Auditar el correo en Microsoft 365 y Google Workspace: qué se puede saber
Qué registran Microsoft Purview y Google Workspace sobre el correo, cuánto tiempo se conserva según la licencia, qué permisos hacen falta y qué límites legales tiene su uso en España.
Cuando surge una reclamación, una discusión sobre un cliente o la sospecha de una filtración, la pregunta es qué se puede demostrar con los registros del proveedor. La respuesta depende de la licencia, del tiempo transcurrido desde el hecho y de los permisos de quien busca. Esta guía explica qué registran Microsoft 365 y Google Workspace, cuánto tiempo los conservan, cómo se consultan y qué límites legales tiene su uso en España.
Las cifras y las rutas se han comprobado en la documentación oficial a 16 de octubre de 2026. Si tu licencia o tu edición son distintas de las citadas, prevalece lo que muestre la consola de tu organización.
Qué se puede saber y qué no
Los registros describen sobre todo acciones y metadatos: quién envió, a quién, cuándo, con qué asunto (a veces parcial) y qué estado tuvo la entrega. El contenido del mensaje rara vez forma parte de ellos.
- Se puede saber: envíos y recepciones, estado de entrega, movimientos de mensajes, cambios en las reglas de la bandeja y delegaciones.
- No siempre se sabe si una persona abrió un mensaje. Microsoft 365 registra ese acceso como evento de Audit (Premium), que depende de la licencia.
- Un registro dice qué ocurrió y cuándo. El motivo lo interpreta una persona con contexto, a partir de más de una fuente.
Microsoft no garantiza cuándo aparece un registro en la búsqueda. Para Exchange indica que suele estar disponible entre 60 y 90 minutos después del evento.
Microsoft 365: auditoría unificada
Audit (Standard) y Audit (Premium)
Audit (Standard) viene activada por defecto con la suscripción adecuada y conserva los registros 180 días. Audit (Premium) añade retención más larga, políticas personalizadas, eventos como el acceso a elementos de correo y más ancho de banda en la API, según la comparativa de soluciones de auditoría.
La retención depende de la licencia del usuario que genera el registro. Quien consulta no altera ese plazo. Una misma organización puede tener un año de registros para unos usuarios y 180 días para otros. Microsoft documenta los casos en su guía de políticas de retención:
| Situación | Retención predeterminada | Requisito |
|---|---|---|
| Registros generales de Audit (Standard) | 180 días | Suscripción con auditoría unificada |
| Exchange, SharePoint, OneDrive y Microsoft Entra ID, usuario con E5 | 1 año | Licencia E5, Microsoft Purview Suite o complemento E5 eDiscovery and Audit |
| Mismos servicios, usuario sin E5 o usuario invitado | 180 días | Ninguno |
| Retención de hasta 10 años | Mediante política de retención | Licencia E5 y complemento de 10 años por usuario. No es retroactiva |
| Registros de entidades no usuario, como servicios o aplicaciones | 1 año fijo | No configurable |
Una política de 10 años no recupera registros anteriores a su creación. Para conservar a largo plazo, la política debe estar activa antes del hecho que se quiere investigar.
Cómo se busca
En el portal de Microsoft Purview, abre la solución Audit y la página Search. Por defecto busca los últimos siete días en UTC, con un máximo de 180 días por búsqueda. La exportación a CSV admite hasta 50.000 filas en Audit (Standard) y 1.000.000 en Audit (Premium), según la guía de búsqueda de la auditoría.
Hacen falta los roles Audit Logs o View-Only Audit Logs. Con administrative units, un administrador restringido solo ve los usuarios de su ámbito. Algunas operaciones de Exchange, como las que registra Set-Mailbox, solo puede consultarlas un administrador sin restricciones.
Para descargas programadas, Microsoft recomienda la API de Office 365 Management Activity en lugar de un script. Antes de buscar, comprueba que la ingesta está activa con Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled en Exchange Online PowerShell. Microsoft advierte de que esa propiedad aparece como False en Security & Compliance PowerShell aunque la búsqueda funcione.
Auditoría de buzones
Está activa por defecto en todas las organizaciones, también en los buzones compartidos. Registra acciones según quién actúe: el propietario, un delegado o un administrador. Un delegado es quien tiene Enviar como, Enviar en nombre de o acceso completo sobre el buzón de otra persona. UpdateInboxRules registra los cambios en las reglas de la bandeja, útiles para detectar reenvíos ocultos. SendAs y SendOnBehalf, auditadas por defecto para delegados y administradores, registran los envíos como otra cuenta.
