Cuando varios usuarios editan documentos de Word en un recurso compartido de red, las sobrescrituras accidentales y los cambios no autorizados pueden corromper archivos y destruir el trabajo. La solución estándar es usar listas de control de acceso (ACL) del sistema de archivos para restringir quién puede abrir o modificar cada documento. Este artículo explica cómo aplicar filtros de ACL del sistema de archivos a documentos de Word en un recurso compartido de red para que solo usuarios o grupos específicos puedan leer o escribir cada archivo.
Los permisos de archivo de Windows permiten establecer reglas granulares por usuario o grupo: Control total, Modificar, Leer y ejecutar, Leer y Escribir. Al aplicar estas reglas a documentos de Word o carpetas individuales, puede bloquear un documento contra ediciones no deseadas. No necesita la función Restringir edición integrada de Word ni Information Rights Management. El filtro de ACL funciona a nivel del sistema de archivos y bloquea los cambios antes de que Word siquiera abra el archivo.
Esta guía cubre los requisitos previos, la configuración paso a paso, los errores comunes y una comparación entre el bloqueo basado en ACL y los métodos de protección internos de Word.
Puntos clave: Bloquear archivos de Word con filtros de ACL del sistema de archivos
- Haga clic con el botón derecho en el archivo > Propiedades > Seguridad > Editar: Abre el editor de ACL para un solo documento de Word en el recurso compartido de red.
- Elimine el grupo Usuarios y agregue solo usuarios o grupos específicos con permisos de Lectura o Modificación: Evita que todos los usuarios no autorizados abran o editen el documento.
- Aplique ACL a la carpeta y habilite la herencia para nuevos archivos: Bloquea automáticamente todos los futuros documentos de Word que se coloquen en esa carpeta compartida.
Cómo controlan las ACL del sistema de archivos el acceso a los documentos de Word
Las ACL del sistema de archivos son entradas de permisos almacenadas en el descriptor de seguridad NTFS de cada archivo y carpeta en un volumen de Windows. Cada ACL contiene una o más entradas de control de acceso o ACE. Cada ACE empareja un principal de seguridad, como una cuenta de usuario o un grupo, con un conjunto de derechos permitidos o denegados. Los derechos incluyen Control total, Modificar, Leer y ejecutar, Leer, Escribir y Permisos especiales.
Cuando un usuario intenta abrir un documento de Word a través de un recurso compartido de red, Windows comprueba la ACL del archivo. Si la cuenta del usuario o cualquier grupo al que pertenezca el usuario tiene una entrada Denegar para Lectura, el archivo es inaccesible. Si el usuario tiene una entrada Permitir para Lectura pero no para Escritura, Word abre el documento en modo de solo lectura. El usuario ve una barra amarilla en Word que indica que el archivo es de solo lectura. El usuario no puede guardar cambios en el archivo original. Guardar en una nueva ubicación todavía está permitido porque el usuario tiene permiso de Escritura en la carpeta de destino.
La ventaja clave del bloqueo basado en ACL es que funciona a nivel del sistema operativo. Bloquea todas las aplicaciones, incluidos Word, Notepad e incluso scripts, para que no modifiquen el archivo. El filtro es independiente de la versión o configuración de Word. También se aplica a todos los tipos de archivo en la carpeta si establece permisos en la carpeta misma.
Requisitos previos para usar filtros de ACL en un recurso compartido de red
Antes de configurar las ACL, confirme que se cumplan las siguientes condiciones:
- El recurso compartido de red está alojado en un volumen NTFS. Los volúmenes FAT32 y exFAT no admiten ACL.
- Tiene permiso de Control total sobre el archivo o la carpeta. Por lo general, esto significa que es el propietario o un administrador en el servidor.
- Todos los usuarios acceden al recurso compartido a través de SMB, no FTP o HTTP. SMB conserva los permisos NTFS.
- Las cuentas de usuario son locales al servidor o cuentas de dominio en Active Directory. Las cuentas locales en las máquinas cliente no son reconocidas por el servidor.
Pasos para bloquear un documento de Word en un recurso compartido de red usando ACL
Los siguientes pasos se aplican a Windows Server 2022, 2019 y 2016, así como a Windows 11 y Windows 10 Pro o Enterprise cuando actúan como servidor de archivos. El procedimiento es idéntico para un solo documento o una carpeta que contiene varios documentos.
- Localice el documento de Word en el servidor
Abra el Explorador de archivos en el servidor o en un cliente con acceso administrativo al recurso compartido. Navegue a la carpeta que contiene el documento de Word que desea bloquear. Haga clic con el botón derecho en el documento y seleccione Propiedades. - Abra la pestaña Seguridad
En el cuadro de diálogo Propiedades, haga clic en la pestaña Seguridad. Esta pestaña muestra los permisos actuales del archivo. El cuadro de lista superior llamado Nombres de grupos o usuarios muestra todos los principales que tienen una ACE en este archivo. - Editar permisos
Haga clic en el botón Editar debajo de la lista. Se abre un nuevo cuadro de diálogo titulado Permisos para [filename]. Este cuadro de diálogo le permite agregar, quitar o modificar ACE para el archivo seleccionado. - Elimine el grupo Usuarios
En el cuadro de diálogo Permisos, seleccione la entrada para Usuarios o Usuarios autenticados. Haga clic en Quitar. Quitar estos grupos amplios evita que todos los usuarios, excepto aquellos que agregue explícitamente, accedan al archivo. No quite SYSTEM, Administradores ni el propietario a menos que esté seguro de las consecuencias. - Agregue usuarios o grupos específicos
Haga clic en Agregar. En el cuadro de diálogo Seleccionar usuarios o grupos, escriba el nombre de una cuenta de usuario o un grupo de seguridad que deba tener acceso. Por ejemplo, escriba “Accounting Team” si tiene un grupo de dominio para el departamento de contabilidad. Haga clic en Comprobar nombres para verificar el nombre y luego haga clic en Aceptar. - Establezca el nivel de permiso
De vuelta en el cuadro de diálogo Permisos, el principal recién agregado aparece en la lista. Selecciónelo. En la lista Permisos para [principal] a continuación, marque las casillas de los derechos que desea conceder. Para acceso de solo lectura, marque Leer y ejecutar y Leer. Para acceso de edición completo, marque Modificar o Control total. Haga clic en Aceptar. - Aplique los cambios
Haga clic en Aceptar en el cuadro de diálogo Permisos y luego en Aceptar en el cuadro de diálogo Propiedades. La nueva ACL se escribe en el archivo de inmediato. Cualquier usuario que no coincida con los principales permitidos se le denegará el acceso cuando intente abrir el archivo a través de la red.
