Tu copia de Microsoft 365 ha dejado de ver tres sitios y nadie ha tocado la política

El 1 de octubre Microsoft empezó a bloquear EWS en Exchange Online, tenant a tenant. Tu proveedor de copias ya te mandó el correo: actualiza la versión, revisa los permisos, todo sigue funcionando. Casi. Hay tres ubicaciones dentro de Exchange Online para las que Microsoft Graph todavía no trae un relevo que sirva para copiarlas: las carpetas públicas, el archivo in situ y los buzones de grupo. Una de las tres ya no se copia en ningún tenant del mundo desde el 1 de octubre. Las otras dos caen el día que a tu tenant le toque el bloqueo, y como muy tarde el 1 de abril de 2027. Mientras eso pasa, hay un proceso de Microsoft que está activado por defecto y que lleva meses moviendo correo viejo precisamente hacia una de las tres. Nadie ha tocado tu política de copia: la cobertura se ha encogido sola.

La frase que no admite lectura optimista

EWS quedó en vía muerta en 2018, cuando Microsoft anunció que no recibiría más funciones, y la fecha de apagado se puso por escrito en septiembre de 2023. Llevamos tres años leyendo calendarios. Lo que casi nadie leyó es el párrafo de las carpetas públicas. El equipo de Exchange lo escribió así, literal: Microsoft ha decidido «restringir el acceso programático a las carpetas públicas a los clientes de Outlook compatibles únicamente, y a efectos de importación/exportación masiva», y añade la frase que lo cierra todo: «no proporcionaremos API para crear, leer, actualizar y borrar carpetas públicas de forma programática después de octubre de 2026».

Eso no es un retraso, es una decisión. Y la consecuencia la han ido escribiendo los fabricantes de copia en sus avisos de deprecación, cada uno con sus palabras y todos con el mismo contenido. El de Druva, por ejemplo, dice que la plataforma «no podrá ingerir datos nuevos de las carpetas públicas de Exchange Online después del 1 de octubre de 2026» y que la restauración de esos datos desde la consola «no estará soportada» a partir de la misma fecha. Y explica por qué no hay plan B: «Microsoft Graph no soporta actualmente las operaciones necesarias para la copia de carpetas públicas». No es una carencia de producto: es que la pieza que faltaba no se va a fabricar.

El correo viejo se está mudando al punto ciego, y va de serie

Aquí es donde esto deja de ser un asunto de carpetas públicas —que mucha gente ya no usa— y se convierte en un asunto de correo normal. La segunda ubicación es el archivo in situ, el «Archivo en línea» que el usuario ve como un segundo árbol de carpetas en Outlook. Sobre el archivo, Microsoft escribió en el aviso de la retirada: «Estamos trabajando en dar acceso a los buzones de archivo a través de Microsoft Graph y proporcionaremos un calendario actualizado en los próximos meses». Y el calendario llegó: el aviso MC1469565, del 9 de septiembre, anuncia disponibilidad general entre finales de octubre y primeros de noviembre de 2026, y diciembre para las nubes de gobierno. Conviene leer qué es lo que llega, porque son las API de importación y exportación y las de gestión de carpetas del archivo, no la lectura incremental que necesita un trabajo de copia. Por eso el fabricante de copias que citábamos antes sigue escribiendo hoy, en su guía de estado, que «Microsoft no ha publicado una API de Graph para el acceso a los buzones de archivo» y que tanto el archivo como las carpetas públicas «seguirán dependiendo de EWS más allá del 1 de octubre de 2026 porque no existe alternativa».

Y ahora el detalle que lo convierte en un problema activo y no en una nota al pie. Desde este año, Exchange Online tiene auto-archivado: cuando el buzón principal pasa del 96% de su cuota, el Asistente de carpetas administradas empieza a mover los elementos más antiguos al buzón de archivo hasta que el uso baje del umbral. La documentación de Microsoft es generosa con los detalles: cada pasada intenta mover un 3% de la cuota —3 GB si la cuota es de 100 GB, con ese ejemplo exacto—, no toca nada recibido en los últimos 60 días y respeta las etiquetas «Nunca mover al archivo». Unas líneas más abajo está lo que de verdad importa: «el ajuste por defecto está activado» a nivel de buzón, y «el auto-archivado no se puede desactivar a nivel de organización»; lo único que se toca arriba es el umbral.

