Implementar y mantener actualizado Sophos Protected Browser

Sophos Protected Browser se puede instalar en dispositivos Windows y Mac individuales o distribuir con Microsoft Intune o Jamf Pro. Los usuarios gestionados también pueden recibir una invitación por correo electrónico con un enlace de descarga. Sea cual sea el método elegido, conviene empezar el despliegue a pequeña escala y comprobar la versión instalada: las nuevas versiones del navegador se alternan cada dos semanas, las correcciones de seguridad de Chromium se distribuyen de forma automática y acelerada, y cada versión recibe soporte durante un máximo de cuatro meses.

Esta guía explica la implementación, el control de versiones y el ciclo de vida del Sophos Protected Browser completo. La extensión independiente para navegadores existentes sigue otra vía de instalación y no se implementa aquí.

Requisitos previos, licencia y roles

Antes de descargar, se comprueba lo siguiente:

• Tenant y producto: My Products > Protected Browser y la sección Protected Browser de My Environment > Installers están disponibles en el tenant de Sophos Central previsto. Workspace Protection incluye Protected Browser como uno de sus componentes. No obstante, la mera visibilidad de un menú no demuestra una licencia o autorización de rol concreta. No hay documentada una SKU de navegador independiente para los métodos descritos aquí. Para Intune sí se requiere una cuenta de administrador de Sophos Fusion, aunque no se especifica el nombre de un rol concreto.
• Windows: Se admiten dispositivos de 64 bits con Windows 10 o Windows 11 y servidores con Windows Server 2016 o posterior. La CPU debe admitir SSE3; se mencionan Intel Pentium 4 y posteriores. Se requieren al menos 4 GB de RAM, se recomiendan 8 GB y hacen falta 20 GB de espacio libre.
• macOS: Se admiten macOS Sonoma 14, Sequoia 15 y Tahoe 26 en chips Intel (x86) y Apple (arm64). Se aplican los mismos requisitos de memoria y almacenamiento: al menos 4 GB de RAM, 8 GB recomendados y 20 GB de espacio libre.
• Planificación del almacenamiento: 20 GB es el valor inicial. Varios perfiles de navegador o un uso intensivo de perfiles pueden requerir más espacio.
• Instalación local: Los archivos .exe o .pkg pueden requerir derechos de administrador local.
• Jamf Pro: La instalación masiva requiere una cuenta de administrador de Jamf Pro y una cuenta de administrador de Sophos Central.
• Microsoft Intune: Se necesitan una cuenta de administrador de Microsoft Intune, una cuenta de administrador de Sophos Fusion y una cuenta de administrador de Windows para instalar el paquete en dispositivos Windows. Una cuenta de usuario normal no basta para estos pasos administrativos.
• Invitación por correo electrónico: El usuario invitado debe tener como mínimo el rol Read-only. Sin este rol mínimo, la invitación no es una vía de implementación adecuada.

Los sistemas operativos enumerados son las plataformas documentadas explícitamente. No se deducen otras versiones a partir de requisitos similares de Endpoint. Antes de un despliegue amplio, también se comprueba con perfiles de usuario reales si la RAM y el almacenamiento bastan para el uso propio.

Preparar el despliegue

Antes de la primera instalación, se define un grupo piloto que represente ambas arquitecturas de chip y los sistemas operativos del futuro grupo de destino. Para cada dispositivo piloto se documenta:

• nombre del dispositivo y sistema operativo;
• método de instalación: manual, invitación, Intune o Jamf Pro;
• asignación esperada en Intune o Jamf;
• momento de la instalación;
• versión instalada de Protected Browser y Chromium;
• resultado del inicio y del acceso con la cuenta de trabajo.

Para paquetes y políticas se utilizan nombres inequívocos, por ejemplo Sophos Protected Browser – Pilot. El nombre puede adaptarse; en cambio, los campos de producto y los valores de selección que se indican a continuación deben coincidir exactamente con la interfaz de gestión correspondiente.

