Configurar un servidor SMTP

Ir a Administración > SMTP.

Configuración básica

  • Dirección: dirección del servidor SMTP
  • Puerto: puerto usado para comunicarse con el servidor SMTP
  • Cifrado: cifrado de la conexión con el servidor SMTP (STARTTLS, TLS o Claro)
  • Dominio: dominio del servidor SMTP
  • Autenticación: método de autenticación ante el servidor SMTP (PLAIN, LOGIN, CRAM-MD5 u OAuth 2.0 (Microsoft 365))
  • Identificador: identificador usado para establecer la conexión con el servidor SMTP
  • Contraseña: contraseña del identificador indicado anteriormente
  • Credencial de Azure: credencial guardada que proporciona el token de acceso, en lugar de la contraseña, con la autenticación OAuth 2.0 (Microsoft 365)
  • Remitente: dirección de correo que usara la instancia Cyberwatch

Configuración de un servidor sin autenticación

Para configurar un servidor SMTP sin autenticación, simplemente deje los campos Identificador y Contraseña vacíos.

En caso de problema, es posible eliminar la configuración actual con el botón Eliminar, y luego recrear la configuración deseada.

Autenticación OAuth 2.0 con Microsoft 365

Microsoft retira la autenticación SMTP por contraseña en Exchange Online (calendario). Con la autenticación OAuth 2.0 (Microsoft 365), Cyberwatch obtiene un token de acceso de Microsoft Entra ID para una aplicación registrada en su inquilino y, a continuación, se autentica con este token ante el servidor SMTP.

La configuración se realiza en tres etapas: la aplicación en Microsoft Entra ID, su acceso al buzón en Exchange Online y, por último, el formulario SMTP de Cyberwatch.

Crear la aplicación en Microsoft Entra ID

  1. Desde el centro de administración de Microsoft Entra, menú Registros de aplicaciones, crear un nuevo registro de aplicación, con el tipo de cuenta Cuentas solo en este directorio organizativo
  2. Anotar el Id. de aplicación (cliente) y el Id. de directorio (inquilino), que se muestran en la página Información general de la aplicación
  3. Desde Certificados y secretos, crear un secreto de cliente. También es posible autenticarse con un certificado generado por Cyberwatch, como se describe en Configurar los accesos API
  4. Desde API autorizadas, hacer clic en Añadir un permiso y, en la pestaña API que usa mi organización, buscar Office 365 Exchange Online
  5. Hacer clic en Permisos de aplicación, marcar SMTP.SendAsApp y hacer clic en Añadir permisos
  6. Otorgar el consentimiento de administrador a este permiso, desde la misma página

Autorizar el acceso al buzón en Exchange Online

A continuación, el principal de servicio de la aplicación debe registrarse en Exchange Online y recibir acceso al buzón de envío. Estas operaciones se realizan con el módulo PowerShell ExchangeOnlineManagement:

Install-Module -Name ExchangeOnlineManagement
Connect-ExchangeOnline -Organization <TENANT_ID>
New-ServicePrincipal -AppId <APPLICATION_ID> -ObjectId <OBJECT_ID> -DisplayName "Cyberwatch SMTP"
Get-ServicePrincipal -Identity "Cyberwatch SMTP" | Format-List
Add-MailboxPermission -Identity "cyberwatch@contoso.com" -User <SERVICE_PRINCIPAL_ID> -AccessRights FullAccess

Con:

  • <TENANT_ID>: el Id. de directorio (inquilino)
  • <APPLICATION_ID>: el Id. de aplicación (cliente)
  • <OBJECT_ID>: el Id. de objeto que se muestra en el menú Aplicaciones empresariales, en la página Información general de la aplicación
  • <SERVICE_PRINCIPAL_ID>: el valor del campo Identity devuelto por Get-ServicePrincipal
  • cyberwatch@contoso.com: la dirección del buzón de envío

El Id. de objeto que se debe usar es el de la aplicación empresarial, y no el del registro de aplicación. Con un Id. de objeto incorrecto, la autenticación falla.

Si la dirección indicada en el campo Remitente de Cyberwatch difiere del buzón de envío, autorizar también a la aplicación a enviar como este remitente:

Add-RecipientPermission -Identity <EXPEDITEUR> -Trustee <SERVICE_PRINCIPAL_ID> -AccessRights SendAs

Si la autenticación SMTP (SMTP AUTH) está desactivada a nivel del inquilino, activarla para el buzón de envío:

Set-CASMailbox -Identity "cyberwatch@contoso.com" -SmtpClientAuthenticationDisabled $false

Configurar Cyberwatch

  1. Crear desde Ajustes > Credenciales guardadas una credencial de tipo Microsoft Entra ID (Azure o Microsoft 365), con el ID de inquilino, el ID de aplicación (cliente) y el secreto de cliente, como se describe en Configurar los accesos API. En una instancia desplegada en AKS, la credencial también puede autenticarse con Azure Workload Identity

  2. Ir a Administración > SMTP y completar los campos siguientes:

    CampoValor
    Direcciónsmtp.office365.com
    Puerto587
    CifradoSTARTTLS
    AutenticaciónOAuth 2.0 (Microsoft 365)
    IdentificadorLa dirección del buzón de envío
    Credencial de AzureLa credencial creada en el paso anterior
  3. Hacer clic en Guardar
  4. Enviar un correo electrónico de prueba desde la sección Enviar un correo electrónico de prueba

La solicitud del token de acceso pasa por el proxy configurado en Administración > Proxy, salvo si la credencial tiene la opción para ignorar el proxy. La conexión con el servidor SMTP, en cambio, no pasa por el proxy.

Una credencial usada por la configuración SMTP no se puede eliminar.

Errores frecuentes

En caso de fallo, el correo electrónico de prueba muestra el mensaje devuelto por Microsoft:

  • HTTP 401: AADSTS7000215: Invalid client secret…: el secreto de cliente de la credencial no es válido o ha caducado
  • 535 5.7.3 Authentication unsuccessful: el principal de servicio no está registrado en Exchange Online, se registró con un Id. de objeto incorrecto o no tiene acceso al buzón de envío