Herencia de permisos en SharePoint explicada

By Mirko Peters · 2026-04-17

Domina la herencia de permisos en SharePoint: aprende cómo fluyen los permisos desde la colección de sitios hasta los archivos, cuándo romper la herencia, cómo restaurarla y las mejores prácticas de gobernanza para Microsoft 365.

Automatically translated with AI from the original post. Read the English original

La herencia de permisos en SharePoint controla cómo fluyen los derechos de acceso desde un sitio padre hacia todos los subsitios, bibliotecas, carpetas y archivos que contiene. Bien configurada, elimina las asignaciones de permisos repetitivas, impone un modelo de seguridad coherente y es la base de una buena gobernanza en Microsoft 365. Si la configuras mal, corres el riesgo de bloquear a usuarios legítimos o de exponer en silencio datos sensibles a personas que nunca deberían verlos.

Esta guía cubre todo lo que necesitan saber los administradores de Microsoft 365, los propietarios de sitios y los responsables de gobernanza: cómo funciona la herencia en cada nivel de la jerarquía de SharePoint, cuándo y cómo romperla, cómo restaurarla y las mejores prácticas de gobernanza que evitan la proliferación de permisos. También encontrarás tablas de referencia listas para usar que agilizan tus decisiones del día a día.

¿Qué es la herencia de permisos en SharePoint?

La herencia de permisos en SharePoint significa que un objeto secundario (un subsitio, una biblioteca de documentos, una lista, una carpeta o un archivo individual) adopta automáticamente la configuración de permisos de su contenedor padre. De forma predeterminada, todos los objetos nuevos de SharePoint heredan de su padre, así que basta con definir los permisos una sola vez en el nivel superior y se propagan por toda la jerarquía sin más acciones.

Cuando la herencia está activa, los administradores definen los permisos una vez en la raíz de la colección de sitios y todos los objetos que hay debajo siguen esas reglas de forma automática. Si necesitas un patrón de acceso distinto para una ubicación específica, por ejemplo una carpeta confidencial de RR. HH. o una biblioteca de informes para la dirección, rompes la herencia solo para ese objeto y asignas permisos únicos allí. El resto del sitio sigue heredando con normalidad.

Niveles de permiso de SharePoint: tabla de referencia completa

SharePoint incluye cinco niveles de permiso integrados que agrupan capacidades concretas en roles con nombre. Entender cada nivel es esencial antes de diseñar una estrategia de herencia eficaz. La tabla siguiente muestra todos los niveles integrados, para quién están pensados y qué permiten.

Cómo funciona la herencia de permisos en SharePoint: la jerarquía completa

SharePoint organiza su contenido en una jerarquía estricta de padres e hijos. Los permisos fluyen desde la parte superior de esa jerarquía hacia abajo, salvo que se interrumpan de forma explícita. Así participa cada nivel en la herencia:

Cómo romper la herencia de permisos en SharePoint: paso a paso

Romper la herencia es una acción administrativa deliberada que asigna a un objeto específico su propio conjunto de permisos, independiente de su padre. Antes de romper la herencia, confirma que la necesidad de seguridad no puede cubrirse con grupos en el nivel padre. El uso excesivo de la herencia rota genera una proliferación de permisos difícil de auditar y mantener. Cuando realmente necesites hacerlo, este es el proceso correcto para una biblioteca de documentos o una carpeta en SharePoint Online:

• Paso 1: ve a la biblioteca o carpeta que quieres configurar. Abre la biblioteca de documentos desde la navegación izquierda o desde el contenido del sitio.
• Paso 2: Accede a la página de permisos. Ve a Configuración (icono de engranaje) > Configuración de biblioteca > Permisos para esta biblioteca de documentos. Para una carpeta, selecciona la carpeta, haz clic en el menú de tres puntos y elige Administrar acceso > Configuración avanzada.
• Paso 3: Haz clic en Dejar de heredar permisos. Aparecerá un cuadro de diálogo de confirmación que advierte de que el objeto recibirá su propia copia de los permisos del elemento superior. Haz clic en Aceptar para continuar.
• Paso 4: Configura los permisos únicos. Elimina los grupos o usuarios que no deberían tener acceso y añade los usuarios o grupos específicos con el nivel de permiso adecuado mediante Conceder permisos.
• Paso 5: Documenta el cambio. Registra por qué se ha roto la herencia, qué usuarios o grupos se han añadido y programa una fecha de revisión futura. Esta documentación es fundamental para las auditorías y la gobernanza continua.

