¿Cuál es la diferencia entre borrar la cuenta y borrar el dispositivo?

En un dispositivo personal con perfil de trabajo, borrar la cuenta quita el perfil de trabajo y sus datos y deja intactas las fotos, apps y mensajes personales. Borrar el dispositivo lo restablece de fábrica, y en un Android propiedad de la empresa las dos opciones hacen eso. Dos advertencias: quitar un dispositivo de la lista de la consola no elimina los datos de trabajo, excepto en iOS, y un dispositivo que hoy está en administración básica pero antes estuvo en avanzada puede admitir solo el borrado completo.

MDM en Google Workspace: administración básica o avanzada

Q: ¿Necesito administración avanzada para aprobar dispositivos nuevos?

Sí, en teléfonos y tablets. Google indica que la aprobación de dispositivos en Android y iOS requiere administración avanzada, que depende de la licencia de cada usuario: aparece en Business Plus, Enterprise Standard y Plus, Frontline, Education Standard y Plus, Enterprise Essentials y Essentials Plus y Cloud Identity Premium, y no en Business Starter ni Business Standard. Si la activas para alguien cuya licencia no la admite, en sus dispositivos solo se aplican las opciones básicas.

Q: ¿Exigir aprobación del administrador evita que un teléfono sin aprobar lea el correo de la empresa?

No por sí sola. La aprobación controla los datos de trabajo en el dispositivo, y Google indica que no evita que la persona llegue a otros datos de Google a menos que también crees una política de Context-Aware Access que bloquee el acceso según el estado de aprobación pendiente. Mientras esa política no exista, alguien que espera en la cola de aprobación puede abrir Gmail en el navegador del teléfono.

Piensa en una administradora de propiedades de 14 personas. Todos leen el correo de trabajo en su propio teléfono, algo que nadie acordó en ninguna reunión, y la lista de dispositivos de la consola muestra 31 entradas: dos teléfonos de personas que se fueron el año pasado, una tablet que nadie reconoce y el mismo iPhone tres veces porque su dueño lo restableció dos veces. Ahí nadie cree que eso esté administrado, porque a nadie le pidieron instalar nada.

Esa creencia es el malentendido útil. La administración de endpoints de Google empezó a recolectar esos dispositivos el día en que la primera persona agregó una cuenta de trabajo, y la capa básica viene activada por defecto. Lo que falta no es administración. Son las dos o tres decisiones que convierten un inventario en un límite. Este es el orden en que lo trabajamos, con la documentación de Google revisada el 14 de octubre de 2026.

Lo que ya tienes, aunque no lo hayas activado

La administración básica de dispositivos móviles viene activada por defecto y no necesita que nadie instale nada en su teléfono. La comparación de niveles de Google le da cuatro funciones: exigir un código de desbloqueo básico, borrar a distancia la cuenta de trabajo, administrar apps en Android y ver los datos de cada dispositivo que tenga una cuenta de trabajo. Los requisitos de contraseña están en Dispositivos, luego Móviles y endpoints, luego Configuración, luego Universal. Las computadoras pasan por un sistema aparte, la verificación de endpoints, y una regla escrita para uno no cubre al otro.

Para un equipo pequeño importan dos consecuencias. Con administración básica, cada dispositivo queda aprobado en el momento en que aparece, así que bloquear uno es una acción manual y posterior. Y el inventario ya es evidencia: antes de tocar una opción lo ordenamos por última sincronización y preguntamos de quién es cada entrada. La mitad del trabajo del primer proyecto consiste en eliminar la respuesta "de nadie".

Lo que revisamos antes de cambiar de nivel

La edición que tiene cada persona. La administración avanzada depende de la licencia de cada usuario, así que la respuesta puede cambiar dentro de una misma empresa con planes mezclados.
La lista de dispositivos. Plataforma, versión del sistema operativo, última sincronización, estado. Te dice si una política cae sobre 12 teléfonos o sobre 31.
Cómo están armadas las unidades organizativas. El nivel se define por unidad organizativa, y por separado para Android y iOS, así que las unidades tienen que significar algo primero.

