Configurar políticas web y límites de datos en Sophos Protected Browser

Las políticas web de Sophos Protected Browser controlan quién puede acceder a qué destinos con qué estado del dispositivo, y qué puede ocurrir con las descargas, las cargas y los datos. El orden de evaluación es fundamental: el navegador comprueba las políticas activas según su rango y utiliza la primera cuyas condiciones coinciden por completo. Después deja de evaluar las demás.

Para realizar una implantación segura, cree primero una política piloto con un alcance reducido, sitúela por delante de las reglas más generales y pruebe por separado el acceso, la transferencia de archivos y los límites de datos. La política base contiene las acciones predeterminadas que se aplican cuando no existen otras políticas.

Requisitos previos, licencia y roles

Antes de configurar, los grupos de usuarios necesarios (User groups) ya deben existir en Sophos Fusion (anteriormente Sophos Central), y Device posture, Application groups, Site lists y Web categories deben existir como objetos de política. Solo los usuarios y objetos creados previamente aparecen después en Conditions. Además, un grupo de usuarios asignado no puede estar vacío: debe contener al menos un usuario.

Antes de realizar un cambio, compruebe si My Products > Protected Browser > Web policy está visible y se puede editar en el tenant. Si el área no aparece o es de solo lectura, no continúe probando un rol más amplio: aclare la asignación de licencias y roles del tenant.

Los objetos de política necesarios deben crearse previamente en Sophos Fusion; su creación no forma parte de este procedimiento.

Comprender la lógica de las políticas antes de configurar

Una política tiene el efecto global (Overall effect) Allow, Block o Warn:

Allow permite a los grupos de usuarios y estados de dispositivo seleccionados acceder a los destinos elegidos.
Block bloquea ese acceso.
Warn permite el acceso, pero muestra primero una advertencia.

El grupo de usuarios y el estado del dispositivo se combinan mediante Y: si ambos están definidos en la política, ambos deben coincidir. En cambio, los criterios de destino Application group, Site list e Web category se combinan mediante O: basta con que coincida uno de ellos.

Esto hace que un conjunto amplio de destinos pueda aplicarse rápidamente. Por ejemplo, una política para el grupo de usuarios Finanzen-Pilot, el estado de dispositivo Windows, un grupo de aplicaciones y una lista de sitios coincide cuando lo hacen el usuario y el estado del dispositivo, y el destino pertenece al grupo de aplicaciones o a la lista de sitios. Finanzen-Pilot es solo un nombre de ejemplo y debe sustituirse por un grupo existente y no vacío del tenant.

Tratar la política base de forma deliberada

La Base policy contiene un Web filtering profile y Default actions for downloads, uploads, and data boundaries. Estas acciones predeterminadas se aplican siempre que otra política no las sustituya. Para editarla, abra My Products > Protected Browser > Web policy y seleccione Base policy.

La política base puede editarse, pero no eliminarse, clonarse ni cambiarse de rango. Por ello, los requisitos particulares deben incluirse en políticas propias con un alcance más reducido. Así, la política base se conserva como ruta alternativa predecible y las excepciones se controlan mediante el rango y el estado.

Activar Phishing Protection globalmente y en las políticas

Phishing Protection supervisa los formularios de los sitios web para las direcciones de correo o los dominios corporativos definidos. La protección actúa al introducir o enviar una dirección supervisada; no analiza mensajes de correo electrónico. Es un control independiente y no debe equipararse al filtrado por categorías web ni a los límites del portapapeles o de archivos.

Definir primero las direcciones que se protegerán

Abra My Products > Protected Browser > Settings y seleccione la pestaña Phishing Protection.
Active Phishing Protection.
En Email domains to protect, introduzca los dominios corporativos o las direcciones de correo individuales necesarios. example.com es un dominio ficticio de ejemplo para todos los usuarios de ese dominio; pb-pilot@example.com representa una única dirección de prueba. En el tenant, utilice una dirección de prueba de su organización expresamente autorizada, no todo el dominio de producción al principio.
Guarde con Save. Solo entonces podrá activar la protección en la política base o en una política propia.

La configuración global determina qué direcciones se supervisan. La política determina en qué destinos y con qué respuesta se aplica la protección. Por tanto, el interruptor global por sí solo no sustituye la configuración de una política.

Elegir por separado la política base y la política propia

En My Products > Protected Browser > Web policy > Base policy, active Enable Phishing Protection y seleccione Warn o Block. En la política base, este control afecta a sitios web conocidos de alto riesgo o con baja reputación. Warn muestra una advertencia y deja al usuario decidir si continúa. Block impide introducir la dirección de correo supervisada.

