025: seguridad y cambios

Introducción: por qué esto importa

Las actualizaciones de Microsoft Entra de noviembre de 2025 refuerzan un tema claro: la seguridad de identidad debe extenderse a los agentes de AI, la autenticación moderna y superficies de inicio de sesión más seguras. Para los administradores de IT, el mes trae nuevas vistas previas para gobernar agentes y proteger aplicaciones GenAI, al tiempo que introduce endurecimiento de seguridad y cambios de ciclo de vida/API que pueden afectar los flujos de trabajo existentes.

Novedades (destacados)

Identidad en la era de AI y gobernanza de agentes

• Microsoft Entra Agent ID (Public Preview): Nuevas capacidades para administrar, gobernar y proteger agentes de AI como parte del Agent 365 control plane.
• Security Copilot incluido en Microsoft 365 E5: Amplía el acceso a experiencias de Copilot en Entra y a los nuevos agentes de Entra, poniendo asistencia avanzada de seguridad a disposición de más administradores.
• Entra Suite Prompt Shield (Public Preview): Ayuda a proteger aplicaciones empresariales GenAI contra prompt injection attacks.
• Passkeys sincronizadas + recuperación de cuenta de autoservicio (Public Preview): Mejora la adopción de autenticación resistente al phishing con opciones de recuperación más amplias en todos los métodos de autenticación.

Microsoft Entra ID: cambios de seguridad y experiencia de administración

• Bloquear la inyección de scripts externos durante el inicio de sesión de Entra ID (puede requerirse acción): Entra ID implementó una Content Security Policy (CSP) más estricta en login.microsoftonline.com para evitar la ejecución de scripts no autorizados y reducir el riesgo de XSS.
• Detección de jailbreak/root en Microsoft Authenticator (puede requerirse acción): A partir de febrero de 2026, Authenticator deshabilitará y borrará las credenciales de Entra en dispositivos con jailbreak/root (iOS y Android). No se requiere configuración de administración.
• Reemplazar “Revoke MFA sessions” por “Revoke sessions” (puede requerirse acción): A partir de febrero de 2026, la acción del portal invalidará todas las sesiones de usuario (incluida MFA), alineando el comportamiento en Conditional Access y en MFA por usuario.

Actualizaciones de Governance, External ID y acceso a red

Entra ID Governance

• Nuevas capacidades que incluyen conversión de usuarios externos a miembros internos, conector SCIM 2.0 SAP CIS (con aprovisionamiento de grupos), membresías/propiedades de grupos elegibles en Entitlement Management y mejoras en Lifecycle Workflows (reprocesamiento de fallos, compatibilidad con sensitivity label, triggers para empleados/invitados inactivos).
• Deprecación de PIM API (puede requerirse acción): La Iteration 2 (beta) PIM API dejará de devolver datos el 28 de octubre de 2026. Se recomienda migrar a las API de Iteration 3 (GA).

Entra External ID

• Expansión regional a Australia y Japón, además de una configuración simplificada de Azure Monitor/Sentinel para tenants externos e integraciones adicionales de fraude/WAF.

Global Secure Access

• Nuevas integraciones como GSA + Netskope ATP/DLP y Internet Access TLS Inspection.

Impacto para administradores de IT

• Espere necesidades de pruebas de compatibilidad del flujo de inicio de sesión debido al endurecimiento de CSP (especialmente si extensiones o herramientas inyectan scripts).
• Planifique cambios de comportamiento de Authenticator en dispositivos comprometidos y posibles tickets de soporte cuando los usuarios sean bloqueados.
• Actualice runbooks operativos para la revocación de sesiones para evitar malentendidos sobre el nuevo comportamiento de “Revoke sessions”.
• Inicie esfuerzos de modernización de API si depende de endpoints de PIM iteration 2.

Próximos pasos recomendados

1. Pruebe los flujos de inicio de sesión en navegadores y endpoints administrados; elimine/reemplace cualquier herramienta que inyecte scripts en las páginas de inicio de sesión de Entra.
2. Notifique a los usuarios finales antes de febrero de 2026 sobre la detección de jailbreak/root en Authenticator y la remediación requerida.
3. Actualice la documentación del helpdesk/administración para usar Revoke sessions y documentar su impacto más amplio.
4. Comience ahora la planificación de migración de PIM API; detenga el desarrollo nuevo sobre las API de iteration 2 y valide la compatibilidad de iteration 3.
5. Evalúe las vistas previas (Agent ID, Prompt Shield, recuperación de passkeys) en un piloto controlado para valorar el encaje en gobernanza y seguridad.