Básica o avanzada, según lo que necesites poder hacer

La administración avanzada agrega políticas de código de desbloqueo y de seguridad más estrictas, aprobación de dispositivos, borrado remoto del dispositivo completo y no solo de la cuenta, administración de apps en iOS y perfiles de trabajo en Android. Tampoco puede convivir con otro proveedor de administración de movilidad empresarial, así que una implementación a medias de hace dos años se resuelve primero. El costo es un cliente de administración en el teléfono: en iOS la app Google Device Policy más un perfil de configuración, que Google documenta como obligatorio siempre en iOS 13 y versiones posteriores, y en Android el agente Android Device Policy, que se acepta siguiendo las indicaciones en pantalla en lugar de instalarlo a mano. Un Android personal bajo administración avanzada tiene que configurar un perfil de trabajo para llegar a los datos de la empresa, y eso no es opcional para ninguna de las dos partes.

La pregunta de la licencia decide esto más seguido que la lista de funciones. La página de configuración de Google enumera la administración avanzada en Business Plus, Enterprise Standard y Plus, Frontline, Education Standard y Plus, Enterprise Essentials y Essentials Plus, los planes antiguos de G Suite y Cloud Identity Premium. Business Starter y Business Standard no están, y Google es explícito sobre cómo falla: si la activas para un usuario cuya licencia no la admite, en sus dispositivos solo se aplican las opciones básicas. El interruptor cambia, la política no llega y nada te avisa.

Como el nivel se define por unidad y por plataforma, muchas veces la respuesta correcta es mixta: iPhones de la empresa con administración avanzada y Android personales en básica. En iOS el tipo de inscripción es una decisión propia, y en un teléfono que el empleado pagó es toda la conversación. Device Enrollment es la opción por defecto y le da a la organización control total, incluida la posibilidad de borrar el dispositivo por completo. User Enrollment mantiene separados los datos de trabajo y los personales.

Una trampa en el camino de vuelta: pasar a un usuario de avanzada a básica no deja de administrar su teléfono. Google documenta que el dispositivo sigue administrado a través de la app Device Policy hasta que el usuario lo restablezca de fábrica, o hasta que quite el perfil de trabajo en Android, y que mientras tanto solo se aplican las políticas que admite la administración básica. Planifica una baja de nivel como una tarea que involucra al usuario, no como un interruptor.

Qué bloquea la aprobación del administrador y qué no

Esta es la opción que los equipos pequeños piden por su nombre, casi siempre así: "quiero aprobar los teléfonos nuevos antes de que reciban el correo". Existe, en Dispositivos, luego Móviles y endpoints, luego Configuración, luego Universal, luego Seguridad, luego Aprobaciones de dispositivos, donde marcas la casilla para exigir aprobación del administrador y escribes una dirección de aviso. Configurarla requiere el privilegio de administrador de administración de dispositivos móviles, uno de los roles predefinidos que vale la pena entregar en lugar de súper administrador.

Consola de administración
  Dispositivos
    Moviles y endpoints
      Configuracion
        Universal
          Seguridad       ->  Aprobaciones de dispositivos
          Acceso a datos  ->  Sincronizacion Android / iOS

Dos condiciones previas: la aprobación de dispositivos en Android y iOS requiere administración avanzada, así que la pregunta de la licencia va primero, y los dispositivos de la empresa que registraste por número de serie quedan aprobados de forma automática, salvo los Android con perfil de trabajo.

Ahora la parte que sorprende. La aprobación controla los datos de trabajo en ese dispositivo, y Google dice con claridad que exigirla no evita que la persona llegue a otros datos de Google, a menos que además crees una política de Context-Aware Access que bloquee el acceso según el estado de aprobación pendiente. Un teléfono que espera en tu cola de aprobación igual puede abrir Gmail en el navegador. Si el objetivo era mantener un dispositivo sin aprobar lejos del correo de la empresa, la aprobación por sí sola no termina el trabajo.

El cierre es un nivel de acceso de Context-Aware Access con la condición de política de dispositivo que exige aprobación del administrador, asignado a Gmail y Drive en modo de bloqueo. Revisa la edición antes de prometerlo. La página principal de Context-Aware Access enumera Frontline Standard y Plus, Enterprise Standard y Plus, Education Standard y Plus, Enterprise Essentials Plus y Cloud Identity Premium, y Business Plus no aparece, mientras que otras páginas de Google sobre protección de acceso a apps sí lo mencionan. Lo verificamos en el tenant en lugar de citar cualquiera de las dos páginas. Donde Context-Aware Access no está disponible, la aprobación es un aviso y un registro, no una puerta.

Dale tiempo a los atributos: Google advierte que aplicar una política de dispositivo antes de que el dispositivo haya reportado puede negarle el acceso a alguien que sí cumple, y que con administración básica la versión del sistema operativo y el estado de cifrado pueden tardar varios días en sincronizarse.