Cuándo romper la herencia de permisos de SharePoint: casos de uso empresariales

No todos los retos de control de acceso requieren romper la herencia. En muchos casos, añadir usuarios a un grupo diferente en el nivel superior logra el mismo objetivo con mucha menos complejidad administrativa. Usa la tabla de decisión siguiente para determinar si romper la herencia es el enfoque correcto para tu escenario concreto.

Escenario

Cómo restaurar la herencia de permisos de SharePoint

Restaurar la herencia vuelve a vincular un objeto con su elemento superior y elimina todos los permisos únicos de ese objeto. Antes de restaurarla, revisa si algún usuario o grupo con acceso único lo perderá por completo cuando tomen el control los permisos del elemento superior. Esta acción es irreversible desde la interfaz: una vez realizada, se eliminan todos los permisos personalizados y se aplican de inmediato los ajustes del elemento superior.

Para restaurar los permisos heredados: ve a la página de permisos de la lista, biblioteca, carpeta o elemento (Configuración > Configuración de biblioteca > Permisos para esta biblioteca de documentos). Verás un aviso o banner amarillo que indica que el objeto tiene permisos únicos. Haz clic en Eliminar permisos únicos o Heredar permisos (el texto varía entre SharePoint clásico y moderno). Confirma en el cuadro de diálogo que aparece. Ejecuta Comprobar permisos para los usuarios afectados y verifica que el acceso restaurado es correcto.

Errores comunes con la herencia de permisos de SharePoint y cómo corregirlos

Incluso los administradores de SharePoint con experiencia cometen estos errores al trabajar con la herencia de permisos. Reconocerlos a tiempo y saber cómo corregirlos evita brechas de seguridad, la proliferación de permisos y dolores de cabeza de gobernanza a largo plazo. La tabla siguiente recoge los errores más frecuentes con medidas correctoras prácticas.

Procedimientos recomendados para la herencia de permisos en SharePoint

Seguir un conjunto reducido de prácticas coherentes reduce drásticamente la complejidad de gestionar la herencia de permisos de SharePoint en organizaciones grandes. Aplica estos principios desde el inicio de cada sitio o proyecto y hazlos cumplir mediante una directiva de gobernanza.

• Práctica 1: diseña los permisos a nivel de sitio usando grupos, no usuarios individuales. Crea grupos de seguridad de Azure AD que correspondan a roles de negocio (por ejemplo, HR-Staff, Legal-Team, Finance-Readers) y asigna esos grupos a los niveles de permiso de SharePoint en el nivel de colección de sitios. Los usuarios que se incorporen o salgan de un equipo solo necesitan añadirse o quitarse del grupo de Azure AD, sin cambios directos en los permisos de SharePoint.
• Práctica 2: minimiza la interrupción de la herencia. Antes de romper la herencia, pregúntate siempre: ¿puedo lograr el mismo resultado usando otro grupo de SharePoint o añadiendo un grupo específico al elemento superior con un nivel de permiso más restrictivo? Si la respuesta es sí, mantén la herencia intacta. Reserva los permisos únicos para los casos en los que el requisito de acceso realmente no pueda cumplirse con la jerarquía superior.
• Práctica 3: realiza auditorías de permisos trimestrales. Usa el Centro de administración de Microsoft 365, Microsoft Purview o scripts de PnP PowerShell para generar informes sobre qué objetos de tu entorno de SharePoint tienen permisos únicos (herencia rota). Revisa cada objeto con permisos únicos según tus requisitos de negocio actuales. Consolida o restaura la herencia donde el permiso único ya no sea necesario.
• Práctica 4: documenta cada permiso único. Mantén un registro de permisos (una lista sencilla de SharePoint funciona bien) que recoja: la URL del objeto con permisos únicos, la fecha en que se rompió la herencia, el motivo de negocio, qué grupos y usuarios tienen acceso, quién aprobó el cambio y la fecha de la próxima revisión programada. Este registro es muy valioso durante auditorías, migraciones y revisiones de cumplimiento.
• Práctica 5: aplica el principio de privilegio mínimo. Asigna el nivel de permiso más restrictivo que aún permita a los usuarios hacer su trabajo. La mayoría de los miembros del equipo necesitan Colaborar, no Modificar ni Control total. Reserva Control total para los propietarios y administradores de sitios. Revisa todas las asignaciones de Control total en cada auditoría trimestral: cualquier cuenta con Control total que no esté realizando tareas administrativas activas supone un riesgo de seguridad.

