Cuando invita a un invitado externo a un sitio de SharePoint, debe confirmar exactamente a qué puede acceder ese invitado. Un invitado puede tener permisos de múltiples fuentes, como un Grupo de Microsoft 365, un grupo de sitio de SharePoint o un uso compartido directo a nivel de elemento. Sin verificar los permisos efectivos, corre el riesgo de dar a un invitado acceso a contenido confidencial que no pretendía. Este artículo explica la causa raíz técnica de la acumulación de permisos y proporciona una lista de comprobación paso a paso para verificar los permisos efectivos de cualquier invitado externo. Si sigue esta lista de comprobación, podrá aplicar sus políticas de gobernanza y evitar fugas de datos.
Puntos clave: Lista de comprobación de gobernanza para permisos de invitados externos
- Sitio de SharePoint > Configuración > Permisos del sitio > Comprobar permisos: Use esta herramienta para ver los permisos efectivos de cualquier usuario invitado en el sitio, las listas y los elementos.
- Centro de administración de Microsoft Entra > Identidades externas > Configuración de colaboración externa: Configure políticas de acceso de invitados que limiten el uso compartido externo y los permisos de invitados a nivel de inquilino.
- Centro de administración de Microsoft 365 > Grupos > Grupos activos > Configuración del grupo: Revise los permisos a nivel de grupo que otorgan a los invitados acceso a los sitios de SharePoint, equipos de Teams y planes de Planner asociados.
Por qué los permisos efectivos difieren de los permisos explícitos para invitados
SharePoint utiliza un modelo de permisos en el que el acceso final de un usuario es la combinación de todos los permisos que recibe de cada fuente. Un invitado externo puede agregarse directamente a un sitio como miembro, agregarse a un Grupo de Microsoft 365 que posee el sitio u otorgarse acceso a un documento específico mediante un vínculo para compartir. Cada fuente de permisos agrega un token de acceso independiente. El permiso efectivo es la suma de estos tokens, no solo el más restrictivo. SharePoint no muestra automáticamente esta vista combinada en las listas de permisos estándar. Debe usar la herramienta Comprobar permisos para ver el resultado real.
El rol de la pertenencia a Grupos de Microsoft 365
Cuando se agrega un invitado a un Grupo de Microsoft 365, recibe el acceso del grupo a todos los servicios conectados, incluido el sitio de SharePoint, el buzón compartido, el calendario y Planner. Si el grupo está configurado como Privado, el invitado obtiene el nivel de permiso Miembro en el sitio. Si el grupo es Público, el invitado obtiene el nivel de permiso Visitante. Esta pertenencia al grupo a menudo es invisible desde las páginas de permisos directos del sitio. Debe verificar la pertenencia al grupo en el centro de administración de Microsoft 365 para comprender esta fuente de permisos.
Uso compartido directo y uso compartido mediante vínculos
Un invitado también puede recibir permisos a través de una invitación de uso compartido directo enviada desde un documento o carpeta. SharePoint crea un vínculo para compartir único que otorga al invitado un rol específico, como Editar o Ver. Estos vínculos no se muestran en la lista de permisos estándar del sitio. Aparecen solo en el informe de uso compartido o en la configuración de uso compartido del elemento. La herramienta Comprobar permisos tiene en cuenta estos vínculos al calcular los permisos efectivos.
Pasos para verificar los permisos efectivos de un invitado externo
Siga estos pasos para verificar a qué puede acceder realmente un invitado externo en un sitio de SharePoint. Realice estas comprobaciones antes de otorgar el acceso final y repítalas periódicamente como parte de su revisión de gobernanza.