Descargar el instalador desde Sophos Central

La instalación manual en Windows y la distribución con Intune requieren archivos distintos. Las descargas se encuentran en Sophos Fusion (antes Sophos Central), en My Environment > Installers > Protected Browser:

1. Para un dispositivo Windows individual se selecciona Download installer for Windows (x64 only). El archivo documentado SophosProtectedBrowserSetUpX64.exe corresponde a la instalación manual.
2. Para distribuir en Windows con Intune se descargan Download MSI deployment package (x64 only) y, además, Download deployment parameters (.txt file). El procedimiento siguiente utiliza SophosProtectedBrowserStandaloneX64-dev.msi e installerparams-spb-deployment-dev.txt.
3. Para macOS se selecciona Download macOS Installer (Universal - Intel and Apple silicon). El paquete .pkg se utiliza tanto para la instalación manual como para la distribución en macOS con Intune.
4. Las descargas se guardan de forma controlada y se utilizan los mismos archivos verificados para el piloto y la fase más amplia. Los parámetros de despliegue proceden del tenant previsto; su contenido real no debe aparecer en ejemplos públicos, tickets sin control de acceso ni capturas de pantalla sin censurar.

El nombre de archivo documentado para macOS es SophosProtectedBrowserX64.pkg. La denominación X64 del archivo no cambia el hecho de que Sophos ofrece este instalador como universal para chips Intel y Apple. En cambio, la MSI de Windows para Intune está destinada explícitamente solo a x64; de ello no se deduce compatibilidad con Windows en ARM.

Instalar dispositivos Windows individuales

1. Se vuelve a comprobar que el dispositivo utiliza Windows de 64 bits y cumple los requisitos de CPU, RAM y almacenamiento.
2. Se abre la ubicación de SophosProtectedBrowserSetUpX64.exe.
3. Se hace doble clic en el instalador y se confirma con Yes. Si la ejecución está bloqueada, se utiliza una cuenta de administrador local autorizada, sin eludir los controles del dispositivo.
4. Se espera hasta que finalice la instalación.
5. Se inicia Sophos Protected Browser desde el menú Inicio o el escritorio.
6. Se inicia sesión con la cuenta de trabajo.

Instalar dispositivos Mac individuales

1. Se comprueban la versión de macOS, el chip, la RAM y el espacio libre.
2. Se abre la ubicación de SophosProtectedBrowserX64.pkg.
3. Se hace doble clic en el instalador y se pulsa Continue.
4. Se elige si el navegador se instalará para todos los usuarios del dispositivo o solo para el usuario actual. Esta decisión se acuerda previamente con el propietario del dispositivo y según el alcance del despliegue.
5. Se pulsa Install y se introducen las credenciales de administrador local.
6. Al terminar, se pulsa Close.
7. Se abre Finder > Applications > Sophos Protected Browser y se inicia sesión con la cuenta de trabajo.

Distribuir con Microsoft Intune

Los paquetes para Windows y macOS se crean por separado para que los requisitos, la detección y la asignación sean trazables. Antes de asignarlos se comprueban las cuentas de administrador indicadas en los requisitos previos y la plataforma compatible de cada dispositivo piloto. Para Windows se necesitan la MSI y su archivo de parámetros correspondiente, no la .exe de la instalación manual. Para macOS se sigue utilizando el instalador universal .pkg.