SharePoint Online frente a SharePoint Server: diferencias en la herencia de permisos

Los conceptos básicos de la herencia son idénticos en ambas plataformas, pero la experiencia de administración y las herramientas disponibles difieren de forma significativa. Los administradores que gestionan entornos híbridos o planifican migraciones deben conocer estas diferencias.

Herencia de permisos y gobernanza de SharePoint

La herencia de permisos no es solo un ajuste técnico, sino un pilar fundamental de cualquier marco de gobernanza de SharePoint eficaz. Sin una estrategia de herencia deliberada, incluso las organizaciones mejor intencionadas acumulan una proliferación de permisos: cientos de objetos con permisos únicos repartidos entre miles de sitios, sin documentación clara y sin un proceso de revisión definido.

Un plan de gobernanza sólido para la herencia de permisos de SharePoint debe definir cuatro aspectos: (1) quién está autorizado a romper la herencia; (2) qué documentación es necesaria antes y después de romperla; (3) con qué frecuencia se revisarán todos los permisos únicos; y (4) qué herramientas y scripts se usarán para generar los informes de cumplimiento. Las organizaciones que usan Microsoft Teams junto con SharePoint deben extender estas reglas de gobernanza a los grupos de Microsoft 365, que controlan los permisos de los sitios de SharePoint a través de los sitios de equipo conectados.

Preguntas frecuentes sobre la herencia de permisos de SharePoint

P: ¿Qué es la herencia de permisos de SharePoint y cómo funciona?

R: La herencia de permisos de SharePoint significa que los objetos secundarios (subsitios, bibliotecas, listas, carpetas y archivos) adoptan automáticamente los permisos de su elemento principal. Cuando estableces permisos en el nivel de la colección de sitios, todos los objetos inferiores heredan esa configuración, a menos que rompas explícitamente la herencia para un objeto específico.

P: ¿Cuándo debo romper la herencia de permisos de SharePoint?

R: Rompe la herencia cuando una biblioteca, carpeta o archivo concreto realmente requiera un conjunto de usuarios o permisos distinto al que proporciona su sitio principal. Entre los motivos válidos más comunes se encuentran: proteger archivos confidenciales de RR. HH. o de Legal, conceder acceso temporal a proveedores externos a una carpeta de proyecto o proteger contenido de directivos frente al personal general. No rompas la herencia por comodidad ni para atender solicitudes que se pueden resolver cambiando la pertenencia a grupos.

P: ¿Cómo restauro la herencia después de romperla en SharePoint?

R: Ve a la página de permisos de la biblioteca, carpeta o elemento (Configuración > Configuración de la biblioteca > Permisos para esta biblioteca de documentos). Haz clic en Eliminar permisos únicos o Heredar permisos. Se eliminan todos los permisos personalizados de ese objeto y pasa a heredar los de su elemento principal. Comprueba el acceso resultante con Comprobar permisos antes de comunicar el cambio a los usuarios afectados.

P: ¿SharePoint Online gestiona la herencia de permisos de forma distinta a SharePoint Server?

