Error 401: Inicio de sesión incorrecto (secreto Azure caducado)

Al intentar acceder a SmartOSH, algunos usuarios pueden ver el siguiente mensaje de error:

Inicio de sesión incorrecto Error en el servidor remoto: (401) No autorizado.

Este error indica que SmartOSH no ha podido autenticarse contra Azure Entra ID (antes Azure Active Directory) en nombre del cliente. La causa más habitual es que el secreto de cliente (client secret) configurado en SmartOSH ha caducado en el tenant de Azure del cliente.

Por qué ocurre este error

SmartOSH se autentica contra Azure Entra ID mediante una aplicación registrada en el tenant del cliente. Esa aplicación utiliza un client secret (clave secreta) para identificarse ante Azure.

Los secretos de cliente tienen una fecha de expiración que se establece en el momento de su creación (30 días, 6 meses, 1 año, 2 años o personalizada). Cuando el secreto llega a esa fecha, Azure deja de aceptarlo y devuelve el error:

AADSTS7000222: The provided client secret keys for app '<app-id>' are expired.

Este error lo genera Azure, no SmartOSH. La expiración ocurre por fecha de vencimiento automática, sin que nadie haya realizado ninguna acción manual en el tenant.

Cómo diagnosticarlo

Para confirmar que la causa es un secreto caducado, el administrador de Azure del cliente debe seguir estos pasos:

Acceder a Microsoft Azure Portal con una cuenta con permisos de administrador.
Ir a Microsoft Entra ID → App registrations (Registros de aplicaciones) → pestaña All applications.
Buscar la aplicación por su Application (client) ID (SmartOSH facilita este dato si es necesario) y abrirla.
En el menú lateral de la aplicación, ir a Certificates & secrets (Certificados y secretos).
En la pestaña Client secrets, revisar la columna Expires.

Si algún secreto aparece como Expired o tiene una fecha de vencimiento en el pasado, ese es el secreto caducado que impide el acceso.

Cómo resolverlo

La resolución requiere dos acciones: el cliente genera un nuevo secreto y SmartOSH lo actualiza en su configuración.

Paso 1 — El cliente genera un nuevo client secret

Dentro de Certificates & secrets de la aplicación registrada, pulsar + New client secret.
Asignar una descripción y elegir la duración deseada.
Pulsar Add.
Copiar el valor (Value) inmediatamente tras la creación. Una vez cerrada la pantalla, Azure no vuelve a mostrar ese valor.

Paso 2 — El cliente envía el secreto a SmartOSH de forma segura

El valor del secreto debe enviarse a través de un canal seguro. Se recomienda usar herramientas de enlace de un solo uso como Password Pusher para evitar que el valor quede expuesto en correos o chats.

Paso 3 — SmartOSH actualiza el secreto

Con el nuevo secreto recibido, el equipo de SmartOSH lo actualiza en la configuración del tenant. Este cambio puede tardar unos minutos en propagarse por la caché del sistema antes de que los usuarios puedan volver a acceder.

Referencia SO-4439