Compartilhamento externo no SharePoint e OneDrive: quem está vendo os arquivos da sua empresa

Em algum momento de 2023, alguém do financeiro mandou para o contador a pasta com os balancetes do ano. Escolheu a opção mais rápida, o link que abre para qualquer pessoa, e o trabalho seguiu. O contador mudou de escritório, o funcionário saiu da empresa, e o link continua funcionando para quem tiver o endereço dele, num e-mail encaminhado ou num grupo de mensagens. Ninguém lembra que ele existe.

Esse é o tipo de exposição que não aparece em incidente nenhum até virar incidente. A Global Data, empresa de TI em São Paulo, administra tenants de Microsoft 365 de pequenas e médias empresas, e o compartilhamento externo entra no levantamento de todos eles, porque quem compartilha resolve o problema do dia e não pensa no link três anos depois. Este guia mostra como a Microsoft organiza o compartilhamento para fora, como descobrir o que está aberto hoje e como fechar sem travar o trabalho com quem é de fora.

O problema do link que ninguém lembra

O link Qualquer pessoa é o mais cômodo do Microsoft 365, e por isso o mais usado. Na descrição da própria Microsoft, quem recebe esse link abre o arquivo sem se autenticar e pode repassá-lo livremente. Não há nome de usuário associado ao acesso. Quando o nível de compartilhamento da organização permite esse tipo de link, a documentação avisa que não dá para rastrear quem tem acesso nem quem acessou o item.

Dois detalhes agravam o quadro. Por padrão, o link Qualquer pessoa de um arquivo permite editar, e o de uma pasta permite editar, ver e enviar arquivos novos para dentro dela. E a expiração desses links é uma configuração que o administrador precisa ligar; se ninguém ligou, o link de 2023 segue válido.

Repare que a pergunta aqui é outra. O Conditional Access no Microsoft 365 decide quem entra no ambiente e em que condições. O compartilhamento externo decide o que sai dele, e boa parte do que sai não passa por login nenhum.

Os quatro níveis de compartilhamento externo

O controle mora no Centro de administração do SharePoint, em Políticas > Compartilhamento, e vale para o SharePoint e para o OneDrive. A Microsoft oferece quatro níveis, do mais aberto para o mais fechado, e duas regras de hierarquia: o OneDrive pode ser mais restritivo que o SharePoint, mas não mais permissivo, e cada site pode ter a própria configuração, desde que igual ou mais restritiva que a da organização.

Nível (nome na tela)	Quem acessa	Quando faz sentido
Qualquer pessoa	Qualquer um com o link, sem login, além de convidados	Raramente na organização inteira; em um site específico de material público, com expiração
Convidados novos e existentes	Pessoas de fora que se identificam, com conta Microsoft ou código de verificação por e-mail	O ponto de equilíbrio para a maioria das PMEs que trabalham com cliente, contador e fornecedor
Convidados existentes	Só convidados que já estão no diretório da empresa	Empresas que controlam a entrada de cada convidado antes de liberar arquivo
Somente pessoas em sua organização	Ninguém de fora	Sites com dado sensível, como RH, diretoria e jurídico

Os nomes da tabela seguem a documentação em português do Microsoft Learn, na página sobre gerenciar o compartilhamento externo do SharePoint e do OneDrive. Na mesma página há um dado útil para quem vai apertar a configuração: quando o compartilhamento externo é restringido ou desligado, os convidados costumam perder o acesso em até uma hora.

Como descobrir o que está compartilhado hoje

Antes de mudar qualquer chave, vale saber o tamanho do problema. O caminho depende da licença, e o Business Premium não tem acesso a todos os relatórios.

O relatório de compartilhamento do site funciona em qualquer plano. Quem é administrador do site o gera nas configurações do site, na área de uso do site, pela opção de relatório de compartilhamento com usuários externos. O resultado é uma planilha com cada arquivo, usuário, permissão e link compartilhado. O OneDrive de cada pessoa tem um relatório equivalente nas configurações do próprio OneDrive.

Os relatórios de governança de acesso a dados, que mostram os links Qualquer pessoa da organização inteira de uma vez, fazem parte do SharePoint Advanced Management. Pela documentação, ele depende de planos corporativos, como o Office 365 E3 e E5 e o Microsoft 365 E3 e E5, e o Business Premium não está na lista de planos elegíveis.

A auditoria do Microsoft Purview registra a criação e o uso de links e convites, com eventos como a criação de um link anônimo e o uso desse link. Aqui está um detalhe que surpreende muita gente: nos planos Business Basic, Business Standard e Business Premium, a auditoria não vem ligada de fábrica e precisa ser ativada manualmente. Até alguém ativar, nada fica registrado. Na auditoria padrão, os registros ficam disponíveis por 180 dias.

Juntando as peças, uma auditoria de compartilhamento numa PME costuma seguir esta ordem:

1. Confirmar no Centro de administração do SharePoint, em Políticas > Compartilhamento, em que nível estão o SharePoint e o OneDrive.
2. Ativar a auditoria no Microsoft Purview, se ainda estiver desligada.
3. Listar os sites da empresa e o nível de compartilhamento de cada um, começando pelos de dado sensível.
4. Gerar o relatório de compartilhamento com usuários externos nesses sites e no OneDrive de quem lida com dado de cliente.
5. Separar os links Qualquer pessoa que ainda fazem sentido dos que ficaram esquecidos, e remover os esquecidos.
6. Revisar a lista de convidados do diretório e retirar quem não trabalha mais com a empresa.
7. Só então aplicar a configuração nova, para que ela não derrube um acesso legítimo sem aviso.