Al lado hay una palanca más directa: en Acceso a datos, si desmarcas la casilla de sincronización de Android o de iOS, se detienen los datos de trabajo en apps de Google como Gmail, Calendar y Drive, y Google aclara que el acceso por navegador a las apps web sigue funcionando. En móviles, el navegador es el hueco de casi cualquier control.

Los teléfonos que la administración de endpoints nunca va a ver

Un cliente de correo que inició sesión con una contraseña de aplicación no es un dispositivo administrado y nunca aparece como tal. Tampoco lo es el escáner de la bodega que envía por SMTP, ni el CRM que manda las facturas por ti. Google viene moviendo el acceso de terceros a OAuth, menciona las contraseñas de aplicación como la excepción que queda, no las recomienda para la mayoría de los casos y retiró las cuentas de correo basadas en contraseña que antes se enviaban por administración móvil. El control que importa aquí no está en los menús de dispositivos: está en la configuración de POP e IMAP, donde puedes limitar a los usuarios a clientes de correo con OAuth.

Estos son también los remitentes que sobreviven a la persona que los configuró, lo que los vuelve un problema de entregabilidad tanto como de acceso. Revisamos los dos lados el mismo día: qué dispositivos tienen una cuenta de trabajo y qué sistemas están autorizados a enviar correo con el dominio. La segunda mitad es una pregunta de DNS que puedes correr tú en unos treinta segundos.

Borrar la cuenta o borrar el dispositivo

Los borrados se hacen desde Dispositivos, luego Móviles y endpoints, luego Dispositivos, donde cada entrada ofrece Borrar cuenta y Borrar dispositivo. En un dispositivo personal con perfil de trabajo, borrar la cuenta quita el perfil de trabajo y sus datos y deja intactos los personales, que es la opción que quieres cuando alguien se va. En un Android de la empresa, las dos opciones restablecen el teléfono de fábrica. Tres detalles evitan discusiones después:

Eliminar no es borrar. Google indica que quitar un dispositivo de la lista no elimina los datos de trabajo que tiene, excepto en iOS. La entrada desaparece, el correo no.
Un dispositivo que estuvo en avanzada puede admitir solo el borrado completo. Si hoy está en básica pero antes estuvo en avanzada, borrar solo la cuenta puede no estar disponible y la única opción es el teléfono entero.
Bloquear es reversible y visible. Impide que el dispositivo llegue a una cuenta administrada y evita nuevas solicitudes de acceso, y los dispositivos bloqueados siguen en la lista hasta que los elimines. Desbloquear funciona igual que aprobar.

Las salidas de personal son donde esto se pone a prueba, así que va dentro de la lista de baja de usuarios y no como tarea aparte: suspender, borrar la cuenta en cada dispositivo listado, eliminar las entradas viejas.

Qué vigilamos después

La cola de aprobaciones. Una cola que nadie lee es peor que no exigir aprobación, porque parece un control. La dirección de aviso debería llegarle a dos personas.
Entradas viejas y sistemas desactualizados. Una última sincronización de hace meses suele ser un teléfono perdido, un restablecimiento de fábrica o alguien que se fue, y el inventario es el único lugar donde una empresa pequeña puede ver que cuatro teléfonos dejaron de recibir actualizaciones de seguridad.
El día que cambia una licencia. Mover a alguien a un plan que no admite administración avanzada lo baja en silencio a políticas básicas. Planifica los cambios de edición y la administración de dispositivos juntos, no con seis semanas de diferencia.
Quién está en los grupos. Si las políticas se aplican por grupos y no por unidades, la membresía es la política, y por eso los grupos son una frontera de acceso.

Cómo ayuda Guanacos Tech

Esto lo hacemos como parte del trabajo de Workspace para equipos pequeños y medianos en Norteamérica y Latinoamérica: leer contigo la lista de dispositivos, revisar qué admite de verdad cada licencia, elegir básica o avanzada por plataforma, configurar las aprobaciones con una política detrás y no solo con un aviso, y dejar escrito qué pasa el día en que alguien pierde un teléfono. En un equipo de diez a treinta personas es una tarde y cierra la distancia entre lo que muestra la consola y lo que es cierto. Cómo trabajamos cabe en una página. Si prefieres que esté hecho en lugar de investigado, somos consultores de Google Workspace, y media hora alcanza para decirte qué cambiaríamos primero.

El teléfono que nadie registró: cómo configurar la administración de dispositivos móviles en Google Workspace