Eliminar vínculos anónimos antes de una revisión de cumplimiento: mejores configuraciones para Microsoft 365

Si necesita eliminar vínculos anónimos antes de una revisión de cumplimiento, está tratando con archivos y carpetas compartidos a los que cualquier persona puede acceder sin iniciar sesión. Los vínculos anónimos, también llamados vínculos Anyone, omiten la autenticación y exponen el contenido a usuarios externos. Este artículo explica cómo identificar estos vínculos, cómo eliminarlos usando la configuración de administración de SharePoint y PowerShell, y qué directivas impiden que se creen de nuevo.

Por qué los vínculos anónimos son un riesgo de cumplimiento

Los vínculos anónimos, también conocidos como vínculos Anyone en SharePoint y OneDrive, permiten que cualquier usuario que tenga el vínculo acceda al archivo o la carpeta sin iniciar sesión. Estos vínculos no expiran de forma predeterminada. Permanecen activos hasta que alguien los elimina manualmente o cambia la configuración de uso compartido.

Durante una revisión de cumplimiento, los auditores verifican el uso compartido externo que no cumple con los estándares normativos. Los vínculos anónimos no cumplen con la mayoría de los marcos de cumplimiento porque no proporcionan un registro de auditoría de quién accedió al contenido. Regulaciones como GDPR, HIPAA y SOC 2 exigen que las organizaciones controlen y supervisen el acceso externo. Los vínculos anónimos infringen estos requisitos.

La causa raíz del riesgo es que los propietarios y miembros del sitio pueden crear vínculos Anyone sin la aprobación de TI. La configuración de uso compartido predeterminada en SharePoint permite los vínculos Anyone. Los administradores de TI deben cambiar estos valores predeterminados y eliminar los vínculos existentes antes de una revisión de cumplimiento.

Pasos para eliminar vínculos anónimos y restringir el uso compartido

Siga los pasos a continuación en el orden indicado. Primero, desactive la capacidad de crear nuevos vínculos Anyone. Luego, elimine los existentes. Por último, verifique que no queden vínculos anónimos.

Paso 1: desactivar los vínculos Anyone en el nivel de inquilino

1. Abra el centro de administración de SharePoint
   Vaya a https://admin.microsoft.com. En el panel de navegación, seleccione Centros de administración y luego SharePoint. Se abre el centro de administración de SharePoint.
2. Vaya a la configuración de Uso compartido
   En el menú izquierdo, seleccione Directivas y luego Uso compartido. Esta página controla el uso compartido externo para SharePoint y OneDrive.
3. Cambie el nivel de uso compartido externo para SharePoint
   En Uso compartido externo para SharePoint, seleccione Personas específicas (solo las personas que especifique el usuario). Esta configuración desactiva por completo los vínculos Anyone. Los usuarios aún pueden compartir con invitados que inicien sesión.
4. Cambie el nivel de uso compartido externo para OneDrive
   En Uso compartido externo para OneDrive, seleccione Personas específicas. Haga clic en Guardar para aplicar los cambios. Los vínculos Anyone existentes permanecen activos hasta que los elimine.

Paso 2: eliminar los vínculos anónimos existentes con PowerShell

Necesita SharePoint Online Management Shell para eliminar los vínculos Anyone existentes. Instale el módulo si aún no lo ha hecho.

1. Instale SharePoint Online Management Shell
   Abra Windows PowerShell como administrador. Ejecute el comando: Install-Module -Name Microsoft.Online.SharePoint.PowerShell. Confirme cualquier aviso.
2. Conéctese a SharePoint Online
   Ejecute Connect-SPOService -Url https://yourtenant-admin.sharepoint.com. Reemplace yourtenant por el nombre de su inquilino. Inicie sesión con una cuenta de administrador global.
3. Obtenga una lista de todas las colecciones de sitios
   Ejecute Get-SPOSite -Limit All | Select Url. Esto muestra cada colección de sitios de su inquilino. Anote las direcciones URL que necesita examinar.
4. Compruebe el estado de uso compartido de cada sitio
   Ejecute Get-SPOSite -Identity https://yourtenant.sharepoint.com/sites/yoursite | Select SharingCapability. Si el valor es ExternalUserAndGuestSharing, los vínculos Anyone están permitidos en ese sitio.
5. Desactive los vínculos Anyone en un sitio específico
   Ejecute Set-SPOSite -Identity https://yourtenant.sharepoint.com/sites/yoursite -SharingCapability ExternalUserSharingOnly. Esto elimina la capacidad de crear nuevos vínculos Anyone y convierte los vínculos Anyone existentes en vínculos de invitado. Los vínculos de invitado requieren iniciar sesión.
6. Repita para todos los sitios
   Use un bucle en PowerShell: Get-SPOSite -Limit All | ForEach-Object { Set-SPOSite -Identity $_.Url -SharingCapability ExternalUserSharingOnly }. Ejecute este comando para aplicar el cambio a cada colección de sitios.

