Cómo bloquear tipos de archivo específicos de la sincronización de OneDrive en OneDrive para la empresa

Debe evitar que ciertos tipos de archivo se sincronicen con OneDrive para la Empresa para reducir el desperdicio de almacenamiento, aplicar políticas de seguridad o impedir que formatos de archivo no deseados lleguen a la nube. De forma predeterminada, OneDrive sincroniza todos los archivos de las carpetas seleccionadas, pero Microsoft 365 proporciona una configuración de Directiva de grupo y una política de nivel de inquilino para bloquear extensiones como .exe, .zip o .ps1. Este artículo explica cómo configurar el bloqueo de tipos de archivo mediante el centro de administración de Microsoft 365 y la Directiva de grupo local, y qué sucede cuando se detecta un archivo bloqueado.

Cómo funciona el bloqueo de tipos de archivo de OneDrive

OneDrive para la Empresa puede bloquear extensiones de archivo específicas para que no se sincronicen en el cliente. Cuando se coloca un archivo con una extensión bloqueada en una carpeta sincronizada, OneDrive lo omite por completo: el archivo no se carga en la nube y, si el archivo ya existe en la nube, no se descarga en la máquina local. Este bloqueo se aplica tanto a la carga como a la descarga, por lo que un usuario no puede eludir la restricción moviendo un archivo a la carpeta desde otra ubicación.

La característica se controla mediante dos mecanismos independientes:

• Política para todo el inquilino a través del centro de administración de Microsoft 365: Esta configuración se aplica a todos los usuarios de la organización. Es la forma más sencilla de bloquear tipos de archivo para todos, pero requiere privilegios de administrador global o de administrador de SharePoint.
• Directiva de grupo local o registro: Este método se dirige a dispositivos Windows individuales y se puede implementar a través de Objetos de directiva de grupo en un dominio de Active Directory. Permite el control por máquina y puede anular la configuración del inquilino si es necesario.

Los tipos de archivo bloqueados se identifican por su extensión, como .exe, .msi, .bat, .ps1, .vbs, .zip, .rar o .7z. Puede bloquear cualquier extensión, pero las opciones comunes son archivos ejecutables, archivos de script y archivos comprimidos que podrían contener malware o consumir ancho de banda excesivo.

Pasos para bloquear tipos de archivo mediante el centro de administración de Microsoft 365

Este método aplica el bloqueo a todos los usuarios del inquilino. Siga estos pasos:

1. Inicie sesión en el centro de administración de Microsoft 365
   Vaya a https://admin.microsoft.com e inicie sesión con una cuenta que tenga el rol de administrador global o administrador de SharePoint. Si no tiene estos roles, no podrá acceder a la página de configuración.
2. Vaya a la configuración de OneDrive
   En el panel de navegación izquierdo, seleccione Configuración y luego haga clic en Configuración de la organización. En la página Configuración de la organización, desplácese hacia abajo para encontrar OneDrive y haga clic en él. Se abre el panel de configuración de OneDrive.
3. Abra la pestaña Sincronización
   En el panel de configuración de OneDrive, haga clic en la pestaña Sincronización. Esta pestaña contiene todas las directivas relacionadas con la sincronización para su organización.
4. Habilite el bloqueo de tipos de archivo
   En la sección “Bloquear la sincronización de tipos de archivo específicos”, cambie el interruptor a Activado. Aparece un cuadro de texto donde puede introducir las extensiones de archivo que desea bloquear.
5. Introduzca las extensiones de archivo a bloquear
   Escriba cada extensión de archivo en una línea separada, sin el punto inicial. Por ejemplo, para bloquear ejecutables y scripts, escriba:
   exe
msi
bat
ps1
vbs
   También puede bloquear archivos comprimidos como zip, rar y 7z. No hay límite en el número de extensiones, pero cada una debe estar en su propia línea.
6. Guarde la directiva
   Haga clic en Guardar en la parte inferior del panel. El cambio surte efecto de inmediato para todos los usuarios. Los archivos existentes que ya están sincronizados permanecerán en OneDrive, pero los nuevos archivos con extensiones bloqueadas no se sincronizarán.

Pasos para bloquear tipos de archivo mediante la Directiva de grupo local

Utilice este método si necesita bloquear tipos de archivo en equipos específicos, como los que están fuera de su dominio o para pruebas. Esto requiere la edición Windows Pro o Enterprise. La configuración de Directiva de grupo está disponible después de instalar la plantilla administrativa de OneDrive.

