Hay un aviso en el soporte IT que se repite cada vez que entra alguien nuevo: «no me llega el correo al móvil». La causa suele ser la misma: una letra mal escrita en la propia dirección al configurar la app, o, directamente, una cuenta personal añadida en lugar del correo corporativo.
Se puede evitar. El objetivo de este artículo es sencillo: que el empleado abra su app de correo y la cuenta de empresa ya esté ahí, sin teclear la dirección ni elegir servidor. Y cómo se hace depende de una sola cosa: dónde vive tu correo. Cada plataforma con su app nativa ya sea Google Workspace con Gmail, Microsoft 365 o con Outlook. Vamos por casos, sin jerga y con foco en lo que necesita saber un equipo de IT.
La pieza común: el inicio de sesión
Antes de hablar de Gmail, Outlook o Exchange, hay una pieza común en todo el flujo: el inicio de sesión durante el alta del dispositivo Android.
Cuando el empleado activa su móvil Android, inicia sesión con su cuenta corporativa (en Android se llama alta por inicio de sesión). En ese instante, Applivery sabe quién es y lo registra en el Directorio de Empleados. Esa identidad es la que permite aplicar configuraciones personalizadas sin crear una política diferente para cada persona.
Esa identidad es el hilo que conecta los casos:
- Si el correo está en Google Workspace, la cuenta de Google corporativa se añade al dispositivo durante el alta.
- Si el correo está con Microsoft 365 o Exchange, Outlook rellena el comodín
{{user.email}}. - Si el correo está en un Exchange propio, puede requerir parámetros adicionales como servidor, nombre de cuenta o certificado corporativo.
El objetivo es el mismo en todos los casos: que el correo de empresa esté listo sin que el usuario tenga que escribir su dirección manualmente.
Caso 1 — correo en Google Workspace con Gmail
Este es el más cómodo, porque no hay que configurar nada del correo. Si tu empresa usa Google Workspace, la cuenta de Google corporativa de cada empleado se añade sola al móvil durante ese inicio de sesión del alta. La cuenta con la que el empleado se identifica es su buzón.
Resultado: cuando termina de activar el móvil y abre Gmail, su correo de empresa ya está dentro, sin dirección que escribir ni servidor que elegir. La contraseña no se la salta: la puso al iniciar sesión en el alta. Que Gmail no se la vuelva a pedir depende de tu sistema de identidad —lo explicamos a fondo en «esto no se salta la contraseña», más abajo.
“En este caso no usas la «configuración automática de apps» que verás en el Caso 2: con Google Workspace, el correo viaja con la propia cuenta de Google de empresa. Tú solo te aseguras de que el alta se hace por inicio de sesión.”
Caso 2 — correo en Microsoft 365 con Outlook
Cuando el correo está en Microsoft 365, el flujo cambia.
Aquí la cuenta hay que decirle a la app cuál es. Para eso Android tiene un mecanismo que lleva años disponible: la configuración automática de apps (managed app configuration, como aparece en la consola).
Consiste en que tu herramienta de gestión rellena los ajustes de la app (la dirección, el usuario…) de forma centralizada, sin ir móvil por móvil. La app los lee al abrirse y se configura sola.
La app nativa de Microsoft 365 en Outlook, y es la que configuramos aquí. La hemos preparado en vivo en Applivery. Necesita tres campos, y como Outlook averiguar el servidor solo consultando el servicio de Microsoft, no hay que indicarselo:
Tres campos, y el tipo de cuenta tiene que valer exactamente ModernAuth:
Los ajustes de cuenta de Outlook en Applivery. La dirección (EmailProfile.EmailAddress) y el usuario (EmailProfile.EmailUPN) llevan el comodín {{user.email}}; los campos de servidor se quedan vacíos porque Outlook los autodescubre.
{
"packageName": "com.microsoft.office.outlook",
"managedConfiguration": {
"com.microsoft.outlook.EmailProfile.EmailAddress": "{{user.email}}",
"com.microsoft.outlook.EmailProfile.EmailUPN": "{{user.email}}",
"com.microsoft.outlook.EmailProfile.AccountType": "ModernAuth"
}
}| Escenario | App recomendada | Qué configura IT | Qué pone el empleado |
|---|---|---|---|
| Google Workspace | Gmail | Nada — la cuenta llega con el inicio de sesión | Nada / ya está dentro |
| Microsoft 365 | Outlook | Dirección + usuario + AccountType=ModernAuth | Solo la contraseña |
| Exchange propio | Outlook | Cuenta, servidor, autenticación y certificados si aplica | Solo la contraseña |
El empleado abre Outlook, está detecta que la cuenta ya está preparada y solo le pide la contraseña.