En una política propia, active también Enable Phishing Protection, seleccione Warn o Block y guarde con Save. Aquí el control se aplica a las aplicaciones y sitios web cubiertos por la política independientemente de su nivel de riesgo. Limite deliberadamente el grupo de usuarios, el estado del dispositivo, las condiciones de destino, el estado y el rango. La acción antiphishing no es el efecto global (Overall effect) de la política: una aplicación permitida en conjunto puede seguir bloqueando la introducción de una dirección supervisada. Para el piloto, utilice una aplicación de prueba accesible y permitida, de modo que un bloqueo general del acceso no oculte la prueba del formulario.

Comprobar sin un sitio de phishing real

Utilice una página de formulario autorizada e inocua bajo su control y una única dirección de prueba autorizada. No introduzca contraseñas reales ni visite sitios sospechosos.

Registre el estado global anterior, la lista de direcciones y la configuración antiphishing de las políticas afectadas. Limite una política piloto propia al grupo de prueba y a la página del formulario, y sitúela antes de las reglas coincidentes más amplias.
Añada globalmente la dirección de prueba y seleccione Enable Phishing Protection > Warn en la política piloto. Introduzca la dirección supervisada en el formulario o intente enviarla. Se espera una advertencia; continuar con autorización prueba la decisión tras la advertencia, no un bloqueo.
Cambie únicamente la acción antiphishing a Block y repita el intento. Se espera que no se pueda introducir o enviar la dirección supervisada. Con una dirección ficticia no supervisada, compruebe que este control no bloquee indiscriminadamente todas las direcciones.
Anote la hora de prueba, el usuario, la aplicación, la URL del formulario y la decisión observada. Compruebe después los eventos mediante los informes Phishing Protection. La prueba en el destino inocuo demuestra el efecto de la política propia con independencia de la reputación, no la clasificación del riesgo ni el desencadenante de la política base.

Si no aparece el interruptor de la política o falta la respuesta esperada, compruebe primero la activación global, la dirección o el dominio guardado y la primera política activa coincidente. Un informe vacío no demuestra ni una protección correcta ni su desactivación. Sin un resultado claro, mantenga la implantación limitada al piloto.

Después de modificar o desactivar la política antiphishing, recargar las pestañas protegidas existentes o abrir una página nueva antes de repetir la prueba. Sophos documenta en NZT-11106 que, de lo contrario, las pestañas ya abiertas pueden seguir borrando el texto supervisado al pulsar Enter. También después de restaurar la política piloto, recargar primero y comprobar después con los valores de prueba inocuos. Este comportamiento, por sí solo, no demuestra que la política guardada sea incorrecta. Estado comprobado: 24 de octubre de 2026.

Para revertir, restaure el estado anterior documentado de la política piloto o desactívela con Update, y compruebe qué política se aplica realmente a continuación. Una protección antiphishing que siga activa en la política base puede continuar actuando después de desactivar el piloto. Restaure la lista de direcciones y el interruptor globales solo si ninguna otra política necesita ese cambio. Desactivar globalmente elimina también el requisito previo de otras políticas antiphishing y no es una reversión sin riesgo de una sola política.

Seleccionar la protección de descargas y cargas

Los perfiles de acción no son variantes de un mismo nivel de seguridad. En particular, permitir sin analizar y permitir si no se puede analizar tienen una repercusión sobre el riesgo distinta de la de un perfil que bloquea un archivo que no se puede analizar.

Protección de descargas

Block all downloads: bloquea todas las descargas de archivos.
Allow all downloads without scanning: permite todas las descargas sin analizar los archivos ni comprobar la reputación de sus URL.
Scan risky downloads and block if unscannable: analiza archivos de texto, Microsoft Office y PDF, comprueba la reputación de la URL y bloquea los archivos que no se pueden analizar.
Scan risky downloads and allow if unscannable: realiza las mismas comprobaciones, pero permite los archivos que no se pueden analizar.
Scan only executable downloads: analiza archivos binarios y ejecutables, comprueba la reputación de la URL y permite los archivos que no se pueden analizar.

Protección de cargas

Block all uploads: bloquea todas las cargas de archivos.
Allow all uploads without scanning: permite todas las cargas sin analizar los archivos ni comprobar la reputación de sus URL.
Scan risky file uploads and block if unscannable: analiza archivos de texto, Microsoft Office y PDF, comprueba la reputación de la URL y bloquea los archivos que no se pueden analizar.
Scan risky file uploads and allow if unscannable: realiza las mismas comprobaciones, pero permite los archivos que no se pueden analizar.
Block document and text uploads, scan other file types: bloquea archivos de documentos y texto, analiza los demás tipos de archivo, incluida la comprobación de la URL, y permite los archivos que no se pueden analizar.

