El cifrado basado en etiquetas bloquea el acceso de invitados: causa raíz y solución

Cuando compartes un documento de SharePoint con un usuario invitado, puede que vea una página en blanco o un error de acceso denegado. Esto suele ocurrir cuando una etiqueta de sensibilidad aplica cifrado al archivo. La etiqueta cifra el documento de forma que bloquea a los usuarios externos. Este artículo explica por qué el cifrado basado en etiquetas bloquea el acceso de invitados y proporciona soluciones paso a paso para resolver el problema.

Por qué el cifrado basado en etiquetas bloquea el acceso de invitados

Las etiquetas de sensibilidad en Microsoft 365 protegen el contenido aplicando cifrado, marcado o ambos. Cuando aplicas una etiqueta que usa cifrado, la etiqueta controla quién puede abrir y editar el documento. De forma predeterminada, el cifrado restringe el acceso a los usuarios dentro de tu organización. Los usuarios invitados no forman parte de tu inquilino de Azure AD, por lo que no pueden descifrar el archivo.

La causa raíz es la configuración de cifrado en la etiqueta. Las etiquetas pueden cifrar el contenido usando uno de dos métodos:

Asignar permisos ahora

Este método te permite elegir usuarios o grupos específicos que pueden acceder al documento. Si seleccionas solo usuarios internos o un grupo que excluye a los invitados, la etiqueta bloquea todo acceso externo. Incluso si compartes el archivo a través de SharePoint, el cifrado impide que el invitado lo abra.

Permitir que los usuarios asignen permisos

Este método da al propietario del documento control sobre los permisos. El propietario puede agregar usuarios invitados manualmente. Sin embargo, el uso compartido de SharePoint no agrega automáticamente a los invitados a los permisos de cifrado. El invitado sigue viendo un mensaje de acceso denegado hasta que el propietario actualiza la lista de cifrado.

En ambos casos, el cifrado de la etiqueta anula los permisos de uso compartido de SharePoint. El invitado puede ver el archivo en el navegador, pero el cifrado bloquea la carga del contenido.

Pasos para solucionar el cifrado basado en etiquetas para el acceso de invitados

Debes cambiar la configuración de la etiqueta o los permisos del documento para permitir el acceso de invitados. Elige uno de los siguientes métodos según tu situación.

Método 1: Modificar la etiqueta de sensibilidad para permitir usuarios externos

Este método requiere privilegios de administrador global o de administrador de cumplimiento. Cambias la etiqueta para que los permisos de cifrado incluyan a los usuarios invitados.

1. Inicia sesión en el portal de cumplimiento de Microsoft Purview
   Ve a https://compliance.microsoft.com y inicia sesión con credenciales de administrador.
2. Abre la configuración de la etiqueta
   Selecciona Protección de la información en el menú izquierdo. Luego haz clic en Etiquetas. Encuentra la etiqueta que bloquea el acceso de invitados y haz clic en ella para abrir la configuración.
3. Edita la configuración de cifrado
   En Definir configuración de protección, haz clic en Editar junto a cifrado. En la configuración de cifrado, selecciona Configurar configuración de cifrado.
4. Cambia la lista de acceso de usuarios
   Si la etiqueta usa Asignar permisos ahora, haz clic en Asignar permisos. Elimina cualquier grupo que excluya a los invitados y agrega un grupo que incluya a los usuarios invitados. También puedes seleccionar Todos los usuarios autenticados para permitir a cualquier usuario autenticado, incluidos los invitados.
5. Guarda y publica la etiqueta
   Haz clic en Guardar y luego Publicar la etiqueta. Los cambios pueden tardar hasta 24 horas en aplicarse a los documentos existentes. Para forzar una actualización, vuelve a aplicar la etiqueta al documento.

Método 2: Volver a aplicar la etiqueta con permisos de invitado

Si no puedes cambiar la etiqueta, puedes volver a aplicarla al documento específico con permisos personalizados que incluyan al invitado.