- Abra el sitio de SharePoint y vaya a Permisos del sitio
Vaya al sitio de SharePoint donde el invitado tiene o tendrá acceso. Seleccione el icono de engranaje en la esquina superior derecha y elija Permisos del sitio. Esto abre el panel de permisos del sitio. - Haga clic en el botón Comprobar permisos
En el panel Permisos del sitio, busque y haga clic en Comprobar permisos. Aparece un cuadro de diálogo donde puede escribir un nombre de usuario o una dirección de correo electrónico. - Escriba la dirección de correo electrónico del invitado
Escriba la dirección de correo electrónico completa del invitado externo en el campo Usuario/Grupo. Haga clic en Comprobar ahora. SharePoint resuelve la identidad del invitado y muestra una lista de todas las fuentes de permisos que se aplican a ese invitado. - Revise las fuentes de permisos y el nivel de permiso efectivo
La página de resultados muestra cada fuente de permisos, como un grupo de SharePoint, un Grupo de Microsoft 365 o un vínculo para compartir directo. El Nivel de permiso efectivo en la parte superior de la página muestra el permiso más alto que tiene el invitado en el sitio. Por ejemplo, si el invitado es Miembro del sitio pero también tiene un vínculo directo de Edición en un documento, el nivel efectivo es Editar. - Compruebe los permisos en elementos específicos, como bibliotecas y listas
Para comprobar los permisos en una biblioteca o lista específica, vaya a esa biblioteca o lista. Seleccione el icono de engranaje y elija Configuración de la biblioteca o Configuración de la lista. En Permisos y administración, haga clic en Permisos para esta biblioteca de documentos o Permisos para esta lista. Luego haga clic en Comprobar permisos y escriba de nuevo el correo electrónico del invitado. Esto muestra los permisos efectivos a nivel de elemento. - Verifique la pertenencia al Grupo de Microsoft 365 en el centro de administración
Abra el centro de administración de Microsoft 365. Vaya a Equipos y grupos > Equipos y grupos activos. Seleccione el grupo asociado con el sitio de SharePoint. Haga clic en la pestaña Pertenencia y busque al invitado en la lista. Si el invitado es miembro, hereda los permisos del grupo en el sitio. - Revise la configuración de uso compartido externo en el centro de administración de SharePoint
Abra el centro de administración de SharePoint. Vaya a Directivas > Uso compartido. Revise la configuración de uso compartido externo a nivel de inquilino y a nivel de sitio. Asegúrese de que el acceso de invitados esté limitado al ámbito previsto, como Invitados existentes o Invitados nuevos y existentes. Si el inquilino permite vínculos para Cualquier persona, un invitado podría acceder potencialmente al contenido sin ser invitado explícitamente. - Genere un informe de uso compartido para el sitio
En el centro de administración de SharePoint, vaya a Informes > Uso compartido. Seleccione el sitio y haga clic en Exportar. Descargue el archivo CSV. Este informe enumera cada vínculo para compartir e invitación del sitio, incluidos los enviados a invitados externos. Revise el informe para confirmar que no existan vínculos no intencionados.
Brechas de gobernanza comunes y cómo solucionarlas
El invitado tiene más acceso del esperado
Si la herramienta Comprobar permisos muestra un nivel de permiso superior al que pretendía, es probable que el invitado pertenezca a un Grupo de Microsoft 365 que otorga acceso de Miembro al sitio. Elimine al invitado del grupo en el centro de administración de Microsoft 365. Luego vuelva a invitarlo con un vínculo para compartir directo que use el nivel de permiso deseado, como Solo ver.
El invitado puede acceder al contenido después de eliminarlo de los permisos del sitio
Un invitado eliminado de los permisos directos del sitio aún puede tener acceso a través de un vínculo para compartir. Ejecute la herramienta Comprobar permisos de nuevo después de la eliminación. Si la herramienta aún muestra acceso, localice el vínculo para compartir en el informe de uso compartido y elimínelo. Como alternativa, use la opción Administrar acceso en el elemento específico para eliminar el vínculo del invitado.
Los vínculos para compartir no son visibles en Permisos del sitio
Los vínculos para compartir se almacenan a nivel de elemento, no a nivel de sitio. Para ver todos los vínculos de un documento, abra el cuadro de diálogo de uso compartido del documento haciendo clic en el icono de compartir. Haga clic en Administrar acceso. Aparece una lista de todos los usuarios y vínculos con acceso a ese elemento. Elimine cualquier vínculo que otorgue acceso no intencionado a invitados.
Fuentes de permisos del sitio frente a métodos de acceso de invitados
| Elemento | Permiso directo del sitio | Grupo de Microsoft 365 | Vínculo para compartir |
|---|---|---|---|
| Dónde comprobar | Permisos del sitio > Comprobar permisos | Centro de administración de Microsoft 365 > Grupos | Cuadro de diálogo de uso compartido del elemento > Administrar acceso |
| Ejemplos de niveles de permiso | Control total, Diseño, Editar, Colaborar, Leer | Miembro (Editar) o Visitante (Leer) según la privacidad del grupo | Editar, Ver o Ver y comentar |
| Cómo revocar | Eliminar al usuario del grupo de SharePoint | Eliminar al invitado del Grupo de Microsoft 365 | Eliminar el vínculo para compartir específico |
| Visibilidad en Comprobar permisos | Se muestra como una fuente de permiso directo | Se muestra como una fuente de pertenencia a grupo | Se muestra solo si el vínculo se creó directamente para el invitado |
Ahora puede auditar los permisos de invitados externos utilizando la herramienta Comprobar permisos, el centro de administración de Microsoft 365 y el informe de uso compartido. Ejecute esta lista de comprobación trimestralmente para los sitios que contienen datos confidenciales. Para una gobernanza avanzada, cree un flujo de Power Automate que ejecute automáticamente la herramienta Comprobar permisos y envíe los resultados por correo electrónico al propietario del sitio. Esta automatización garantiza el cumplimiento continuo sin esfuerzo manual.