Crear el paquete de Windows

1. En el tenant de Sophos Fusion previsto, en My Environment > Installers > Protected Browser, se descargan ambos archivos: Download MSI deployment package (x64 only) y Download deployment parameters (.txt file). El paquete MSI y el archivo de parámetros se conservan juntos para este despliegue.
2. En Microsoft Intune se abre Apps > Windows y se pulsa Add.
3. En App Type se selecciona Line-of-business app. Este procedimiento utiliza el archivo MSI; aquí no se carga SophosProtectedBrowserSetUpX64.exe.
4. En App information > Select app package file se carga el archivo SophosProtectedBrowserStandaloneX64-dev.msi en App package file y se pulsa OK.
5. Se configuran los campos:
   • Name: por ejemplo, Sophos Protected Browser – Windows – Pilot
   • Description: indicar el propósito interno y el grupo piloto
   • Publisher: Sophos
   • App install context: Device
   • Ignore app version: Yes
6. Para Command-line arguments se abre installerparams-spb-deployment-dev.txt, se copia su contenido completo y se pega en el campo. Se introduce el contenido del archivo, no su nombre ni una ruta al archivo .txt. No se sustituye por parámetros MSI inventados ni se publican valores reales del tenant.
7. Se pulsa Next. En Assignments se seleccionan los dispositivos o grupos de usuarios en los que se instalará el navegador. La primera asignación se limita al grupo piloto definido previamente.
8. Se pulsa Next, se comprueban en Review + create el archivo de paquete, los campos, los parámetros de despliegue pegados y el grupo de destino, y se pulsa Create.

Los nombres SophosProtectedBrowserStandaloneX64-dev.msi e installerparams-spb-deployment-dev.txt forman parte de este procedimiento documentado; no se elimina el sufijo -dev por iniciativa propia. Del nombre del archivo no se deducen ni una versión objetivo ni un estado de soporte diferente. Si las descargas tienen otros nombres, antes de la asignación se aclara qué archivos y parámetros corresponden entre sí, en lugar de dar por supuesto otro nombre de archivo u otra sintaxis del paquete.

Intune muestra una notificación cuando se crea el paquete; después se instala en los dispositivos seleccionados. Esta notificación confirma la creación del paquete, no que el navegador se haya iniciado ni que se haya accedido correctamente en todos los dispositivos de destino. A continuación, en cada dispositivo piloto representativo se comprueban por separado la instalación, el inicio del navegador, el acceso con la cuenta de trabajo y la versión instalada, como se describe en Validar la instalación y la versión. Solo entonces se amplía la asignación.

Crear el paquete de macOS

1. En Microsoft Intune se abre Apps > macOS > Add.
2. En App type se selecciona macOS app (.pkg) y se pulsa Select.
3. En App information se abre Select app package file, se elige el instalador de macOS de Sophos Central y se pulsa OK.
4. Se asigna a Name un nombre de paquete inequívoco y a Publisher el valor Sophos.
5. En Requirements > Minimum operating system se selecciona la versión del sistema operativo de los Mac gestionados.
6. En Detection rules se introducen:
   • Ignore app version: Yes
   • App bundle ID: el Bundle ID determinado para Protected Browser
   • App version: la versión que se va a instalar
7. Se pulsa Next, se seleccionan los dispositivos piloto en Assignments y se vuelve a pulsar Next.
8. Se comprueba Review + create y se pulsa Create.

La regla de detección requiere un App bundle ID, pero no hay documentado un valor fijo. Por tanto, no se introduce un valor supuesto. El identificador se obtiene y verifica a partir del paquete realmente descargado mediante el procedimiento de empaquetado de macOS utilizado en el entorno propio. Si no es posible, se detiene el proceso antes de la asignación y se aclara la regla de detección con el responsable de Intune o Sophos.

Distribuir en Macs con Jamf Pro

Crear el paquete de instalación

1. Se descarga el instalador universal de macOS desde My Environment > Installers > Protected Browser.
2. En Jamf Pro se abre Settings > Computer Management > Packages.
3. En General se introduce un nombre inequívoco.
4. En Category se selecciona Browser.
5. En Filename se carga el instalador de macOS obtenido de Sophos Central.
6. Se pulsa Save.

