Enviar un documento por Internet parece una tarea simple: adjuntar un archivo o copiar un enlace y listo. Pero ese gesto también puede exponer información a destinatarios equivocados, mantener accesos abiertos más tiempo del necesario o introducir archivos peligrosos en una cuenta o sistema.
La solución no es evitar todo intercambio digital, sino elegir el canal según la sensibilidad del material y aplicar controles proporcionados. La seguridad mejora cuando cada persona sabe qué puede hacer con el documento, cómo verificar su origen y cuándo dejará de estar disponible.
Antes de compartir, decide qué necesita el destinatario
Empieza por clasificar el contenido de forma sencilla. ¿Incluye datos personales, información financiera, documentos internos o datos de acceso? Si la respuesta es sí, evita publicarlo en un enlace abierto o enviarlo a una dirección que no hayas confirmado.
Comparte solo lo necesario para cumplir el objetivo. Si basta con una página o un extracto, no envíes el archivo completo. También puedes retirar datos que no sean relevantes, siempre que hacerlo no altere el sentido del documento ni incumpla obligaciones aplicables.
Luego elige un canal que permita controlar el acceso. Antes de usar una plataforma, comprueba quién puede abrir el archivo, si hace falta iniciar sesión y si puedes limitar la descarga o revocar el enlace. No des por hecho que un enlace difícil de adivinar es privado.
Configura permisos mínimos y temporales
Aplica el principio de dar a cada persona únicamente el acceso que necesita. Si el destinatario solo debe leer, no le des permisos de edición. Si el intercambio es puntual, evita convertirlo en una carpeta compartida permanente.
- Verifica la identidad: confirma que la dirección o cuenta corresponde a la persona prevista, especialmente antes de compartir información sensible.
- Elige el permiso adecuado: lectura, comentario o edición, según la tarea; evita permisos de administración para un intercambio común.
- Limita la audiencia: comparte con cuentas concretas cuando el sistema lo permita, en vez de habilitar el acceso a cualquiera que tenga el enlace.
- Define una fecha de revisión: retira el acceso cuando termine el proyecto o ya no se necesite el archivo.
- Comprueba el resultado: revisa la configuración del enlace desde la cuenta del destinatario o con una prueba controlada.
Un permiso temporal no reemplaza una política de conservación: antes de borrar o cerrar accesos, confirma si necesitas conservar una copia por razones operativas o legales.
Protege la cuenta que permite compartir
Un servicio seguro puede volverse vulnerable si alguien toma control de la cuenta que administra los documentos. Usa una contraseña única y activa autenticación multifactor (MFA) donde esté disponible. NIST explica que las contraseñas por sí solas no protegen suficientemente los activos empresariales más sensibles y que algunos métodos MFA son más resistentes al phishing que otros. Consulta la orientación de NIST sobre MFA.
Da prioridad a proteger las cuentas de administración, correo y almacenamiento compartido. Para esas cuentas, considera métodos resistentes al phishing si el servicio los ofrece. CISA recomienda priorizar esta protección en cuentas privilegiadas y mantener un plan de respuesta ante incidentes. Revisa la guía de CISA sobre phishing.
Trata los archivos recibidos como contenido no verificado
Un documento que llega de un cliente, proveedor o compañero no es automáticamente seguro. Comprueba que el envío era esperado y que el formato coincide con lo acordado. Si el mensaje resulta extraño, confirma por un canal independiente antes de abrir el archivo o seguir instrucciones.
Si tu sitio o sistema permite que otras personas carguen archivos, no confíes solo en la extensión ni en el tipo de archivo declarado por el navegador. OWASP recomienda definir formatos permitidos, limitar tamaño, controlar quién puede subir archivos y generar nombres de almacenamiento seguros. También indica que conviene guardar los archivos fuera de la raíz pública del sitio cuando sea posible y considerar análisis antimalware para los casos adecuados. Consulta la guía de OWASP para cargas de archivos.
Las medidas concretas dependen de qué archivos se acepten y de cómo se procesen. Un formulario que recibe imágenes no tiene necesariamente los mismos requisitos que un portal que acepta documentos y los convierte automáticamente. Si el sistema procesa archivos, revisa cómo limita el tamaño, quién puede acceder y qué ocurre ante un archivo sospechoso.
Una rutina breve para cerrar el intercambio
- Confirma quién debe recibir el archivo y qué necesita hacer con él.
- Usa un canal con controles de acceso y evita enlaces públicos si el contenido es sensible.
- Activa MFA en las cuentas desde las que se administran documentos.
- Verifica el origen de archivos inesperados y no los abras por presión o urgencia.
- Al finalizar, elimina permisos innecesarios y comprueba qué copias deben conservarse.
La regla editorial es simple: compartir menos, con menos personas y durante menos tiempo, suele facilitar tanto la colaboración como el control.
Conclusión: convierte cada envío en una decisión consciente
Antes de pulsar «compartir», revisa tres cosas: el destinatario, el permiso y la duración del acceso. Para archivos recibidos, verifica el origen y trata las cargas como contenido que requiere controles, no como material confiable por defecto. Empieza por proteger las cuentas con acceso a documentos y convierte la retirada de permisos en el último paso de cada intercambio. Así tendrás un proceso repetible y más fácil de revisar cuando algo salga mal.
