Permisos requeridos para ejecutar SecureMailMerge

Una explicación clara de los permisos de Microsoft 365 que SecureMailMerge necesita para ejecutar tu mail merge, qué hace cada uno y por qué.

Actualizado septiembre de 2026

Información básica sobre el procesamiento de la combinación de correspondencia

Es importante tener en cuenta que tu hoja de cálculo y el contenido del mensaje se procesan en tu computadora dentro de Outlook, y los correos electrónicos terminados se envían a través de tu propio buzón de Microsoft 365 mediante Microsoft Graph, como cualquier correo que escribas tú mismo. Los permisos que otorgas a SecureMailMerge solo se usan en tu computadora y nunca se transfieren a ningún servidor para su procesamiento.

El único servidor que recibe datos relacionados con la campaña es nuestro servidor de licencias, que verifica si has comprado una licencia comercial. Consulta nuestra sección de firewall si quieres hacer cumplir esto.

Permisos de Microsoft 365

A primera vista, los permisos solicitados forman una lista larga. Sin embargo, consideramos que es mejor práctica solicitar permisos granulares solo para las funciones que ofrecemos, en lugar de permisos amplios que esencialmente dan acceso completo a un usuario de Microsoft 365.

Listaremos cada permiso y para qué lo necesitamos:

• Sign you in and read your profile: Esto permite que el plugin te pida iniciar sesión y recupere tu dirección de correo electrónico, que usamos para verificar si tienes una licencia válida y mostrar la cuenta desde la que se envía para que no envíes una campaña de combinación de correspondencia desde el buzón incorrecto.
• Read your contacts: Con el plugin puedes enviar una campaña de combinación de correspondencia a contactos en tu libreta de direcciones personal.
• Read your and shared contacts: El plugin también te permite crear campañas de combinación de correspondencia desde contactos en un buzón compartido.
• Read calendars you can access: El plugin te permite filtrar tus contactos por las categorías asignadas en Outlook. Desafortunadamente, una peculiaridad en la arquitectura de permisos de Microsoft requiere que solicitemos acceso al Calendario para usar estas categorías en buzones compartidos. Este enfoque fue verificado y recomendado por un ingeniero de soporte de Microsoft.
• Send mail as you: El plugin creará la combinación de correspondencia como un conjunto de mensajes en tu buzón y luego necesita enviarlos.
• Read and write access to your email: Para soportar nuestras funciones de adjuntos, el plugin debe poder crear mensajes borrador en tu buzón mientras sube los adjuntos. Estos borradores luego se envían usando el permiso anterior.
• Read your mailbox settings: Para cumplir con cualquier límite en tu buzón, el plugin lee la configuración de tu buzón para asegurarse de que no haga nada prohibido por las políticas de TI de tu organización o Microsoft 365. Este permiso también permite que el plugin lea las categorías de Outlook para el buzón con sesión iniciada. (Para buzones compartidos, ver arriba.)
• Maintain access to data you have given it access to: Los permisos de Microsoft usan tokens de acceso y de actualización separados. El token de acceso es el primer token que recibes y requiere que inicies sesión. El token de actualización permite que el plugin le diga a Microsoft que sigue trabajando en tu nombre (es decir, preparando o enviando una combinación de correspondencia) y obtener un nuevo token de acceso para acceso continuo. Este permiso nos permite actualizar el acceso sin pedirte que inicies sesión cada pocos minutos mientras envías una campaña de combinación de correspondencia. A pesar de lo que indica el permiso, el token nunca se transfiere fuera de tu instancia de Outlook. Tan pronto como cierres el plugin o Outlook, se te pedirá iniciar sesión de nuevo, y no pueden ocurrir operaciones cuando el plugin no está cargado.

Si algo de esto no está suficientemente claro, por favor contáctanos en [email protected] y haremos nuestro mejor esfuerzo para mejorar esta documentación.

Permisos de firewall requeridos

Los plugins de Microsoft 365 son esencialmente aplicaciones web de una sola página cargadas desde nuestro servidor web en https://www.securemailmerge.com. Solo se requieren permisos HTTP GET para obtener el plugin, con una excepción:

El plugin verifica si el usuario tiene una licencia válida llamando a un endpoint API con una solicitud HTTP POST en https://www.securemailmerge.com/api/license.

Por lo tanto, más allá de los endpoints de Microsoft 365 que tu tenant ya permite (el plugin se comunica a través de Microsoft Graph), el plugin solo requiere permisos HTTP GET y POST en el puerto 443 (HTTPS TLS) para nuestro clúster de servidores en https://www.securemailmerge.com.

El plugin también reporta conteos de uso anónimos a nuestro host de análisis autohospedado en https://analytics.solinventum.com (Rybbit; solo conteos de uso, sin datos de destinatarios) y reportes de errores a Sentry. Ambos son opcionales: puedes bloquearlos en el firewall y el plugin seguirá funcionando. En total, el plugin contacta cuatro hosts: Microsoft 365 (Graph), www.securemailmerge.com (requerido), analytics.solinventum.com (opcional) y Sentry (opcional).

Nota: el servidor de licencias está alojado en los centros de datos europeos de Azure de Microsoft. El sitio web y los archivos del add-in son servidos por Cloudflare.

Transferencia de datos a nuestro servidor (es decir, tu dirección de correo electrónico)

El plugin verificará la licencia cada vez que te hayas autenticado con Microsoft 365. Esto sucede tres veces:

• Cuando envías un correo de prueba
• Cuando envías una campaña de mail merge
• Cuando cargas tu libreta de direcciones

La dirección de correo electrónico principal del buzón en el que has iniciado sesión será enviada a nuestro servidor de licencias (pero nunca ningún dato de campaña o correos para los que generes mail merges). El correo electrónico se compara con una lista de licencias válidas en nuestro servidor de licencias. Si no hay coincidencia, el correo no se almacena.

• Para usuarios de la versión gratuita, la dirección de correo no se almacena después de la verificación de licencia.
• Para usuarios de nuestra licencia comercial, la dirección de correo del usuario licenciado se almacena hasta que la cuenta sea eliminada.