Crear la política para el grupo piloto

1. Se abre Computers > Policies.
2. En General se introduce un nombre de política inequívoco.
3. En Category se vuelve a seleccionar Browser.
4. En Trigger se elige el evento deseado. El ejemplo documentado Recurring Check-in inicia la política la próxima vez que el dispositivo se registre en el servidor de Jamf Pro.
5. En Packages se selecciona el paquete de Protected Browser creado previamente.
6. En Scope se limita la primera asignación a los dispositivos piloto.
7. Se pulsa Save.

Invitar a usuarios por correo electrónico

La invitación es adecuada para usuarios gestionados que instalarán el navegador mediante el enlace recibido. El usuario sigue el correo, completa la instalación y después inicia sesión con la cuenta de trabajo.

Invitación desde la lista de usuarios

1. Se abre My Environment > Users & Groups y la pestaña Users.
2. Se selecciona el usuario y se pulsa Email setup link.
3. En Protected Browser se activa Invite user to install Sophos Protected Browser.
4. Se pulsa Save.

Invitación al editar el usuario

1. Se abre My Environment > Users & Groups > Users y se pulsa el usuario deseado.
2. Se pulsa Edit.
3. En Edit user se abre Email setup link.
4. En Protected Browser se activa Invite user to install Sophos Protected Browser.
5. Se pulsa Save.

En ambos casos, el resultado esperado es un correo electrónico con un enlace de descarga del navegador. Si no llega, antes de reenviarlo se comprueban el rol mínimo Read-only, la persona seleccionada y la opción de Protected Browser activada.

Validar la instalación y la versión

Una plataforma de distribución no constituye por sí sola una prueba funcional completa. En cada plataforma piloto se comprueba:

1. Instalación: Sophos Protected Browser está presente en el dispositivo de destino.
2. Inicio: El navegador se abre.
3. Acceso: Se puede iniciar sesión con la cuenta de trabajo prevista.
4. Versión en el navegador: Se abre el menú de tres puntos de la esquina superior derecha y se selecciona About Sophos Protected Browser. La página muestra la versión actual y si está actualizada.
5. Comprobación en Windows: Se abre Settings > Apps > Installed apps y se busca Sophos Protected Browser.
6. Comprobación en Mac: Se abre Apple menu > About > General > System Report, se expande Software, se abre Applications y se busca Sophos Protected Browser.

En el navegador, la indicación sigue este patrón:

Version [Protected Browser_generation].[Protected Browser_major].[Protected Browser_minor] Chromium [Chromium_major].[Chromium_minor].[Chromium_patch].[Chromium_build] ([build_type]) ([processor])

Un ejemplo documentado es Version 1.86.23 Chromium 145.0.7632.160 (Official Build) (64-bit). En el nivel del dispositivo, Windows y macOS muestran cuatro grupos según el patrón [Chromium_major].[Protected Browser_generation].[Protected Browser_major].[Protected Browser_minor], por ejemplo 145.1.86.23. Los valores se comparan según esta estructura; la indicación del dispositivo no es más reciente solo porque empiece por la versión principal de Chromium.

La asignación solo se amplía cuando la instalación, el inicio, el acceso y la indicación de versión han funcionado en todos los dispositivos piloto representativos.

Planificar las actualizaciones y el ciclo de vida

Protected Browser utiliza un ciclo de versiones alternas de dos semanas:

1. A principios de mes aparece una versión con la última versión principal de Chromium y nuevas funciones de Protected Browser.
2. Dos semanas después aparece una versión solo para el motor de Protected Browser; la versión principal de Chromium no cambia.
3. Otras dos semanas después comienza el siguiente ciclo con una nueva versión principal de Chromium.

El ejemplo documentado de 30 días pasa de Protected Browser 1.50.x con Chromium 129 a 1.51.x con la misma versión principal de Chromium y después a 1.52.x con Chromium 130. Estas cifras explican el esquema y no son versiones objetivo para el tenant propio.

