¿Puedo ver todos los archivos compartidos externamente desde la consola de administración?

Solo en algunas ediciones. El reporte de exposición de archivos aparece para Frontline Plus, Enterprise Plus, Education Standard y Plus, y Enterprise Essentials Plus. En las ediciones Business tienes los eventos de registro de Drive, que anotan los cambios de visibilidad cuando ocurren, así que la lista actual de archivos abiertos tiene que salir de un inventario con la API de Drive.

¿Los enlaces de uso compartido sobreviven a una migración de OneDrive a Google Drive?

Sí. La migración de archivos de Google asigna los permisos y los enlaces de OneDrive dentro de Mi unidad, conserva un enlace por elemento y se queda con el más restrictivo. Las fechas de vencimiento, las versiones anteriores y los elementos cuyo propietario es externo no se traen, así que un enlace que iba a expirar llega sin fecha de fin.

¿Puedo hacer que un enlace de Drive expire?

Puedes poner una fecha de vencimiento en un archivo para lectores, comentadores y editores. En una carpeta aplica al rol de lector, y un editor o comentador baja a lector cuando pasa la fecha. Cuando termina el acceso temporal, la persona se queda con el permiso que ya le da la carpeta padre, así que revisa la carpeta primero.

Archivos compartidos externamente en Drive: 4 rutas

La pregunta llega en la misma semana que cualquier limpieza de Workspace que hacemos. El dueño la plantea sin rodeos: qué archivos puede abrir ahora mismo alguien de fuera. La respuesta honesta empieza con otra pregunta: en qué edición estás. Google te da distinta ayuda según lo que pagas, y el reporte que mencionan casi todos los artículos no es el que la mayoría de las pymes puede abrir.

Imagina una distribuidora de 30 personas que se movió de OneDrive el trimestre pasado. En la superficie nada parece mal y nadie se ha quejado. Lo que nadie ha revisado es la pila de enlaces de uso compartido creados durante seis años por personas que ya no trabajan ahí, varios todavía en "cualquier persona con el enlace puede editar". Para eso no salta ninguna alerta. Drive hace lo que le indicaron.

Qué abarca de verdad "compartido externamente"

Drive tiene más de una forma de estar abierto, y fallan distinto. El reporte de Google las separa: un archivo puede estar privado, compartido internamente con personas específicas, abierto a cualquiera de tu organización que tenga el enlace, abierto a cualquier persona con el enlace, o compartido con personas específicas de fuera de tu organización. Las métricas de reportes del Admin usan la misma división: shared_externally para personas o grupos fuera del dominio del propietario, anyone_with_link para el enlace abierto.

Mantén dos de ellas separadas en la cabeza. Un compartido externo con nombre es una decisión que alguien tomó sobre una persona: el contador, el abogado, un contacto del cliente. Un enlace abierto es una decisión sobre nadie en particular. Sobrevive a quien lo creó y al proyecto al que pertenecía, y se puede reenviar sin dejar rastro. Los enlaces abiertos van primero.

Drive sí marca los riesgosos. De forma predeterminada muestra un indicador de Externo en los archivos que pertenecen a personas de fuera de tu organización o que se comparten con ellas, y un administrador puede desactivarlo por unidad organizativa o grupo. Quitar la etiqueta no impide que el uso compartido quede registrado en los eventos de registro de Drive, y eso importa para la auditoría.

Qué ruta te toca según tu edición

Esta es la parte que te ahorra una tarde perdida. El reporte de exposición de archivos, la pantalla que casi todos los artículos suponen que tienes, aparece listado para Frontline Plus, Enterprise Plus, Education Standard y Education Plus, y Enterprise Essentials Plus. En Business Starter, Standard o Plus no está, y tampoco la herramienta de investigación de seguridad. Las otras rutas sí te llevan a la respuesta. Las ediciones de abajo las leímos en las páginas de Google el 5 de noviembre de 2026.