Junta las dos cosas. El buzón principal, que tu copia sí sabe leer por Graph, se vacía poco a poco hacia el archivo, que tu copia solo alcanza por EWS. Y EWS se está apagando. Nadie ha cambiado una política, nadie ha desmarcado una casilla: el saldo de lo que está protegido baja solo, un 3% de la cuota por pasada, empezando por el correo más antiguo —que, casualmente, es el que alguien te va a pedir dentro de siete años en una reclamación.

Las tres ubicaciones, y quién las lee

Lo que sí llegó en mayo, y por qué no es una copia

Microsoft no se ha quedado de brazos cruzados: el 7 de mayo de 2026 puso en disponibilidad general las API de importación y exportación de buzones en Graph. Son útiles y resuelven migraciones. Pero conviene leer la letra de su propio anuncio antes de apuntarlas como sustituto de nada. Primero, el alcance: los buzones de archivo, las carpetas públicas y los buzones de grupo «no están incluidos en el lanzamiento inicial» —las mismas tres ubicaciones de las que venimos hablando—. Segundo, el formato: «el formato de los elementos exportados es intencionadamente opaco y está diseñado para preservar la fidelidad del elemento, no para servir como formato de intercambio de propósito general». Y tercero, el patrón soportado es exportar e importar de vuelta a buzones de Exchange Online.

Traducido a la pregunta que de verdad importa: eso te devuelve el correo a Microsoft 365. Si lo que necesitas es un fichero que alguien pueda abrir dentro de siete años sin pasar por el tenant ni por la consola de tu proveedor —un requerimiento judicial, una auditoría, un cambio de proveedor—, esto no es eso. Es una API de movilidad de datos, no un archivo legal. El problema aparece cuando se vende como lo segundo.

La caducidad de tu copia la pone el calendario de otro

Volvamos al aviso de Druva, porque tiene una línea que merece estar en la pizarra de cualquiera que gestione copias en la nube: «Druva borrará permanentemente todos los datos de copia de carpetas públicas existentes el 31 de diciembre de 2026». Hoy es 12 de noviembre. Son 49 días. Y fíjate en lo que dice la frase: no dice que caduquen según tu política de retención, dice una fecha, la suya.

No vamos a por ese fabricante: su aviso es claro, está fechado y avisa con meses de antelación, que es más de lo que hacen otros. Lo usamos porque pone negro sobre blanco algo que casi nadie tiene en cuenta al firmar una copia como servicio: la retención que contratas vive dentro del ciclo de vida del producto de tu proveedor. Si la API de la que depende una carga de trabajo se retira, no solo deja de copiarse: también se abre una ventana para evacuar el histórico, y esa ventana la fija el proveedor. Si la dejas pasar, lo que había no vuelve. Ya tocamos la misma asimetría cuando contamos que bajar la ventana de recuperación del backup nativo borra copias que ya tenías: subir es reversible, bajar no.

El puente de cinco meses que casi todos están usando

Mecánicamente, el apagado funciona así. Desde octubre, el ajuste EwsEnabled de los tenants que no habían elegido nada explícitamente pasa a False conforme avanza el despliegue. Un administrador puede volver a ponerlo en True si se le ha roto algo crítico, y además existe una lista de aplicaciones permitidas para no abrir la puerta del todo. Y llega el 1 de abril de 2027: EWS queda «completa y permanentemente deshabilitado» y, en palabras de Microsoft, «se retirará a los administradores del tenant la capacidad de controlar EWSEnabled».

Lo que estamos viendo en la práctica es que, cuando a alguien le falla el trabajo de copia, la primera reacción es volver a habilitar EWS y respirar. Es legítimo y a veces es lo único que puedes hacer un martes a las nueve. Pero entonces conviene decir en voz alta qué has comprado: un puente de menos de cinco meses, no una solución. Y hay una segunda cosa que mirar en la documentación de tu fabricante de copia. Veeam, por ejemplo, lo publica sin maquillaje en su artículo sobre la retirada de EWS, actualizado el 7 de octubre: una vez bloqueado el acceso, «las copias de buzones de Exchange Online fallarán»; hace falta la versión 8.6 o posterior para que los permisos de Graph se configuren solos; y «Microsoft no ha completado todavía todas las capacidades de la API de Graph necesarias, concretamente el soporte de sincronización delta que hacen falta para las copias incrementales». Sin delta no hay incremental: la primera copia por Graph es completa. Con un tenant mediano eso no es un detalle de planificación, es una noche.

El inventario, en seis comandos de solo lectura

Antes de decidir nada hace falta saber si esto te toca y cuánto. Se contesta en diez minutos con PowerShell de Exchange Online. Ninguna de las seis comprobaciones modifica nada:

Y ahora el paso que convierte seis cifras en una conversación: coge los resultados de 3, 4 y 6 y ponlos al lado de lo que tu consola de copia declara como protegido. La diferencia no es una sospecha ni una opinión nuestra. Es tu hueco, en objetos y en gigas, con fecha de hoy.

