Cómo añadir una cuenta de Google Workspace a Outlook clásico con OAuth y resolver el error de IMAP

¿Outlook dejó de aceptar tu buzón de Google Workspace y sólo muestra el error “We couldn’t log on to the incoming (POP/IMAP) server”? En la mayoría de los casos el problema está en credenciales OAuth corruptas guardadas en Windows. Sigue esta guía paso a paso para revocar el acceso, limpiar las credenciales antiguas y volver a conectar la cuenta con la capa de seguridad que Google exige desde 2024.

Por qué ocurre este fallo en 2024‑2025

Desde mayo de 2024 Google inhabilitó por completo el inicio de sesión mediante contraseña básica (también llamado “less secure apps”). Outlook, aun siendo un cliente moderno, conserva en caché las autorizaciones OAuth en el Administrador de credenciales de Windows. Si dichos tokens se corrompen o caducan, Outlook continúa enviándolos y Google responde con un rechazo SMTP/IMAP. Como el cuadro de diálogo clásico de Outlook sólo interpreta “fallo de servidor”, el usuario recibe el mensaje genérico de POP/IMAP, aun cuando la raíz sea OAuth.

Pasos rápidos de la solución

1. Revocar permiso de “Microsoft Apps and Services” en la consola de Google.
2. Vaciar credenciales OAUTH2 residuales en Windows.
3. Reagregar la cuenta seleccionando el inicio de sesión a través del explorador.
4. Verificar IMAP y políticas en Google Workspace.

Revocar el acceso anterior de Outlook

Antes de tocar nada en el PC, corta la sesión caducada en el lado de Google:

1. Inicia sesión en Mi cuenta de Google con la dirección corporativa.
2. Navega a Seguridad → Acceso a tu cuenta → Aplicaciones de terceros con acceso.
3. Localiza Microsoft Apps and Services y pulsa Quitar acceso.
4. Confirma el diálogo. Google invalidará los refresh tokens almacenados en Outlook.

Este paso es crítico: si no revocas primero, el nuevo intento de OAuth entregará el mismo token dañado y el bucle continuará.

Eliminar credenciales obsoletas en Windows

Con Outlook cerrado:

1. Abre Administrador de credenciales (desde Panel de control o con control /name Microsoft.CredentialManager en Ejecutar).
2. Ve a Credenciales de Windows.
3. Busca entradas que empiecen por MicrosoftOffice16\Data\:OAUTH2 y contengan google\imap\oauth2.
4. Borra todas las entradas relacionadas.
5. Opcional: si gestionas varias cuentas de dominio, identifica cada GUID en el registro:
   HKEYCURRENTUSER\Software\Microsoft\Office\16.0\Common\Identity\Identities y elimina sólo las que correspondan a la cuenta afectada.

Agregar de nuevo la cuenta con el navegador

Los perfiles de Outlook (versión 2409 o posterior) ofrecen dos opciones para OAuth. Elige Iniciar sesión en el explorador, que abre la ventana completa de autorización de Google:

1. Inicia Outlook.
2. Si la cuenta sigue visible pero con error, Outlook mostrará un aviso amarillo “Tenemos problemas para sincronizar”. Haz clic y selecciona Reiniciar credenciales; se lanzará el flujo OAuth.
3. Si la cuenta fue eliminada, usa Archivo → Agregar cuenta, escribe la dirección y pulsa Conectar.
4. Cuando aparezca la ventana externa de Google, accede con usuario y contraseña, realiza la verificación en dos pasos (MFA) si procede y marca la casilla Microsoft Apps and Services.
5. Al volver a Outlook, espera la creación del archivo OST y la indexación.

Comprobaciones finales en Google Workspace

Elemento	Dónde revisarlo	Valor correcto
IMAP	Consola → Aplicaciones → Google Workspace → Gmail → Acceso del usuario final	Activado
POP	Igual que IMAP (solo si usas POP)	Activado o inhabilitado según política
Acceso mediante API	Consola → Seguridad → Control de API	Permitir OAuth para clientes de confianza
Clientes IMAP externos	Consola → Seguridad → Acceso y datos del usuario	Permitir clientes modernos con OAuth 2.0

Si tu organización restringe OAuth a una lista blanca, añade el identificador de cliente de Outlook: 2112234... (ejemplo).

