Como Bloquear Documentos do Word em Compartilhamento de Rede com Filtro ACL do Sistema de Arquivos

Quando vários usuários editam documentos do Word em um compartilhamento de rede, sobrescrições acidentais e alterações não autorizadas podem corromper arquivos e destruir o trabalho. A solução padrão é usar listas de controle de acesso (ACLs) do sistema de arquivos para restringir quem pode abrir ou modificar cada documento. Este artigo explica como aplicar filtros ACL do sistema de arquivos a documentos do Word em um compartilhamento de rede para que apenas usuários ou grupos específicos possam ler ou gravar cada arquivo.

As permissões de arquivo do Windows permitem definir regras granulares por usuário ou grupo: Controle Total, Modificar, Ler & Executar, Ler e Gravar. Ao aplicar essas regras a documentos individuais do Word ou pastas, você pode bloquear um documento contra edições indesejadas. Você não precisa do recurso Restringir Edição interno do Word nem do Information Rights Management. O filtro ACL funciona no nível do sistema de arquivos e bloqueia alterações antes mesmo de o Word abrir o arquivo.

Este guia aborda os pré-requisitos, a configuração passo a passo, armadilhas comuns e uma comparação entre o bloqueio baseado em ACL e os métodos de proteção internos do Word.

Como as ACLs do Sistema de Arquivos Controlam o Acesso a Documentos do Word

As ACLs do sistema de arquivos são entradas de permissão armazenadas no descritor de segurança NTFS de cada arquivo e pasta em um volume Windows. Cada ACL contém uma ou mais entradas de controle de acesso (ACEs). Cada ACE associa um principal de segurança (como uma conta de usuário ou um grupo) a um conjunto de direitos permitidos ou negados. Os direitos incluem Controle Total, Modificar, Ler & Executar, Ler, Gravar e Permissões Especiais.

Quando um usuário tenta abrir um documento do Word em um compartilhamento de rede, o Windows verifica a ACL do arquivo. Se a conta do usuário ou qualquer grupo ao qual o usuário pertença tiver uma entrada Negar para Leitura, o arquivo fica inacessível. Se o usuário tiver uma entrada Permitir para Leitura, mas não para Gravação, o Word abre o documento no modo somente leitura. O usuário vê uma barra amarela no Word informando que o arquivo é somente leitura. O usuário não pode salvar alterações no arquivo original. Salvar em um novo local ainda é permitido, pois o usuário tem permissão de Gravação na pasta de destino.

A principal vantagem do bloqueio baseado em ACL é que ele funciona no nível do sistema operacional. Ele bloqueia todos os aplicativos, incluindo Word, Notepad e até scripts, de modificar o arquivo. O filtro é independente da versão ou configuração do Word. Ele também se aplica a todos os tipos de arquivo na pasta se você definir permissões na própria pasta.

Pré-requisitos para Usar Filtros ACL em um Compartilhamento de Rede

Antes de configurar ACLs, confirme se as seguintes condições são atendidas:

• O compartilhamento de rede está hospedado em um volume NTFS. Volumes FAT32 e exFAT não suportam ACLs.
• Você tem permissão de Controle Total no arquivo ou pasta. Isso geralmente significa que você é o proprietário ou um administrador no servidor.
• Todos os usuários acessam o compartilhamento via SMB, não FTP ou HTTP. O SMB preserva as permissões NTFS.
• As contas de usuário são locais no servidor ou contas de domínio no Active Directory. Contas locais em máquinas cliente não são reconhecidas pelo servidor.

Passos para Bloquear um Documento do Word em um Compartilhamento de Rede Usando ACLs

Os passos a seguir se aplicam ao Windows Server 2022, 2019 e 2016, bem como ao Windows 11 e Windows 10 Pro ou Enterprise quando atuam como servidor de arquivos. O procedimento é idêntico para um único documento ou uma pasta contendo vários documentos.

1. Localize o documento do Word no servidor
   Abra o File Explorer no servidor ou em um cliente com acesso administrativo ao compartilhamento. Navegue até a pasta que contém o documento do Word que você deseja bloquear. Clique com o botão direito no documento e selecione Propriedades.
2. Abra a guia Segurança
   Na caixa de diálogo Propriedades, clique na guia Segurança. Esta guia mostra as permissões atuais para o arquivo. A caixa de listagem superior chamada Nomes de grupo ou de usuário exibe todos os principais que possuem uma ACE neste arquivo.
3. Edite as permissões
   Clique no botão Editar abaixo da lista. Uma nova caixa de diálogo intitulada Permissões para [nome do arquivo] é aberta. Esta caixa de diálogo permite adicionar, remover ou modificar ACEs para o arquivo selecionado.
4. Remova o grupo Usuários
   Na caixa de diálogo Permissões, selecione a entrada para Usuários ou Usuários Autenticados. Clique em Remover. Remover esses grupos amplos impede que todos os usuários, exceto aqueles que você adicionar explicitamente, acessem o arquivo. Não remova SYSTEM, Administradores ou o proprietário, a menos que tenha certeza das consequências.
5. Adicione usuários ou grupos específicos
   Clique em Adicionar. Na caixa de diálogo Selecionar Usuários ou Grupos, digite o nome de uma conta de usuário ou de um grupo de segurança que deve ter acesso. Por exemplo, digite “Equipe de Contabilidade” se você tiver um grupo de domínio para o departamento de contabilidade. Clique em Verificar Nomes para verificar o nome e clique em OK.
6. Defina o nível de permissão
   De volta à caixa de diálogo Permissões, o principal recém-adicionado aparece na lista. Selecione-o. Na lista Permissões para [principal] abaixo, marque as caixas dos direitos que deseja conceder. Para acesso somente leitura, marque Ler & Executar e Ler. Para acesso de edição total, marque Modificar ou Controle Total. Clique em OK.
7. Aplique as alterações
   Clique em OK na caixa de diálogo Permissões e depois em OK na caixa de diálogo Propriedades. A nova ACL é gravada no arquivo imediatamente. Qualquer usuário que não corresponda aos principais permitidos terá o acesso negado ao tentar abrir o arquivo pela rede.