Las cuatro preguntas, por escrito, a quien te hace las copias

Por escrito, no en una llamada. No por desconfianza: porque la respuesta a la segunda y a la cuarta hay que poder releerla en marzo.

Cuándo NO hacer nada

Empieza por descartarte. Si no tienes carpetas públicas y ningún buzón tiene archivo aprovisionado, esto no te toca: dos de los comandos de arriba lo confirman en cinco minutos y puedes volver a lo tuyo. Lo peor que podría salir de este artículo es un proyecto abierto en diciembre contra un riesgo que no existe en tu casa.

Y si sí te toca, hay dos reacciones razonables que nos parecen peores que el problema. Una es subir el umbral de auto-archivado a 100 para cerrar la fuga: según la propia documentación eso desactiva el auto-archivado del tenant entero, y lo que has hecho es cambiar un agujero en la copia por buzones que dejan de recibir correo al llegar a la cuota. Si de verdad hay que excluir algo, se excluye por buzón con Set-Mailbox -AutoArchivingEnabled $false o con la etiqueta «Nunca mover al archivo», y sabiendo a cambio de qué. La otra es sacar las carpetas públicas de ahí a toda prisa. Si llevan diez años haciendo de archivador de un departamento, moverlas es un proyecto con su factura y su riesgo, y diciembre es el peor mes del año para abrirlo. Lo urgente es saber qué hay dentro y poder sacarlo —la importación y exportación masiva sigue permitida, no te quedas sin puerta—; mover es otra decisión, y se toma en frío.

Cómo lo trabajamos nosotros

No vendemos licencias de nada y tampoco tenemos una herramienta de copia preferida que colocar. Lo que hacemos con un tenant es aburrido: una copia de Microsoft 365 no es un botón que se activa, es un inventario de ubicaciones —buzón, elementos recuperables, archivo, carpetas públicas, grupos, SharePoint, OneDrive, chats— cruzado contra lo que la herramienta dice que protege, y una restauración de prueba cada trimestre para comprobar que el camino de vuelta existe. Es la misma lista de siempre, y es la que detecta esto en octubre en lugar de en abril. Ya nos pasó con los chats de Teams, que no están donde casi todo el mundo cree: el patrón se repite porque la nube cambia debajo sin pedir permiso, y la gestión del tenant consiste justamente en leer esos cambios antes de que se noten.

El fallo es inevitable, la avería es una decisión de diseño. Aquí el fallo es que un fabricante retire una API —pasa, está anunciado desde 2018 y con fecha desde 2023 y es incluso razonable, porque EWS tenía problemas de seguridad propios—. La avería es enterarte en abril, cuando tu proveedor ya borró el histórico en diciembre y nadie apuntó la fecha.

Fuentes (verificadas el 12-nov-2026): Microsoft, «Retirement of Exchange Web Services in Exchange Online», actualizado el 14-sep-2026 (el bloqueo a partir del 1-oct-2026, la frase de las carpetas públicas y la nota sobre los buzones de archivo en Graph); aviso del Centro de mensajes MC1469565, 9-sep-2026, «Microsoft Purview: Data Lifecycle Management – Graph API Support for archive mailboxes» (el calendario de llegada del acceso al archivo por Graph y su alcance real); Microsoft, «Exchange Online EWS, Your Time is Almost Up», actualizado el 27-oct-2026 (estados de EwsEnabled, lista de AppID y el 1-abr-2027); Microsoft 365 Developer Blog, «Announcing general availability of the mailbox import and export Microsoft Graph APIs», 7-may-2026 (exclusiones y formato opaco); Microsoft Learn, «Auto-archiving in Exchange Online», actualizada el 26-jun-2026 (umbral del 96%, activado por defecto por buzón, 3% por pasada, 60 días, umbral 100 = desactivado); Veeam, KB4820, actualizado el 7-oct-2026 (fallo de los trabajos, versión 8.6 y sincronización delta); Druva, «Deprecation Notice for Microsoft 365 Exchange Online Public Folder Backups», publicado el 12-jun-2026 (fin de ingesta y restauración el 1-oct-2026 y borrado el 31-dic-2026), y su guía de estado de la retirada de EWS (el archivo y las carpetas públicas siguen dependiendo de EWS «porque no existe alternativa»). El cálculo de los 49 días es nuestro, a fecha de publicación.