Las correcciones de seguridad de Chromium se ofrecen automáticamente en un plazo máximo de 24 horas desde su publicación por el equipo de Chromium. A continuación, Sophos distribuye gradualmente la versión actualizada durante otras 12 a 24 horas; el tiempo total de implementación no supera las 48 horas. Por ello, una diferencia temporal entre dos dispositivos piloto puede formar parte del despliegue escalonado. No debe quedar sin comprobar más allá del plazo documentado.

Cada versión del navegador recibe soporte durante un máximo de cuatro meses desde su publicación inicial:

Sophos recomienda la última versión. Los navegadores obsoletos pueden ofrecer menos rendimiento y protección. Por ello, el proceso operativo comprueba la indicación de versión al menos una vez al mes y también después de cada corrección de seguridad o nueva versión principal. No están documentados ni un control para retener las actualizaciones del navegador ni un procedimiento de downgrade. Por tanto, no se distribuye un paquete antiguo como rollback.

Resolución de problemas por síntoma

Falta el instalador o la sección Protected Browser

Se comprueba que esté abierto el tenant correcto y que sean visibles My Products > Protected Browser y My Environment > Installers > Protected Browser. De ello no se deduce un rol o una licencia adicional. Si falta la sección, se detiene el despliegue y el responsable del tenant, la licencia o los roles comprueba la habilitación.

La instalación de Windows no se inicia

En una instalación manual, primero se comprueban Windows de 64 bits, una versión compatible del sistema operativo, una CPU con SSE3, al menos 4 GB de RAM y 20 GB de espacio libre. Después se comprueba si la instalación .exe requiere derechos de administrador local. Para este método manual se utiliza Download installer for Windows (x64 only); en una distribución con Intune se comprueban, en cambio, la MSI y el archivo de parámetros, como se describe en el siguiente caso de error de Intune.

La instalación o el inicio en Mac falla

Se compara el dispositivo con macOS Sonoma 14, Sequoia 15 o Tahoe 26 y se comprueban el chip Intel o Apple, la RAM y el espacio libre. La instalación manual puede requerir derechos de administrador. Tras una instalación correcta, el navegador se inicia desde Finder > Applications.

Intune indica que ha creado el paquete, pero falta el navegador

El mensaje de creación solo demuestra que Intune ha creado el paquete. Se comprueban la plataforma, el archivo de paquete seleccionado y la asignación de destino.

En Windows se comprueban App Type: Line-of-business app, el archivo cargado SophosProtectedBrowserStandaloneX64-dev.msi, App install context: Device e Ignore app version: Yes. En Command-line arguments debe figurar el contenido completo de installerparams-spb-deployment-dev.txt, no el nombre del archivo; los archivos deben proceder del tenant previsto. En Assignments se comprueban los dispositivos o grupos de usuarios seleccionados. Solo después de estas comprobaciones se vuelven a verificar la instalación, el inicio, el acceso y la versión en el dispositivo piloto.

En macOS se comprueban Minimum operating system, App bundle ID, App version y la asignación piloto. Si el Bundle ID no se ha determinado de forma fiable, primero se corrige la regla de detección en lugar de ampliar la asignación.

La política de Jamf no se ejecuta

En Settings > Computer Management > Packages se comprueba que esté guardado el paquete correcto. Después, en Computers > Policies, se comparan la categoría Browser, el Trigger seleccionado, el paquete y el Scope. Con Recurring Check-in, la ejecución solo se activa en el siguiente registro del dispositivo en el servidor de Jamf Pro.

La invitación no llega

Se confirma que el usuario tenga como mínimo el rol Read-only. En My Environment > Users & Groups > Users se comprueba que se haya elegido al usuario correcto, que Email setup link esté abierto y que Invite user to install Sophos Protected Browser esté activado. Solo entonces se vuelve a guardar o invitar.

Los números de versión parecen no coincidir

No se compara solo la cantidad de grupos de cifras. En el navegador, la versión de Protected Browser de tres partes comienza por la generación; en Windows y macOS se antepone la versión principal de Chromium. Además, se abre About Sophos Protected Browser para ver la versión completa de Chromium y la indicación de actualización.