1. Abre el documento en SharePoint o OneDrive
   Navega a la ubicación del archivo y ábrelo en el navegador.
2. Aplica una etiqueta que admita permisos personalizados
   Si la etiqueta actual usa Permitir que los usuarios asignen permisos, puedes cambiar los permisos. Haz clic en Editar en la barra de etiquetas en la parte superior del documento. Selecciona una etiqueta diferente que permita el acceso de invitados, o elige la misma etiqueta y luego haz clic en Asignar permisos.
3. Agrega el usuario invitado a los permisos de cifrado
   En el cuadro de diálogo de permisos, ingresa la dirección de correo electrónico del invitado y selecciona el nivel de acceso adecuado. Haz clic en Aplicar.
4. Guarda el documento
   Guarda el archivo para aplicar los nuevos permisos. El invitado ahora puede abrir el archivo.

Método 3: Eliminar el cifrado de la etiqueta

Si el acceso de invitados es más importante que el cifrado, puedes eliminar el cifrado de la etiqueta por completo. Este método es adecuado para etiquetas que no requieren protección de datos.

1. Edita la etiqueta en el portal de Purview
   Sigue los pasos 1 y 2 del Método 1 para abrir la configuración de la etiqueta.
2. Desactiva el cifrado
   En Definir configuración de protección, desmarca Cifrar contenido. Haz clic en Guardar.
3. Publica la etiqueta
   Haz clic en Publicar para aplicar el cambio. Los documentos que ya tienen la etiqueta perderán el cifrado y los invitados podrán acceder a ellos.

Si el acceso de invitados aún falla después de la solución

El uso compartido externo de SharePoint está deshabilitado

Incluso con la etiqueta correcta, el acceso de invitados requiere que el uso compartido externo de SharePoint esté habilitado. Verifica la configuración de uso compartido a nivel de inquilino y de sitio.

En el centro de administración de SharePoint, ve a Políticas > Uso compartido. Asegúrate de que el nivel de uso compartido externo esté configurado como Cualquier persona o Invitados nuevos y existentes. Para el sitio específico, ve a Sitios activos, selecciona el sitio y haz clic en Uso compartido. Configura el nivel de uso compartido externo para que coincida con la política del inquilino.

El usuario invitado no tiene una cuenta de Microsoft

Los invitados deben tener una cuenta de Microsoft o ser invitados como usuario de colaboración B2B en Azure AD. Si el invitado usa una dirección de correo electrónico que no es de Microsoft, debe verificar su identidad. Envía al invitado una nueva invitación para compartir desde SharePoint. Si el invitado aún no puede acceder, verifica el estado del usuario invitado en Azure AD. El invitado debe aceptar la invitación y completar el proceso de verificación.

El documento está cifrado con una etiqueta diferente

Pueden aplicarse varias etiquetas al mismo documento. Verifica las propiedades del documento. Si se aplica otra etiqueta con cifrado, puede anular la que modificaste. Elimina todas las etiquetas y aplica solo la etiqueta corregida.

Cifrado de etiquetas vs. uso compartido de SharePoint: diferencias clave

Elemento	Cifrado de etiquetas	Uso compartido de SharePoint
Alcance	Se aplica directamente al contenido del archivo	Controla el acceso a la ubicación del archivo
Acceso de invitados	Bloquea a los invitados a menos que esté configurado	Permite invitados si el uso compartido está habilitado
Gestión de permisos	Gestionado en la etiqueta o en el panel de información del documento	Gestionado en la configuración del sitio de SharePoint
Comportamiento de anulación	El cifrado anula los permisos de SharePoint	No anula el cifrado

El cifrado de etiquetas y el uso compartido de SharePoint funcionan de forma independiente. El cifrado siempre tiene prioridad. Para permitir el acceso de invitados, debes configurar la etiqueta para incluir a los usuarios externos.

Después de corregir la etiqueta o los permisos del documento, prueba el acceso enviando un enlace para compartir a una dirección de correo electrónico de invitado. El invitado debería poder abrir el documento sin errores. Si el problema persiste, revisa la configuración de cifrado de la etiqueta y la política de uso compartido de SharePoint de tu inquilino.