Caso 3 — Exchange en servidor propio (on-premise)
Si la empresa utiliza un Exchange on-premise, el flujo es similar al de Outlook, pero puede requerir más información.
Sigues con Outlook, y añades:
- EmailProfile.ServerHostName (la dirección de tu servidor),
- EmailProfile.EmailAccountName (un nombre visible),
- Coloca AccountType en BasicAuth.
Este caso conviene tratarlo con más cuidado, porque depende mucho de la arquitectura de correo, la exposición de Exchange ActiveSync, los certificados y la política de autenticación de la organización. La recomendación es probarlo siempre con un dispositivo piloto antes de escalarlo a toda la plantilla.
Una sola política para toda la plantilla
¿Qué es ese {{user.email}} que aparece en los ejemplos? Es el comodín de identidad de Applivery.
Lo escribes una vez en la política, sobre el campo de la dirección, con el botón {}:
El comodín {{user.email}} representa al empleado. Lo pones una vez; al activar cada móvil se convierte en su dirección real.
Al activar el móvil de Ana, {{user.email}} se convierte en [email protected]; en el de Carlos, en [email protected]. Una sola política sirve para toda la plantilla — no hay que crear una por persona.
El comodín solo rellena lo que cambia de una persona a otra (la identidad); el resto (servidor, tipo de cuenta) es igual para toda la empresa y se pone una vez.
Y fíjate: en el Caso 1 (Google Workspace) ese mismo inicio de sesión es lo que trae el correo solo; en el Caso 2 (Microsoft 365) es lo que rellena el comodín. La identidad del alta es el hilo que conecta los casos.
Esto no se salta la contraseña
Conviene ser muy claro, porque es donde más confusión hay: lo que se automatiza es el aprovisionamiento de la cuenta —que el correo aparezca puesto—, no la autenticación. En ningún caso es un inicio «sin contraseña»: lo que el empleado se ahorra es teclear la dirección y elegir el servidor, no identificarse. Cada caso lo hace en un momento distinto.
Caso 1 — Google Workspace
El empleado se autentica al dar de alta el móvil: ese inicio de sesión pasa por tu sistema de identidad —Google directamente, o tu IdP por SAML si lo tienes federado—, con su MFA si la tienes.
Tras autenticarse, la cuenta de Google gestionada queda en el dispositivo y Gmail reutiliza esa sesión, así que normalmente no vuelve a pedir la contraseña al abrir el correo. Pero ese «normalmente» tiene dos condiciones, y conviene no darlo por hecho:
- Tiene que ser una cuenta de Google gestionada real (tu dominio en Workspace o Cloud Identity). Si el alta genera una cuenta sintética de Managed Google Play, ni siquiera llega el buzón solo, caes en el Caso 2.
- Si federas con SAML, manda tu IdP: sus políticas de sesión y de MFA pueden forzar que Gmail vuelva a pedir login cada cierto tiempo. No es Applivery quien decide eso. Pruébalo con un dispositivo de test antes de prometérselo a la plantilla.
Caso 2 — Microsoft 365 con Outlook
El empleado no escribe su dirección ni busca el servidor, pero sí pone su contraseña la primera vez.
La propia documentación de Outlook lo dice: con la cuenta preparada, «Outlook detecta que está ‘Found’ y pide al usuario añadirla; lo único que necesita introducir es su contraseña» (Microsoft Learn). Esa contraseña se valida con autenticación moderna (OAuth): el empleado pasa por la pantalla de Microsoft, con MFA si la tienes, y el dispositivo guarda un token, no la contraseña.
La autenticación básica de toda la vida sigue existiendo para servidores on-premise antiguos, pero Microsoft la retiró de Exchange Online en octubre de 2022: contra Microsoft 365 es moderna o nada (de ahí el AccountType=ModernAuth de Outlook).
“Si lo que buscas es eliminar también la contraseña (un inicio realmente sin credenciales), eso ya no es trabajo de la configuración de la app ni del aprovisionamiento de la cuenta: requiere **SSO de plataforma** a nivel de tu sistema de identidad. Lo que cubre este artículo resuelve el **aprovisionamiento**; la **autenticación** sigue siendo de tu IdP.”
Comparativa rapida
| Escenario | App recomendada | Qué configura IT | Qué pone el empleado |
|---|---|---|---|
| Google Workspace | Gmail | Nada — la cuenta llega con el inicio de sesión | Nada / ya está dentro |
| Microsoft 365 | Outlook | Dirección + usuario + AccountType=ModernAuth | Solo la contraseña |
| Exchange propio | Outlook | Cuenta, servidor, autenticación y certificados si aplica | Solo la contraseña |
Paso a paso para Microsoft 365 en Applivery
Para configurar Outlook en dispositivos Android gestionados con Applivery: te sitúas en Policies → tu política Android → Apps:
1. + Add App → Microsoft Outlook, instalación forzada.