Preguntas frecuentes

¿Puedo usar una contraseña de aplicación en vez de OAuth?

No. Google eliminó el soporte para contraseñas de aplicación en cuentas Workspace a partir de octubre de 2024. El único método admitido es OAuth 2.0.

¿Qué sucede si uso el nuevo Outlook para Windows (versión Store)?

El nuevo Outlook gestiona la autenticación a través de WebView2 y hace la limpieza automática de tokens; el problema descrito afecta sobre todo al cliente clásico de escritorio (Office 2021, Microsoft 365 Apps for Enterprise canal empresarial, etc.).

El Administrador de credenciales no muestra entradas Google IMAP OAuth2. ¿Qué hago?

Es posible que las credenciales estén en la sección Credenciales genéricas bajo otro nombre. Elimina cualquier registro que contenga Google y IMAP. Si todo falla, crea un nuevo perfil de Outlook desde Panel de control → Correo → Perfiles.

Uso varias identidades en un mismo archivo PST/OST, ¿afecta esto al GUID?

Cada identidad OAuth se guarda bajo un GUID único. Eliminar todas las entradas relacionadas no afecta a otras cuentas que usen modern authentication (por ejemplo, Microsoft 365).

¿Cómo verifico que el token se renovó correctamente?

En Outlook, abre Estado de la conexión con Ctrl+Alt+S y busca en la columna Authn. Debería mostrar Bearer y un indicador de tiempo “Ok”.

Buenas prácticas para evitar que se repita

• Mantén Outlook actualizado: la compilación 16.0.17628.20042 (septiembre 2024) incorporó compatibilidad con los nuevos “OAuth Consent Screens” de Google.
• Desactiva complementos COM heredados que intercepten eventos de inicio de sesión; algunos gestores de correo antiphishing antiguos bloquean la redirección OAuth.
• Para usuarios móviles, aconseja el cliente oficial Gmail o Outlook Mobile, ambos basados cien por cien en OAuth.
• Documenta y comunica a los empleados la obligación de renovar tokens tras un cambio de contraseña o al habilitar MFA.
• Considera la auditoría de inicios de sesión (Reports → Audit → Login) en Google Admin para detectar rechazos 401/403 y actuar proactivamente.

Error persiste: diagnósticos avanzados

Si después de todo continúas con el mensaje de error, prueba lo siguiente:

1. Captura un Fiddler Trace mientras Outlook intenta el arranque; busca respuestas 403 con el código invalid_grant.
2. Lanza Outlook con el flag /safe para descartar extensiones de terceros.
3. Ejecuta outlook.exe /resetnavpane para limpiar la navegación que a veces interfiere al crear perfiles IMAP.
4. Comprueba que el reloj del sistema coincida con un servidor NTP; los tokens OAuth dependen de la hora.
5. En entornos VDI, elimina perfiles con Profclean.exe antes de reaprovisionar escritorios.

Comparativa IMAP vs POP vs Gmail API

Outlook clásico funciona vía IMAP para mensajes y SMTP para envío. Google ofrece también la Gmail API, que evita la sincronización completa del buzón y mejora la tasa de llamadas, pero Outlook aún no la soporta de forma nativa. Para entornos con >50 000 mensajes por buzón, considera:

Protocolo	Ventajas	Limitaciones
IMAP + SMTP	Compatibilidad universal, funciona offline, reglas locales	Sin etiquetas, límites de 2 GB/hora, requiere OAuth
POP	Sólo descarga Bandeja de entrada, ideal para archivado	No sincroniza otros folders, Riesgo de mensajes duplicados
Gmail API	Acceso a etiquetas, búsqueda nativa, ancho de banda optimizado	Requiere desarrollo personalizado, no compatible con Outlook clásico

Conclusión

El error “We couldn’t log on to the incoming server” ya no suele implicar configuraciones IMAP incorrectas, sino credenciales OAuth vencidas. Revocar el acceso en Google, limpiar el Administrador de credenciales y completar de nuevo el flujo de inicio de sesión garantiza que Outlook reciba un token fresco y funcional. Con los pasos anteriores la mayoría de organizaciones recupera la sincronización en menos de 15 minutos, sin necesidad de reinstalar Office ni alterar las políticas de dominio.