Para ver las acciones auditadas en un buzón: Get-Mailbox -Identity usuario@tuempresa.com | Select-Object -ExpandProperty AuditDelegate
Set-MailboxAuditBypassAssociation permite excluir a un usuario de la auditoría, pero deja sin registro sus acciones sobre cualquier buzón. En una política de correo corporativo, esa exclusión debería estar prohibida.
Seguimiento de mensajes en Microsoft 365
El seguimiento de mensajes (message trace) responde a «qué pasó con este correo». Lo que se dijo en él queda fuera. Está en Mail flow > Message trace del Exchange admin center, en admin.exchange.microsoft.com. Requiere el grupo de roles Organization Management, o los roles Global Administrator o Exchange Administrator. Microsoft recomienda usar los roles con menos permisos.
Por defecto busca dos días, con un máximo de 90. Hasta 10 días, el resumen aparece casi al momento, con hasta 20.000 resultados. Para rangos mayores, el informe se descarga en CSV y puede tardar varias horas. El informe mejorado admite hasta 100.000 resultados, pero exige filtrar por remitente, destinatario o identificador del mensaje. Para datos de más de 10 días, Microsoft indica usar el cmdlet Start-HistoricalSearch, según la documentación de message trace.
El resumen muestra fecha, remitente, destinatario, asunto (los primeros 256 caracteres) y estado, como Delivered, Failed, Quarantined o Filtered as spam. Para localizar un mensaje concreto se usa su identificador, con los corchetes angulares incluidos. No muestra el cuerpo del mensaje: sirve para saber si un correo llegó, se retrasó o se bloqueó, pero no para reconstruir una conversación.
Google Workspace: herramienta de investigación
Eventos de registro de Gmail
La ruta es Informes > Investigación y auditoría > Eventos de registro de Gmail, y requiere el privilegio de administrador «Auditoría y administración». Según la ayuda de Google sobre eventos de Gmail, los campos buscables incluyen el ID del mensaje, el remitente y el destinatario en el sobre y en la cabecera, el asunto, el nombre y el hash SHA256 de los adjuntos, la IP y el tipo de evento. La búsqueda cubre todas las cuentas, con independencia de la edición, y cada descarga admite hasta 100.000 filas, según la guía de la herramienta de auditoría e investigación.
Herramienta de investigación de seguridad
Para ver el contenido de un mensaje, Google remite a Seguridad > Centro de seguridad > Herramienta de investigación, con el origen Eventos de registro de Gmail y el privilegio del Centro de seguridad. La visualización del contenido depende de esos privilegios y de la edición. La ayuda lista como ediciones compatibles Frontline Standard y Plus, Enterprise Standard y Plus, Education Standard y Plus, Enterprise Essentials Plus y Cloud Identity Premium. Business Starter, Business Standard y Business Plus no aparecen en esa lista.
Retención y retrasos
Según la tabla de retención de Google, los eventos de Gmail y de administrador se conservan 6 meses, los eventos de Vault de forma indefinida, y la antigua búsqueda de registros de correo (Email log search) tiene 30 días. Los administradores no pueden borrar esos datos ni cambiar el plazo.
Un evento de Gmail de hace siete meses ya no está en la consola. Solo se recupera si se exportó a BigQuery antes de vencer, o si el contenido está retenido en Vault. Para hechos de más de seis meses, la exportación se planifica antes de que ocurran.
Exportación a BigQuery
La exportación de registros a BigQuery copia los registros de Workspace, incluidos los de Gmail, a un proyecto de Google Cloud de la organización. Las ediciones compatibles son Frontline Standard y Plus, Enterprise Standard y Plus, Education Standard y Plus, y Enterprise Essentials Plus. Un anuncio de Google de 2022 sobre la unificación de los registros de Gmail excluía también las ediciones Business.
Como los datos quedan en tu proyecto, el plazo de conservación lo decides tú según la configuración de BigQuery. La contrapartida es que la custodia pasa a la organización.
Vault para el contenido del correo
Google Vault cubre los mensajes de Gmail para retención, búsqueda y exportación, pero solo para los usuarios con licencia de Vault asignada, según la documentación de Vault. Google incluye Vault en varias ediciones, entre ellas Business Plus, Enterprise Standard y Enterprise Plus, y otras la ofrecen como complemento. Confirma en la consola qué incluye tu edición.