A configuração que protege sem travar o trabalho

Desligar todo o compartilhamento externo resolve o risco e cria outro problema no mesmo dia: o contador volta a receber planilha por e-mail, em anexo, e o arquivo passa a existir em cópias que ninguém controla. O objetivo é fechar o que fica aberto sem motivo e manter o que a operação precisa.

A Microsoft publica um guia de boas práticas para compartilhar arquivos e pastas com usuários não autenticados, e o desenho que recomendamos para PME parte dele:

O link padrão vira o interno. Na mesma tela de compartilhamento, a empresa escolhe qual tipo de link aparece pré-selecionado quando alguém clica em compartilhar: Pessoas específicas, Somente pessoas em sua organização ou Qualquer pessoa com o link. A recomendação do guia da Microsoft é deixar o link interno como padrão, para que um arquivo sensível não saia aberto só porque a pessoa esqueceu de trocar a opção.

Link Qualquer pessoa, se existir, expira e só permite ver. Se a empresa decidir manter esse tipo de link, a expiração obrigatória pode ir até 730 dias, e prazos bem menores costumam bastar. Segundo a documentação, ao reduzir esse prazo, os links existentes com validade maior passam a seguir o novo limite. A permissão pode ser limitada a visualização em arquivos, e a visualização ou envio em pastas, separadamente.

O compartilhamento com convidados fica, com prazo. O nível Convidados novos e existentes exige que a pessoa de fora se identifique, e isso já elimina o repasse anônimo. A mesma tela permite fazer o acesso de convidados a um site ou OneDrive expirar sozinho, num prazo entre 30 e 730 dias, e exigir que quem entra por código de verificação se autentique de novo depois de um número de dias.

Sites sensíveis fecham para fora. RH, diretoria e jurídico raramente precisam de compartilhamento externo. Configurar esses sites como Somente pessoas em sua organização tira deles o risco sem afetar o resto da empresa.

Domínios, quando a lista de parceiros é curta. Dá para limitar o compartilhamento externo a uma lista de domínios permitidos, ou bloquear domínios específicos. Funciona bem quando os parceiros de trabalho são poucos e conhecidos.

Convidados: quem entrou e nunca saiu

Cada pessoa de fora que aceita um convite pode virar um convidado no diretório da empresa, e fica lá até alguém removê-la. O consultor do projeto de 2022, a agência que fez o site, o auditor de um ano específico. A expiração automática de acesso de convidados, descrita acima, resolve parte disso sem custo adicional.

Para revisões formais e recorrentes, o Microsoft Entra tem as revisões de acesso, que perguntam periodicamente ao dono do grupo ou do time se cada convidado ainda deve ter acesso. Um ponto de licença costuma passar despercebido: segundo o Microsoft Learn, a revisão de acesso de convidados exige Microsoft Entra ID P2 ou Microsoft Entra ID Governance. O Business Premium inclui o Entra ID P1, que não cobre esse recurso.

Sem o P2, a revisão continua possível e cabe numa rotina trimestral: alguém lista os convidados, confere com as áreas quem ainda trabalha com a empresa e remove o resto. O mesmo vale para contas internas de quem saiu, e a ordem certa para isso está no guia de desligamento de colaborador no Microsoft 365. Se a empresa quer medir de uma vez como está nessa e em outras frentes, o bloco “Dados e arquivos” do checklist de Microsoft 365 começa justamente pela regra de compartilhamento externo.

Como a Global Data cuida disso no Microsoft 365 gerenciado

No Microsoft 365 gerenciado da Global Data, o compartilhamento externo entra no levantamento inicial do tenant: conferimos o nível da organização e de cada site, ativamos a auditoria quando ela está desligada, levantamos os links abertos nos sites que guardam dado sensível e combinamos com a empresa quais parceiros precisam de acesso. A configuração nova entra depois disso, com aviso às áreas, para que ninguém descubra a mudança no meio de uma entrega para cliente. A revisão de convidados vira rotina com data, e não tarefa que depende de alguém lembrar.

Perguntas frequentes

Como desativar o link “Qualquer pessoa” no SharePoint?

No Centro de administração do SharePoint, em Políticas > Compartilhamento, mude o nível de compartilhamento externo do SharePoint para Convidados novos e existentes ou para um nível mais restritivo. Com isso, a opção de link para qualquer pessoa deixa de existir na organização. Se algum site precisar manter esse tipo de link, a configuração pode ser feita só nele, com expiração.

O compartilhamento do OneDrive pode ser diferente do SharePoint?

Pode, desde que seja mais restritivo. A configuração do OneDrive nunca fica mais aberta que a do SharePoint, e cada site também segue esse limite em relação à organização.

Quem recebeu um link “Qualquer pessoa” precisa fazer login?

Não. Quem tem o link abre o arquivo sem autenticação e pode repassá-lo. Por isso a Microsoft recomenda definir expiração para esses links, limitar a permissão a visualização e deixar o link interno como padrão.

Como saber quais arquivos estão compartilhados com pessoas de fora?

Em qualquer plano, o administrador do site gera o relatório de compartilhamento com usuários externos nas configurações do site, e cada OneDrive tem um relatório equivalente. Os relatórios de toda a organização de uma vez dependem do SharePoint Advanced Management, que não está disponível no Business Premium. A auditoria do Purview registra criação e uso de links, mas precisa estar ativada.

Restringir o compartilhamento corta o acesso de quem já recebeu arquivos?

Sim, para o que deixa de ser permitido. Segundo a documentação da Microsoft, os convidados costumam perder o acesso em até uma hora depois da mudança. Por isso convém levantar antes quem precisa continuar acessando e avisar as áreas.

Se a sua empresa não sabe hoje o que está aberto para fora no Microsoft 365, o levantamento é o primeiro passo. Quero revisar o compartilhamento externo do nosso Microsoft 365