Ruta	Qué necesita	Qué te da
Reporte de exposición de archivos, en el centro de seguridad	Frontline Plus, Enterprise Plus, Education Standard o Plus, Enterprise Essentials Plus, más el privilegio de administrador del centro de seguridad	Tipos de uso compartido en el tiempo (privado, interno, cualquiera del dominio, cualquiera con el enlace, externo), los dominios externos con los que más se comparte y una exportación por dominio con los archivos
Eventos de registro de Drive, en Auditoría e investigación	Aparece en las tres ediciones Business en la comparación de ediciones de Google; el privilegio de administrador de Auditoría e investigación	Eventos, no estado actual: `Visibility change`, la visibilidad previa y la audiencia de destino, con búsqueda hasta seis meses atrás
Herramienta de investigación de seguridad	Enterprise Standard y Plus y las demás ediciones premium, no las Business	El mismo registro con acciones sobre los resultados y una exportación mucho mayor; las páginas de comparación limitan la exportación de registros a 100,000 filas sin ella
Un inventario con la API de Drive o Apps Script	Cualquier edición; un superadministrador autoriza la delegación de todo el dominio para una cuenta de servicio	Estado actual, usuario por usuario: todos los archivos que coinciden con `visibility='anyoneWithLink'` o `visibility='anyoneCanFind'`
Página de estado de seguridad	Frontline Plus, Enterprise Plus, Education Standard o Plus, Enterprise Essentials Plus	Recomendaciones de configuración, no archivos: limitar el uso compartido al dominio, advertir antes de compartir fuera del dominio, Verificador de acceso solo para destinatarios

En las ediciones Business puedes ver qué pasó en el registro y calcular qué es cierto hoy con un escaneo. Ninguna pantalla de la consola de administración te entrega lo segundo.

Qué revisamos antes de tocar un solo archivo

Revocar los enlaces de hoy mientras la configuración sigue creando nuevos es trabajo perdido, así que la pasada de configuración va primero.

El acceso general predeterminado. Google documenta Restringido como valor predeterminado y como la opción adecuada para la mayoría de los usuarios. Lo que importa es en qué está en tu dominio, porque se puede definir por unidad organizativa y por grupo, y la configuración de grupo pesa más que la de la unidad organizativa.
Compartir fuera de la organización. Activado, desactivado o limitado a dominios en la lista de permitidos. La opción del medio le queda mejor a la mayoría de las pymes que un Activado general, y es la que acabamos recomendando.
La advertencia al compartir fuera del dominio. Aparece cuando el uso compartido externo está Activado o limitado a dominios permitidos, y le pide al usuario confirmar antes de que el archivo salga. Es barata y atrapa el compartido accidental.
Verificador de acceso. Cuando alguien adjunta un enlace de Drive en Gmail, esto define si lo empujan a ampliar el acceso. La página de estado de seguridad de Drive recomienda solo destinatarios en la unidad organizativa raíz.
Audiencias objetivo. La audiencia predefinida es toda tu organización, y la que queda en la posición principal se convierte en la primera opción de enlace que ven los usuarios. Una política admite hasta cinco. Quien esté en una edición que no las soporta solo ve la principal.

Una trampa, antes de buscar una opción que ya no existe: en las ediciones que soportan reglas de confianza, activarlas reemplaza la configuración de uso compartido de Drive, así que la opción de compartir fuera de tu organización queda desactivada y sus recomendaciones salen de la página de estado de seguridad.

El escaneo que sí responde la pregunta

El estado actual necesita una llamada a la API, porque los permisos de Drive viven por archivo y por usuario. La sintaxis de búsqueda de Drive tiene un filtro de visibilidad: anyoneWithLink devuelve los archivos alcanzables por enlace y anyoneCanFind los que además pueden aparecer en resultados de búsqueda. Lo corremos usuario por usuario y lo volcamos a una hoja con el propietario, el archivo y el enlace.

GET https://www.googleapis.com/drive/v3/files
  ?q=visibility='anyoneWithLink'
  &fields=files(id,name,owners,webViewLink)
  &pageSize=100

Dos notas prácticas de dominios reales. La cuenta de servicio se autoriza con su ID de cliente numérico, no con su correo, y confundirlos es la causa habitual del error unauthorized_client; Google dice que el cambio puede tardar hasta 24 horas, aunque normalmente es más rápido. Y como la propia guía de Google es evitar la delegación de todo el dominio cuando alcanza una ruta más estrecha, limitamos la credencial a Drive, corremos el inventario y quitamos la autorización al terminar. Las unidades compartidas van en una pasada aparte.