Los dispositivos permanecen en versiones distintas durante el despliegue

Primero se tiene en cuenta el despliegue escalonado de las correcciones de seguridad, con un tiempo total máximo de 48 horas. Después se comprueban la indicación de versión y el estado up to date en cada dispositivo afectado. Si un dispositivo sigue obsoleto pasado ese plazo, no se amplía la asignación. No hay documentado un proceso de reparación o downgrade para este caso; se registran el dispositivo, el sistema operativo, el método de instalación, la hora y ambas indicaciones de versión, y se entrega el caso a Sophos Support.

Retorno seguro, eliminación y detención del despliegue

No hay documentado ningún procedimiento de desinstalación específico del producto para Windows, macOS, Intune o Jamf Pro. Tampoco existe un procedimiento fiable de downgrade del navegador. Por ello, no se eliminan archivos manualmente ni se distribuyen paquetes antiguos como supuesto rollback.

Para una detención segura antes de la implementación amplia:

1. No se amplían Scope ni Assignments más allá del grupo piloto.
2. Se registran el paquete, la política, el trigger, el grupo de destino y los dispositivos ya instalados.
3. Se comprueba si un cambio en Intune o Jamf afecta involuntariamente a otros dispositivos. Una asignación solo se elimina tras verificar el procedimiento válido para la plataforma de gestión correspondiente.
4. Las instalaciones existentes se dejan sin cambios hasta disponer de un método de desinstalación actual y verificado. La eliminación manual de archivos de programa no es un rollback.
5. Tras la detención se valida que no se instalen más dispositivos piloto y se escala cualquier eliminación necesaria con el estado documentado de dispositivos y paquetes.

Ante una nueva versión problemática del navegador se aplica el mismo principio de seguridad: se limita el despliegue, se guardan las versiones y las horas, y se escala el caso. Un downgrade puede reducir la protección y el estado de soporte; no hay documentado un método fiable para hacerlo.

Operación, revisión y ciclo de vida

El responsable operativo comprueba periódicamente:

• las versiones compatibles de Windows, Windows Server y macOS antes de cada nueva fase;
• la RAM y el espacio libre, especialmente con varios perfiles de navegador;
• las asignaciones de Intune o el scope, el paquete y el trigger de Jamf;
• que el navegador se inicie y permita acceder con una cuenta de trabajo;
• las versiones de Protected Browser y Chromium mediante About Sophos Protected Browser;
• la indicación del dispositivo en Settings > Apps > Installed apps o System Report > Software > Applications;
• la antigüedad de la versión frente al límite de cuatro meses;
• las desviaciones después del despliegue máximo de 48 horas de una actualización de seguridad.

Una nueva versión principal de Chromium, el paso a la fase «próxima al fin de vida» o un dispositivo piloto obsoleto desencadenan otra comprobación de versiones.

Como contexto no operativo, el desarrollo del producto puede situarse con cinco hitos: Protected Browser se presentó como Early Access el 20 de enero de 2026; Workspace Protection estuvo disponible el 16 de marzo de 2026. El 1 de julio llegaron la selección de categorías de aplicaciones y los informes sobre cargas y descargas de archivos. El 20 de julio se anunció la extensión independiente de Protected Browser para navegadores existentes. Más adelante se añadieron flujos guiados para la protección Zero Trust de aplicaciones SaaS. Esta evolución no cambia ni el método de instalación descrito ni la comprobación actual de versiones y ciclo de vida.

Guía relacionada existente

Protected Browser tiene una vía de instalación propia. Si también se va a implementar Sophos Endpoint Protection, Implementar Sophos Endpoint Protection explica su instalador, el alta de dispositivos y la validación. No deben mezclarse ambos procedimientos: un despliegue correcto de Endpoint no demuestra que Protected Browser esté instalado o actualizado.