Bloquear una carpeta en lugar de archivos individuales
Si desea que todos los documentos de Word en una carpeta específica hereden la misma ACL, aplique los permisos a la carpeta en lugar de a cada archivo. Haga clic con el botón derecho en la carpeta, vaya a Propiedades > Seguridad > Avanzada. Haga clic en Deshabilitar herencia si la herencia está habilitada actualmente. Elija Convertir los permisos heredados en permisos explícitos. Luego elimine los grupos no deseados y agregue sus principales permitidos. Marque la casilla Reemplazar todas las entradas de permisos de objetos secundarios con entradas de permisos heredables de este objeto. Haga clic en Aceptar. Todos los archivos existentes y futuros en esa carpeta heredarán la nueva ACL.
Errores comunes y limitaciones del bloqueo basado en ACL
Los usuarios aún pueden copiar el archivo a una ubicación con permisos de escritura
Las ACL controlan el acceso directo al archivo en el recurso compartido. Si un usuario tiene permiso de Lectura, puede copiar el archivo a su escritorio local o a otro recurso compartido donde tenga permiso de Escritura. La copia no está bloqueada. Para evitar la copia, también debe quitar el permiso de Lectura, lo que hace que el archivo sea completamente inaccesible. No hay forma basada en ACL de permitir la lectura pero bloquear la copia. Use Restringir edición de Word o Information Rights Management para ese escenario.
Las entradas Denegar anulan las entradas Permitir
Si un usuario pertenece a dos grupos y un grupo tiene una entrada Denegar para Escritura mientras que el otro tiene una entrada Permitir para Escritura, la entrada Denegar prevalece. Windows evalúa las ACE de Denegar antes que las ACE de Permitir. Para evitar confusiones, use solo entradas Permitir y elimine todos los usuarios y grupos que no deban tener acceso. Si debe usar Denegar, pruebe el resultado con una cuenta que no sea de administrador.
Los propietarios siempre pueden cambiar los permisos
El propietario de un archivo puede modificar su ACL en cualquier momento, incluso si la ACL actual le deniega el acceso de Escritura. El propietario puede tomar posesión o editar permisos. Si necesita evitar que el propietario desbloquee el documento, debe cambiar el propietario a una cuenta de confianza, como una cuenta de servicio, y quitar el Control total del propietario original. Esta es una configuración avanzada que puede romper flujos de trabajo si no se administra con cuidado.
Las ACL no impiden la eliminación
Un usuario con permiso de Modificación en una carpeta puede eliminar cualquier archivo en esa carpeta, incluso si la ACL del propio archivo deniega Eliminar. El permiso de la carpeta anula el permiso del archivo para las operaciones de eliminación. Para evitar la eliminación, establezca el permiso de la carpeta para denegar Eliminar al usuario o grupo.
Filtro de ACL vs. la función Restringir edición de Word
| Elemento | Filtro de ACL del sistema de archivos | Restringir edición de Word |
|---|---|---|
| Nivel de protección | Sistema operativo | Capa de aplicación |
| Bloquea la edición desde otras aplicaciones | Sí | No |
| Funciona sin Word instalado | Sí | No |
| Evita la copia mediante copia de archivo | No | No |
| Requiere contraseña para desbloquear | No | Sí |
| Sobrevive a la conversión de formato de archivo | Sí | No |
| Se aplica a todos los usuarios en el recurso compartido | Sí | Solo por archivo |
Las ACL del sistema de archivos proporcionan un bloqueo fuerte que ninguna aplicación puede eludir. La función Restringir edición de Word es un bloqueo débil que puede ser eliminado por cualquiera que conozca la contraseña o abriendo el archivo en un editor de texto y eliminando el elemento de protección XML. Para documentos confidenciales en un recurso compartido de red, use las ACL como bloqueo principal y agregue Restringir edición de Word como capa secundaria si necesita evitar la copia o la impresión.
Ahora puede bloquear cualquier documento de Word en un recurso compartido de red editando su ACL del sistema de archivos. Comience eliminando grupos amplios como Usuarios y agregando solo los usuarios o grupos específicos que deben acceder al archivo. Para una carpeta llena de documentos, deshabilite la herencia y aplique la ACL a la carpeta con la opción de reemplazar los permisos en todos los objetos secundarios. Como consejo avanzado, use la herramienta de línea de comandos icacls para aplicar ACL a cientos de archivos a la vez: ejecute icacls docx /grant "Domain\Group":R /inheritance:e desde un símbolo del sistema elevado en el servidor para conceder acceso de Lectura a un grupo para todos los archivos .docx en la carpeta actual.