Por qué una migración deja la puerta abierta

Si los archivos llegaron de otro lado, el uso compartido llegó con ellos. La migración de archivos de Google asigna los permisos y los enlaces de OneDrive dentro de Mi unidad, conserva un enlace por elemento y se queda con el más restrictivo, y deja fuera las fechas de vencimiento y los elementos cuyo propietario es externo. Lo repasamos en De OneDrive y SharePoint a Google Drive.

El detalle que importa para una auditoría: el enlace sobrevive y el vencimiento no. Un enlace configurado para morir en 30 días llega sin fecha de fin. El estado de uso compartido que aterriza del lado de Google no es el que dejaste, así que la auditoría pertenece al plan del corte y no a una limpieza seis meses después.

Un corte deja dos puertas abiertas, archivos y correo, y la mitad del correo toma un minuto revisarla:

Cerrar los enlaces sin romper el trabajo

Ordena la lista por propietario y luego por antigüedad. Todo lo del último trimestre vuelve a su propietario con una sola pregunta: sigue haciendo falta, y hace falta abierto a internet o con una persona específica. Todo lo de más de un año cuyo propietario ya no está se revoca sin preguntar. Lo que sigue haciendo falta pasa a ser un compartido con nombre, con fecha de vencimiento donde el acceso es temporal.

En lo mecánico, revocar es listar y borrar: encuentra el permiso cuyo tipo es anyone y quítalo por su ID.

GET    /drive/v3/files/{fileId}/permissions
DELETE /drive/v3/files/{fileId}/permissions/{permissionId}

Dos comportamientos que hay que respetar. Un permiso heredado no se puede revocar en el elemento hijo, así que el cambio va en la carpeta padre. Y los cambios de permisos simultáneos sobre el mismo elemento no están soportados, solo queda el último, así que el script corre en serie por archivo. Para el puñado de archivos que de todos modos necesitan una conversación, que el propietario lo haga a mano desde el cuadro de uso compartido suele ser mejor.

Las fechas de vencimiento son la parte que los equipos olvidan que tienen. En un archivo puedes ponerla para lectores, comentadores y editores; en una carpeta aplica al rol de lector, y un editor o comentador baja a lector cuando se cumple. Cuando el acceso temporal termina, la persona vuelve al permiso que le da la carpeta padre, así que revísala antes de confiar en el vencimiento.

Qué vigilamos las dos semanas siguientes

Un inventario limpio se degrada. Las dos semanas dicen si la pasada de configuración cambió el comportamiento, y las señales están en el registro que ya tienes.

Dejamos una regla de reportes sobre los eventos de registro de Drive para los cambios de visibilidad a externo, y leemos la primera semana de coincidencias una por una en lugar de contarlas. Tres datos de tiempo mantienen honesta la revisión: los datos de Drive pueden tardar hasta 80 minutos en llegar al reporte de exposición en algunos dominios, los cambios de la consola hasta 24 horas en reflejarse en la página de estado de seguridad, y los eventos de registro se pueden buscar unos seis meses atrás, así que auditar comportamiento más antiguo tiene un piso.

La otra mitad es humana. Un mensaje corto diciendo que el valor predeterminado ahora es Restringido y así se comparte bien con un cliente evita el atajo que deshace toda la pasada: copiar archivos a una cuenta personal porque la vía oficial se sentía rota. Si la gente le da la vuelta a la política, la política está mal, y el registro también lo muestra.

Cómo ayuda Guanacos Tech

Esto lo hacemos como un solo trabajo: la pasada de configuración con los valores predeterminados por unidad organizativa, el inventario de enlaces abiertos usuario por usuario, la lista de revocación consultada con los propietarios donde el archivo sigue vivo, y el monitoreo que evita que la pila se vuelva a armar. Si tu edición no tiene el reporte de exposición, el inventario es la parte que traemos, y la hoja te queda a ti.

Si prefieres que esto se haga en lugar de leerlo, somos consultores de Google Workspace para equipos pequeños y medianos en Norteamérica y Latinoamérica. Una llamada de 30 minutos alcanza para decirte qué ruta te da tu edición y cuánto va a tomar el inventario en tu dominio.

Los archivos de Drive que cualquiera puede abrir: cómo encontramos y cerramos cada compartido externo