Protected Browser evalúa la reputación de los archivos mediante Sophos Extensible List (SXL). En determinados casos, Sophos Intellix analiza archivos concretos. Antes de la prueba piloto, aclare la clasificación de los datos y si se permite el análisis en la nube. Las decisiones sobre privacidad e intercambio de datos aplicables a todo el tenant permanecen separadas de los perfiles de política específicos del producto descritos aquí.

Elegir correctamente los límites de datos

Los límites de datos controlan Screen capture, sharing and recording, Printing, Save page y Cut, copy, paste. Los límites del portapapeles no se aplican expresamente a la barra de direcciones del navegador. Por ello, una prueba correcta del portapapeles en el contenido de una página no demuestra que se controle la barra de direcciones.

Permitir todo

Este perfil permite las capturas de pantalla, compartir y grabar, imprimir, guardar la página, así como cortar, copiar y pegar. No aplica ninguno de los límites de datos descritos.

Permitir copiar al exterior — bloquear pegar hacia el interior

Allow copy/paste outside the browser - block pasting inwards permite cortar y copiar desde las aplicaciones seleccionadas y pegar en recursos fuera del navegador. El sentido inverso está bloqueado: no se puede pegar contenido de fuentes externas en las aplicaciones seleccionadas. Las capturas de pantalla, compartir y grabar, imprimir y Save page están permitidos. No se indica una opción adicional de omisión temporal para este perfil; las acciones de pantalla citadas ya están permitidas.

Es un límite de entrada direccional, no un bloqueo contra la salida de datos. Por ejemplo, se pueden copiar al exterior los resultados de una aplicación de IA seleccionada, mientras que pegar contenido externo en esa aplicación sigue bloqueado. Las cargas de archivos continúan controlándose por separado mediante la protección de cargas.

Mantener los datos en los destinos de esta política

Las capturas de pantalla, compartir y grabar, imprimir y Save page están bloqueados. Se puede cortar, copiar y pegar dentro de los destinos seleccionados, pero no pegar texto fuera de ellos. Tampoco se permite pegar desde fuentes externas ni omitir temporalmente la protección frente a capturas de pantalla, compartir y grabar.

Este perfil es adecuado cuando se permite que los datos circulen entre aplicaciones cubiertas por la misma política, pero no que salgan de ese conjunto de destinos. Por ejemplo, si Jira y Salesforce pertenecen al grupo de aplicaciones seleccionado, el portapapeles sigue disponible entre ambos destinos.

Mantener los datos en los destinos: permitir y registrar la omisión

El portapapeles permanece limitado a los destinos seleccionados y no se permite pegar desde fuentes externas. Las acciones de cortar, copiar y pegar quedan registradas. Las capturas de pantalla, compartir y grabar están bloqueados de forma predeterminada, pero los usuarios finales pueden omitir temporalmente esta protección. Printing y Save page se permiten después de una advertencia.

Este perfil es menos estricto que la variante sin omisión. Úselo solo si una necesidad de excepción justifica la omisión permitida y las autorizaciones tras una advertencia.

Mantener los datos en los destinos: permitir pegar desde el exterior

Las capturas de pantalla, compartir y grabar, imprimir y Save page están bloqueados. Cortar y copiar también están bloqueados, pero pegar está permitido. Así pueden introducirse datos externos en los destinos protegidos sin que se pueda copiar contenido fuera de ellos. No se contempla la omisión temporal de la protección frente a capturas de pantalla, compartir y grabar.

En Keep data within this policy’s destinations - allow pasting from outside, la descripción y la correspondencia explícita de los ajustes se contradicen: la descripción menciona pegar en ambos sentidos, pero la correspondencia bloquea cortar y copiar y permite pegar. Para planificar, siga utilizando la correspondencia restrictiva anterior. No es una autorización confirmada para copiar al exterior. Antes de utilizarlo en producción, pruebe ambos sentidos con contenido inocuo; si hay discrepancias, detenga la implantación y solicite a Sophos Support que aclare el comportamiento.

Mantener los datos en los destinos — permitir compartir pantalla y grabar

Keep data within this policy’s destinations - allow screenshare and recording permite capturas de pantalla, compartir y grabar en los destinos seleccionados. Printing y Save page siguen bloqueados. Cortar, copiar y pegar están permitidos dentro de los destinos de la política; no se permite pegar ese contenido fuera de ellos ni pegar desde fuentes externas. La correspondencia de ajustes también indica como permitida la omisión temporal por el usuario de la protección frente a capturas de pantalla, compartir y grabar. Como las acciones de pantalla ya están permitidas, no supone una garantía adicional de protección.