2. Abre sus ajustes y rellena tres campos: la dirección (EmailAddress) y el usuario (EmailUPN) con {{user.email}} desde el botón {}; el tipo de cuenta (AccountType) con ModernAuth.
3. Recomendable: Allowed Accounts (la clave com.microsoft.intune.mam.AllowedAccountUPNs) con {{user.email}}, para que en Outlook no se cuele una cuenta personal.
4. Guarda. Al activar el móvil, Outlook detecta la cuenta como «Found» y solo pide la contraseña.
(En el Caso 1, Google Workspace, no hay nada de esto: basta con que el alta del móvil se haga por inicio de sesión con la cuenta de Google de empresa.)
**Nota — Gmail contra Exchange.** Gmail también puede conectarse a un buzón de Microsoft 365 / Exchange si le indicas el servidor en su propia configuración. Es técnicamente posible, pero mezcla la app de Google con un buzón de Microsoft y añade un campo más; para no confundir, esta guía se queda en la pareja natural de cada plataforma —Gmail para Google Workspace, Outlook para Microsoft—.
Qué gana el equipo de IT
Automatizar la cuenta de correo en Android Enterprise aporta beneficios claros para operaciones, seguridad y experiencia de usuario.
- Una sola política para toda la plantilla: el comodín se resuelve por persona al activar cada móvil; ni una política por empleado, ni por departamento.
- Cero errores al teclear: si el empleado no escribe la dirección, no puede equivocarse: sale del directorio, validado al iniciar sesión.
- El empleado casi no toca nada: con Google Workspace, el correo ya está; con Microsoft 365, solo pone la contraseña.
- Mismo resultado en todos los móviles: nada depende de quién montó el dispositivo.
Qué debes verificar antes de desplegarlo
Antes de aplicar esta configuración a toda la plantilla, conviene validar algunos puntos:
- El empleado debe iniciar sesión al activar el móvil. Es lo que permite que el correo (Workspace) o el comodín (Microsoft 365) sepan quién es. Con un QR anónimo, sin inicio de sesión, no hay identidad.
- Si el comodín se queda vacío, el móvil se da de alta igual (no falla nada), pero la cuenta no se monta. Suele pasar porque el Directorio de Empleados no tiene el correo de esa persona sincronizado desde tu sistema de identidad. Pruébalo con un dispositivo de test antes de lanzarlo a todos.
- El alta por inicio de sesión es del plan Enterprise de Applivery. Tenlo en cuenta al planificar.
- El Caso 1 (Google Workspace) supone una cuenta de Google gestionada real —tu dominio gestionado en Google Workspace o Cloud Identity—. Si el alta genera una cuenta sintética de Managed Google Play (enrollment sin dominio de Google gestionado), el buzón no llega solo y habría que tratarlo como en el Caso 2 (Outlook contra Microsoft 365).
- Esta guía cubre Android (Android Enterprise). En iPhone/iPad el correo se aprovisiona de otra forma —con perfiles de configuración MDM, no con la configuración automática de apps de Android— y el alta por inicio de sesión con cuenta de Google no aplica. Es un flujo distinto, fuera del alcance de este artículo.
- Esto configura la cuenta de empresa, no las cuentas personales @gmail.com / @outlook.com.
En resumen
- El objetivo: el empleado abre el correo en el móvil y la cuenta de empresa ya está. Como mucho, escribe tu contraseña.
- Cómo, según dónde viva tu correo: con Google Workspace, la cuenta llega sola con el inicio de sesión en Gmail (sin configurar nada). Con Microsoft 365 / Exchange, se rellena con la configuración automática de Outlook (tres campos; uno más si el Exchange es propio).
- El hilo común es el inicio de sesión al activar el móvil: registra al empleado en el Directorio y resuelve el comodín {{user.email}}.
- Una sola política sirve para toda la plantilla, y la seguridad no cambia: la contraseña sigue siendo del empleado.
Antes de lanzarlo a toda la plantilla, una comprobación de dos minutos: abre los ajustes de Outlook en tu política de prueba (Microsoft 365) y mira qué comodines ofrece el botón {} en tu cuenta. Si {{user.email}} aparece y se resuelve, el mecanismo funciona, ya puedes escalar. Si tu correo está en Google Workspace, basta con confirmar que el alta del móvil se hace por inicio de sesión.