R: La mecánica de la herencia es idéntica en ambas versiones. Las diferencias están en la interfaz de administración y en las herramientas: SharePoint Online cuenta con una interfaz moderna y se integra con los grupos de Microsoft Entra ID (antes Azure AD) y con Microsoft Purview para la auditoría; SharePoint Server se basa en las páginas de permisos clásicas y en Active Directory local. Los administradores familiarizados con una plataforma reconocerán los mismos conceptos de herencia en la otra.

P: ¿Cuál es la mejor forma de gestionar los permisos a gran escala en un entorno grande de SharePoint?

R: Usa grupos de seguridad de Azure AD asignados a roles y asigna esos grupos en el nivel de la colección de sitios. Evita por completo las asignaciones directas a usuarios. Usa PnP PowerShell para auditar permisos a gran escala, identificar objetos con permisos únicos y restaurar la herencia en lote cuando sea necesario. Complementa esto con una directiva de gobernanza que limite quién puede romper la herencia y exija documentación para cada excepción.

P: ¿Puedo usar PowerShell para gestionar la herencia de permisos de SharePoint a gran escala?

R: Sí. PnP PowerShell ofrece cmdlets como Get-PnPListItem y Get-PnPSiteGroup para analizar permisos en varios sitios. El comando Get-PnPList | Where-Object { $_.HasUniqueRoleAssignments } identifica las listas y bibliotecas con la herencia rota en un sitio. Para la restauración masiva, usa Reset-PnPListItemPermission o un script con bucle que llame a Set-PnPListItemPermission para restaurar la herencia de cientos de elementos a la vez.

P: ¿Mover o copiar contenido en SharePoint conserva la herencia de permisos?

R: Mover contenido dentro de la misma colección de sitios normalmente conserva la configuración de herencia del destino (el elemento adopta la herencia del contenedor de destino). Copiar siempre crea un objeto nuevo que hereda del destino. Los elementos con la herencia rota que se mueven o copian NO trasladan automáticamente sus permisos únicos al destino; debes volver a comprobar y reaplicar los permisos manualmente después de cada operación de movimiento o copia que afecte a contenido con permisos únicos.

Puntos clave sobre la herencia de permisos de SharePoint

La herencia de permisos de SharePoint es el mecanismo predeterminado que transmite los derechos de acceso desde la raíz de la colección de sitios hasta cada biblioteca, carpeta y archivo. Entenderla a fondo es imprescindible para cualquier administrador de Microsoft 365 o responsable de gobernanza.

La herencia ahorra tiempo y garantiza la coherencia. Configurar los permisos una sola vez en el nivel de la colección de sitios elimina la configuración repetitiva y crea una base de seguridad predecible y auditable. Resiste la tentación de romper la herencia solo porque parece más fácil gestionar el acceso caso por caso.

Rompe la herencia solo cuando exista un motivo de negocio claro y documentado. Entre los motivos válidos están proteger registros de RR. HH., archivos legales, contenido de la dirección o el acceso temporal de socios externos. Documenta cada excepción en un registro de permisos y asigna una fecha de revisión a cada objeto con permisos únicos.

Los grupos, no las personas, son la base de una gestión de permisos escalable. Usar grupos de seguridad de Azure AD alineados con los roles de negocio hace que dar de alta y de baja a un usuario solo requiera cambiar la pertenencia a grupos, y no actualizar los permisos individuales de SharePoint en decenas de sitios.

Las auditorías trimestrales no son opcionales. Los permisos únicos se acumulan en silencio con el tiempo. Sin auditorías periódicas, con Microsoft Purview o scripts de PnP PowerShell, los derechos de acceso obsoletos persisten mucho después de que los empleados se marchen, los proyectos terminen o cambien las necesidades del negocio. Programa y exige las revisiones de permisos como una actividad central de gobernanza, no como una limpieza reactiva.

La gobernanza convierte la herencia en un detalle técnico en un control estratégico. Las organizaciones que definen quién puede romper la herencia, qué justificación se requiere y cómo se revisan los permisos convierten SharePoint de un posible riesgo de seguridad en una plataforma de colaboración controlada, conforme y escalable. Tanto si gestionas 10 sitios como 10 000, los principios son los mismos: hereda ampliamente, rompe con moderación, documenta siempre y audita con regularidad.