Aquí el límite del portapapeles no impide transmitir contenido visible mediante pantalla compartida o grabación. Elija este perfil solo si dicha transmisión está autorizada para las aplicaciones cubiertas.

Mantener los datos dentro de Protected Browser

Las capturas de pantalla, compartir y grabar, imprimir y Save page están bloqueados. Solo se puede cortar, copiar y pegar dentro de Protected Browser; sí se permite pegar en el navegador texto procedente del exterior. No se contempla la omisión temporal de la protección frente a capturas de pantalla, compartir y grabar.

La diferencia respecto a un límite basado en destinos es importante: este perfil crea un límite alrededor de todo Protected Browser, no solo de los destinos cubiertos por la misma política.

Probar sentidos y vías alternativas en el piloto

Pruebe los siete perfiles según las correspondencias anteriores, no solo por su nombre. Utilice un marcador de texto inocuo en el contenido de la página, dos destinos de la misma política, un destino no cubierto y una aplicación externa. Excluya expresamente la barra de direcciones de las pruebas de límites del portapapeles.

Hacia el interior: Pegue el marcador desde la aplicación externa en un destino cubierto. Debe fallar con el perfil que bloquea pegar hacia el interior y con los perfiles basados en destinos sin autorización para pegar desde el exterior; Permitir todo, Permitir pegar desde el exterior y el límite alrededor de todo Protected Browser lo permiten.
Hacia el exterior y entre destinos: Pruebe por separado cortar y copiar en el destino cubierto, pegar en el segundo destino cubierto y después en el destino no cubierto o en la aplicación externa. Permitir todo y Permitir copiar al exterior permiten la salida. Los perfiles basados en destinos la limitan a sus destinos; en el perfil con descripción contradictoria que permite pegar, ya deben fallar cortar y copiar según la correspondencia restrictiva. El límite del navegador solo permite el recorrido dentro de Protected Browser.
Otras salidas: Pruebe individualmente capturas de pantalla, compartir, grabar, imprimir y Save page. En la variante con omisión registrada, pruebe también la omisión temporal autorizada de la protección de pantalla y las advertencias antes de imprimir o guardar. En la variante que permite compartir pantalla, las acciones de pantalla deben funcionar, mientras que imprimir y guardar siguen bloqueados.

Anote para cada prueba el perfil, el origen, el destino, el resultado esperado y el observado. Una prueba correcta del portapapeles no demuestra ni un bloqueo de cargas ni un bloqueo de pantalla compartida. No eluda discrepancias sin aclarar cambiando a Permitir todo.

Configurar una política piloto

Abra My Products > Protected Browser > Web policy y, en Policies, seleccione Add Policy.
Introduzca un Name único, como PB-Finanzen-Pilot, y una Description con la finalidad y la persona responsable. El nombre de ejemplo puede elegirse libremente; no sustituye a un grupo de usuarios existente.
En Overall effect, seleccione Allow, Block o Warn. Una política con acciones para archivos y límites de datos debe usar Allow o Warn.
En Conditions > User group, seleccione Edit. En Edit user groups > Available, elija el grupo piloto existente y muévalo a Assigned. Compruebe que contiene al menos un usuario y confirme con Save.
Seleccione uno o varios valores de Device posture. Elija después los destinos necesarios mediante Application group, Site list y/o Web category. Seleccione Any solo si, de forma deliberada, la condición no debe limitarse a un grupo de usuarios u objeto de política determinados.
En Actions, seleccione los perfiles de Download protection, Upload protection y Data boundaries. Esta área es relevante para los efectos globales Allow y Warn.
Si los recursos solo deben abrirse en la versión completa de Protected Browser, active Enforce use of full browser. Al acceder a ellos, los sitios web o recursos afectados se abrirán automáticamente en la versión completa de Protected Browser.
Seleccione Save.
En la tabla de políticas, abra Move to rank # desde el menú de tres puntos, mueva la política piloto con la flecha hasta la posición deseada y seleccione Apply. Los rangos con un número menor se evalúan antes; el rango 1 es el primero.

Una política específica debe aparecer antes que otra más general que ya coincida por completo con las mismas condiciones de usuario y destino. De lo contrario, se aplicará primero la política general y la política piloto ni siquiera se evaluará.

Validación y resultado esperado

Para la aceptación, utilice un usuario de prueba que pertenezca exactamente al grupo piloto asignado y no vacío, un estado de dispositivo coincidente y un destino asignado de forma inequívoca. Use archivos y contenidos no sensibles.