1. Instale la plantilla administrativa de OneDrive
   Descargue los archivos ADMX de OneDrive más recientes desde el Centro de descarga de Microsoft. Copie el archivo OneDrive.admx en C:\Windows\PolicyDefinitions y el archivo OneDrive.adml en C:\Windows\PolicyDefinitions\en-US. Si utiliza un almacén de directivas central, copie los archivos allí en su lugar.
2. Abra el Editor de directivas de grupo local
   Presione Win + R, escriba gpedit.msc y presione Entrar. Se abre la ventana del Editor de directivas de grupo local.
3. Vaya a la ruta de la directiva de OneDrive
   Vaya a Configuración del equipo > Plantillas administrativas > OneDrive. Si no ve la carpeta OneDrive, los archivos ADMX no se instalaron correctamente.
4. Abra la directiva “Bloquear la sincronización de tipos de archivo específicos”
   Haga doble clic en Bloquear la sincronización de tipos de archivo específicos. Esta directiva controla qué extensiones de archivo se bloquean para la sincronización.
5. Habilite la directiva e introduzca las extensiones
   Seleccione Habilitada. En la sección Opciones, introduzca las extensiones de archivo separadas por comas, sin espacios. Por ejemplo:
   exe,msi,bat,ps1,vbs,zip,rar
   No incluya puntos iniciales ni espacios. Haga clic en Aceptar para guardar.
6. Aplique la directiva
   Cierre el Editor de directivas de grupo local. La directiva surte efecto después de la siguiente actualización de directiva de grupo o cuando el usuario cierra sesión y vuelve a iniciarla. Para forzar una actualización inmediata, abra un símbolo del sistema como administrador y ejecute gpupdate /force.

Qué sucede cuando se detecta un archivo bloqueado

Cuando un usuario coloca un archivo con una extensión bloqueada en una carpeta de OneDrive sincronizada, ocurre lo siguiente:

• El archivo permanece local: El archivo permanece en la carpeta local pero no se carga en la nube. Aparece con un icono de superposición de círculo rojo y X blanca en el Explorador de archivos.
• Sin notificación de error: OneDrive no muestra una notificación emergente ni un aviso. La única indicación es el icono rojo en el propio archivo.
• Los archivos existentes en la nube no se eliminan: Si un archivo con una extensión bloqueada ya se había sincronizado antes de aplicar la directiva, permanece en OneDrive. La directiva solo impide nuevas sincronizaciones.
• Los archivos bloqueados no se descargan: Si se agrega un archivo bloqueado a una carpeta de OneDrive en otro dispositivo, no se sincronizará en la máquina local que tiene la directiva.

Problemas comunes al bloquear tipos de archivo

Los archivos bloqueados siguen sincronizándose después de aplicar la directiva

Si la directiva del inquilino está configurada pero los archivos aún se sincronizan, espere hasta 24 horas para que el cambio se propague. Para la Directiva de grupo, ejecute gpupdate /force y reinicie la aplicación OneDrive. Si el problema persiste, verifique que la directiva no esté siendo anulada por una Directiva de grupo conflictiva de nivel superior.

Bloquear un tipo de archivo también bloquea los archivos dentro de un archivo comprimido

Bloquear una extensión como .exe no bloquea los archivos .exe que están dentro de un archivo .zip. El archivo comprimido en sí no se analiza en busca de contenido interno. Para bloquear .zip por completo, agregue zip a la lista de extensiones bloqueadas.

Los usuarios pueden cambiar el nombre de un archivo para eludir el bloqueo

Si un usuario cambia el nombre de un archivo bloqueado a una extensión no bloqueada, se sincronizará. Esta es una limitación del bloqueo basado en extensiones. Para evitarlo, combine el bloqueo de tipos de archivo con directivas de Prevención de pérdida de datos que analicen el contenido del archivo y bloqueen según la firma del archivo, no solo la extensión.

Los tipos de archivo bloqueados no se sincronizan en la dirección opuesta

Cuando se agrega un archivo bloqueado a OneDrive desde un dispositivo sin la directiva, no se sincronizará en un dispositivo que tenga la directiva. El archivo aparece en la interfaz web de OneDrive pero permanece atenuado o ausente en la máquina local.

Política para todo el inquilino vs Directiva de grupo local: diferencias clave

Elemento	Centro de administración de Microsoft 365 (todo el inquilino)	Directiva de grupo local (por dispositivo)
Ámbito	Todos los usuarios de la organización	Máquinas Windows específicas donde se aplica la directiva
Administración	Requiere el rol de administrador global o administrador de SharePoint	Requiere derechos de administrador local en el dispositivo
Implementación	Configurado en el navegador, no se necesita instalar software	Requiere plantillas ADMX de OneDrive y el Editor de directivas de grupo
Tiempo de propagación	Hasta 24 horas	Inmediato después de gpupdate /force y reiniciar OneDrive
Capacidad de anulación	No puede ser anulada por los usuarios	Puede ser anulada por una Directiva de grupo conflictiva de nivel superior

Ahora puede bloquear tipos de archivo específicos para que no se sincronicen en OneDrive para la Empresa utilizando el centro de administración de Microsoft 365 para el control de todo el inquilino o la Directiva de grupo local para restricciones por dispositivo. A continuación, revise las políticas de clasificación de datos de su organización para determinar qué extensiones representan el mayor riesgo. Considere combinar el bloqueo de tipos de archivo con etiquetas de retención de OneDrive y etiquetas de confidencialidad para una estrategia de protección de datos más completa.