Bloqueando uma Pasta em Vez de Arquivos Individuais

Se você deseja que todos os documentos do Word em uma pasta específica herdem a mesma ACL, aplique as permissões à pasta em vez de a cada arquivo. Clique com o botão direito na pasta, vá em Propriedades > Segurança > Avançado. Clique em Desabilitar herança se a herança estiver ativada. Escolha Converter permissões herdadas em permissões explícitas. Em seguida, remova grupos indesejados e adicione seus principais permitidos. Marque a caixa Substituir todas as entradas de permissão de objeto filho por entradas de permissão herdáveis deste objeto. Clique em OK. Todos os arquivos existentes e futuros nessa pasta herdarão a nova ACL.

Erros Comuns e Limitações do Bloqueio Baseado em ACL

Usuários Ainda Podem Copiar o Arquivo para um Local Gravável

As ACLs controlam o acesso direto ao arquivo no compartilhamento. Se um usuário tiver permissão de Leitura, ele pode copiar o arquivo para sua área de trabalho local ou outro compartilhamento onde tenha permissão de Gravação. A cópia não fica bloqueada. Para impedir a cópia, você também deve remover a permissão de Leitura, o que torna o arquivo completamente inacessível. Não há uma maneira baseada em ACL de permitir a leitura, mas bloquear a cópia. Use o recurso Restringir Edição do Word ou Information Rights Management para esse cenário.

Entradas Negar Sobrepõem Entradas Permitir

Se um usuário pertence a dois grupos e um grupo tem uma entrada Negar para Gravação enquanto o outro tem uma entrada Permitir para Gravação, a entrada Negar vence. O Windows avalia ACEs Negar antes de ACEs Permitir. Para evitar confusão, use apenas entradas Permitir e remova todos os usuários e grupos que não devem ter acesso. Se precisar usar Negar, teste o resultado com uma conta que não seja administrador.

Proprietários Sempre Podem Alterar Permissões

O proprietário de um arquivo pode modificar sua ACL a qualquer momento, mesmo que a ACL atual negue acesso de Gravação a ele. O proprietário pode assumir a propriedade ou editar permissões. Se você precisar impedir que o proprietário desbloqueie o documento, deve alterar o proprietário para uma conta confiável, como uma conta de serviço, e remover o Controle Total do proprietário original. Esta é uma configuração avançada que pode interromper fluxos de trabalho se não for gerenciada com cuidado.

ACLs Não Impedem Exclusão

Um usuário com permissão Modificar em uma pasta pode excluir qualquer arquivo nessa pasta, mesmo que a ACL do arquivo negue Exclusão. A permissão da pasta substitui a permissão do arquivo para operações de exclusão. Para impedir a exclusão, defina a permissão da pasta para negar Exclusão para o usuário ou grupo.

Filtro ACL vs. Recurso Restringir Edição do Word

Item	Filtro ACL do Sistema de Arquivos	Restringir Edição do Word
Nível de proteção	Sistema operacional	Camada de aplicativo
Bloqueia outros aplicativos de editar	Sim	Não
Funciona sem o Word instalado	Sim	Não
Impede cópia via cópia de arquivo	Não	Não
Requer senha para desbloquear	Não	Sim
Sobrevive à conversão de formato de arquivo	Sim	Não
Aplica-se a todos os usuários no compartilhamento	Sim	Por arquivo apenas

As ACLs do sistema de arquivos fornecem um bloqueio rígido que nenhum aplicativo pode contornar. O recurso Restringir Edição do Word é um bloqueio suave que pode ser removido por qualquer pessoa que saiba a senha ou abrindo o arquivo em um editor de texto e removendo o elemento de proteção XML. Para documentos confidenciais em um compartilhamento de rede, use ACLs como bloqueio principal e adicione o Restringir Edição do Word como uma camada secundária se precisar impedir cópia ou impressão.

Agora você pode bloquear qualquer documento do Word em um compartilhamento de rede editando sua ACL do sistema de arquivos. Comece removendo grupos amplos como Usuários e adicionando apenas os usuários ou grupos específicos que devem acessar o arquivo. Para uma pasta cheia de documentos, desabilite a herança e aplique a ACL à pasta com a opção de substituir permissões em todos os objetos filhos. Como dica avançada, use a ferramenta de linha de comando icacls para aplicar ACLs a centenas de arquivos de uma vez: execute icacls docx /grant "Domínio\Grupo":R /inheritance:e em um Prompt de Comando elevado no servidor para conceder acesso de Leitura a um grupo para todos os arquivos .docx na pasta atual.