Paso 3: verificar que no queden vínculos anónimos

1. Use el informe de Uso compartido en el centro de administración de SharePoint
   En el centro de administración de SharePoint, seleccione Informes y luego Uso compartido. Este informe muestra todos los elementos compartidos. Filtre por Tipo de vínculo y seleccione Anyone. El informe enumera los vínculos anónimos que queden.
2. Elimine manualmente los vínculos restantes
   Para cada archivo o carpeta que aparezca en el informe, vaya al elemento en el explorador. Seleccione los tres puntos y elija Administrar acceso. En Vínculos, seleccione el vínculo Anyone y haga clic en Eliminar. Confirme la eliminación.
3. Ejecute una auditoría de PowerShell
   Use Search-UnifiedAuditLog en Exchange Online PowerShell para buscar eventos SharingCreated con vínculos Anyone. Este paso es opcional, pero se recomienda para inquilinos grandes.

Si los vínculos anónimos siguen apareciendo después de la corrección principal

Vínculos anónimos creados por propietarios del sitio antes del cambio de directiva

Si solo cambió la configuración de uso compartido en el nivel de inquilino, los vínculos Anyone existentes permanecen activos. El comando de PowerShell del paso 2 los convierte en vínculos de invitado. Si omitió ese paso, los vínculos siguen funcionando. Ejecute de nuevo el comando Set-SPOSite en cada colección de sitios.

Vínculos anónimos en OneDrive para la Empresa

OneDrive usa la misma configuración de uso compartido que SharePoint. Después de cambiar la configuración en el nivel de inquilino, los usuarios de OneDrive no pueden crear nuevos vínculos Anyone. Para eliminar los vínculos anónimos existentes de OneDrive, cada usuario debe eliminarlos manualmente. Como administrador, puede ejecutar Set-SPOSite en la dirección URL de cada sitio de OneDrive. Las direcciones URL de los sitios de OneDrive siguen el patrón https://yourtenant-my.sharepoint.com/personal/username_domain_com.

Vínculos anónimos en archivos de Microsoft Teams

Los archivos compartidos en los canales de Teams se almacenan en el sitio de SharePoint del equipo. Se aplican los mismos comandos de PowerShell. Vaya al sitio de SharePoint asociado con el equipo y ejecute Set-SPOSite con ExternalUserSharingOnly. Los vínculos anónimos en los chats de Teams se almacenan en OneDrive. Elimínelos usando el método de OneDrive anterior.

Vínculos anónimos de SharePoint frente a vínculos de invitado: diferencias clave

Elemento	Vínculo anónimo (Anyone)	Vínculo de invitado (Personas específicas)
Autenticación requerida	Ninguna	Inicio de sesión con cuenta de Microsoft o cuenta profesional
Registro de auditoría	Sin registro de quién accedió al archivo	Registro de auditoría completo del acceso de invitados
Expiración	Sin expiración predeterminada	Se puede configurar con expiración y contraseña
Ajuste al cumplimiento	No cumple con la mayoría de las regulaciones	Cumple con los requisitos de GDPR, HIPAA y SOC 2

Después de eliminar todos los vínculos anónimos y desactivar la opción de uso compartido Anyone, su inquilino cumplirá con los requisitos de la mayoría de las revisiones de cumplimiento. La configuración clave es el nivel de uso compartido externo establecido en Personas específicas. Use el centro de administración de SharePoint para verificar la configuración mensualmente. Para una protección adicional, cree una directiva de prevención de pérdida de datos en el portal de cumplimiento de Microsoft Purview que bloquee el uso compartido con Anyone. Esta directiva impedirá que los usuarios creen vínculos anónimos incluso si un propietario del sitio cambia más adelante la configuración de uso compartido.