Comparativa Microsoft 365 frente a Google
| Aspecto | Microsoft 365 | Google Workspace |
|---|---|---|
| Auditoría general por defecto | Audit (Standard), 180 días | Eventos de Gmail y de administrador, 6 meses |
| Conservación más larga | 1 año con E5 en los servicios principales; hasta 10 años con complemento y política | Exportación a BigQuery en ediciones compatibles |
| Recorrido de un correo | Message trace: 2 días por defecto, 90 como máximo | Eventos de Gmail, 6 meses |
| Contenido del mensaje | Según eDiscovery y la licencia | Herramienta de seguridad en ediciones concretas, o Vault con licencia |
| Exportación de resultados | CSV de 50.000 filas (Audit Standard) o 1.000.000 (Audit Premium) | 100.000 filas por descarga |
| Permisos para buscar | Audit Logs o View-Only Audit Logs; roles de Exchange para message trace | Privilegio Auditoría y administración; Centro de seguridad |
La diferencia de fondo es el punto de partida. En Microsoft 365, el registro general dura 180 días y el año llega con E5. En Google, el registro de Gmail dura 6 meses, y lo que vaya más allá debe exportarse o retenerse por otra vía.
Quién debe tener acceso
Aplica el mínimo privilegio. Microsoft recomienda los roles con menos permisos y reservar Global Administrator para emergencias. Además:
- Separa funciones si la investigación afecta a alguien de TI: quien administra un buzón no debería ser quien lo audita.
- Documenta quién consulta, con qué criterio y para qué periodo, y conserva el historial de accesos a cada evidencia.
- Obtén la aprobación de la dirección o de la función de cumplimiento antes de investigar a personas concretas. Esa decisión corresponde a la política interna.
Límites legales en España
Tener acceso técnico a un registro no equivale a estar autorizado para usarlo. Tres normas marcan el terreno, y la valoración de cada tratamiento corresponde a la empresa y a su asesoría.
Dispositivos digitales y control empresarial
El artículo 87 de la LOPDGDD reconoce a los trabajadores la protección de su intimidad en los dispositivos digitales que pone a su disposición el empleador. Este puede acceder a los contenidos «a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos». Los criterios de uso deben respetar la intimidad y elaborarse con participación de los representantes de los trabajadores.
El Estatuto de los Trabajadores, en su artículo 20.3, permite adoptar medidas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales, y exige respetar la dignidad del trabajador al aplicarlas.
Conservación: RGPD y Código de Comercio
El RGPD, en su artículo 5.1.e, limita la conservación de los datos personales al tiempo necesario para su finalidad. Un registro con direcciones y actividad de personas entra en esa regla.
El artículo 30 del Código de Comercio obliga a conservar la correspondencia y la documentación del negocio durante seis años, contados desde la última anotación de los libros, salvo que otra norma fije otro plazo. Conservar la correspondencia de negocio seis años no justifica, por sí solo, conservar durante el mismo plazo los registros de actividad de cada empleado. Son obligaciones distintas, y cada una se documenta por separado, salvo que tu asesoría concluya otra cosa.
La información previa a la plantilla, el alcance de cada búsqueda y la proporcionalidad son los puntos que más se discuten después. El marco completo está en la guía sobre revisar el correo corporativo.
Cómo encaja EmailDelDia
EmailDelDia lee metadatos del correo de Microsoft 365 y de Gmail con credenciales propias de la organización. Por defecto solo guarda metadatos. El asunto y la vista previa se guardan únicamente si la organización activa la retención de contenido. Mensajería, reuniones y documentos siguen en preparación, así que esta guía se limita al correo. El detalle de cada fuente está en integraciones.
El módulo de auditoría e investigaciones organiza un expediente con su periodo, las personas y cuentas implicadas, las fuentes consultadas y sus limitaciones, la cronología y las evidencias con hash. El expediente se exporta a PDF.
EmailDelDia no sustituye a eDiscovery ni a Vault cuando hay una retención legal, y no concluye si alguien incumplió nada. Si el periodo investigado no tiene registros completos, el expediente lo indica en lugar de mostrar cero actividad.
Preguntas frecuentes
¿Cuánto tiempo guarda Microsoft 365 los registros de auditoría?
180 días con Audit (Standard). Con licencia E5, los registros de Exchange, SharePoint, OneDrive y Microsoft Entra ID se conservan un año. Con un complemento de 10 años por usuario y una política configurada, el plazo llega a 10 años, sin efecto sobre registros anteriores a la política.
¿Puedo ver el contenido de un correo en el registro de auditoría?
En general, no. Los registros describen acciones y metadatos. En Microsoft 365 el contenido se trabaja con eDiscovery, y en Google con la herramienta de investigación de seguridad, según los privilegios y la edición.
¿Qué pasa con un registro de Gmail de hace más de seis meses?
La consola ya no lo muestra. Solo se recupera si se exportó a BigQuery en una edición compatible, o si el contenido está en Vault con una licencia asignada al usuario.
¿Puede un registro de auditoría servir como prueba en un despido?
Aporta hechos ordenados, sin conclusiones jurídicas. Las decisiones laborales las toman personas con asesoramiento, y EmailDelDia no las automatiza.