En la tabla de políticas, compruebe Rank, Name, Access y Status. La política piloto debe estar Active y situarse antes que cualquier política más amplia que también coincida.
Pruebe un destino que cumpla las condiciones. Con Allow, el acceso debe ser posible; con Warn, debe serlo después de la advertencia; y con Block, no debe serlo.
Pruebe una situación de descarga y otra de carga que el perfil elegido permita, y otra que bloquee. En un perfil que bloquea si no se puede analizar, esta decisión también forma parte del criterio de éxito; en uno que permite si no se puede analizar, se espera el resultado contrario.
Pruebe por separado cada aspecto del límite de datos seleccionado: capturas de pantalla o compartir, imprimir, Save page, copiar entre dos destinos cubiertos, copiar al exterior y pegar desde el exterior. Debe obtener exactamente la combinación definida por el perfil seleccionado.
Si Enforce use of full browser está activo, inicie el acceso a un recurso cubierto y compruebe que se abre en la versión completa de Protected Browser.
Realice una prueba en la que solo coincida un criterio de destino y otra en la que no coincida el grupo de usuarios o el estado del dispositivo. Así se comprueba por separado la relación OR de los destinos y la relación AND de las condiciones de usuario y dispositivo.

Solución de problemas por síntoma

La política no se aplica

Compruebe primero Status y Rank. Una política Not active no se evalúa. Si una política activa con un rango superior ya coincide por completo, la evaluación termina en ella. Sitúe la política más específica antes de la regla más amplia mediante Move to rank # > Apply y repita la prueba.

Compruebe después la lógica de las condiciones: el grupo de usuarios y el estado del dispositivo deben coincidir conjuntamente; en el caso del grupo de aplicaciones, la lista de sitios y la categoría web, basta con que coincida un destino. Si falta un valor de selección, es posible que el usuario o el objeto de política aún no se hayan creado.

No se puede asignar un grupo de usuarios de forma válida

Compruebe que el grupo contenga al menos un usuario. No se permite asignar un grupo de usuarios vacío. Añada primero usuarios al grupo, guarde de nuevo la política y repita la prueba con un miembro de ese grupo.

Las acciones sobre archivos o los límites de datos parecen ignorarse

Compruebe el efecto global (Overall effect). Con Block, no se aplican las acciones adicionales de protección de descargas, protección de cargas y límites de datos. Con Allow o Warn, compruebe después si ha coincidido primero una política con mayor prioridad y qué perfil de acción se ha seleccionado realmente en ella.

No utilice la barra de direcciones como superficie para probar el portapapeles: los límites documentados no se aplican allí. Si el resultado en el contenido de la página sigue difiriendo de la matriz del perfil seleccionado, no amplíe la implantación. Documente el caso de prueba, el rango, las condiciones y el perfil, y escálelo a Sophos Support.

Reversión segura y retirada

Antes de realizar un cambio, registre el Rank, el Status, las condiciones y los perfiles de acción de la política afectada. Para una reversión recuperable, desactive la nueva política piloto y seleccione después Update. Una política inactiva no se evalúa; por tanto, la nueva prueba debe mostrar que vuelve a aplicarse la siguiente política coincidente o la política base.

No valore la eliminación hasta confirmar esta reversión. Las políticas propias pueden eliminarse desde el menú de tres puntos mediante Delete o utilizarse como base de una nueva variante mediante Clone. La política base no puede eliminarse, clonarse ni cambiarse de rango. Por ello, no elimine una política mientras sus condiciones, su rango o el efecto de sustitución deseado sigan sin aclararse.

Al retirar un grupo de usuarios o un objeto de política, revise primero todas las políticas que lo utilicen como condición. Ajuste después la asignación, confirme el efecto con una prueba limitada y solo entonces gestione el objeto que ya no se necesita en el área prevista para ello.

Operación y revisión periódica

Revise las políticas cada vez que cambien los grupos de usuarios, los estados de dispositivo o los objetos de destino, y compruebe periódicamente su Rank, Status, Access y los perfiles de acción asignados. Preste especial atención a las reglas con Any, los perfiles que permiten archivos que no se pueden analizar, Allow all downloads without scanning / Allow all uploads without scanning y los límites de datos con omisión temporal.

Clone primero los cambios o cree una nueva política piloto con un grupo de destino reducido. Amplíe su alcance de forma deliberada después de superar la aceptación. Con independencia de estos controles de políticas, verifique los plazos de migración y las fechas de retirada o EOL del producto en los avisos oficiales.

Guía relacionada

Controlar la privacidad y el intercambio de datos en Sophos Fusion contextualiza el envío de archivos a servicios de Sophos y las decisiones de privacidad aplicables a todo el tenant.