Condividere un file in SharePoint Online non significa semplicemente inviare un URL. Il tipo di collegamento scelto può modificare chi è autorizzato ad accedere al contenuto e con quali condizioni. Per questo la condivisione deve essere progettata come parte della governance del dato, non come una funzione puramente operativa. Se il tenant richiede una revisione più ampia della postura, la sicurezza Microsoft 365 per PMI va gestita con una baseline distinta che includa identità, endpoint, posta, dati e monitoraggio.
I quattro tipi di link disponibili in SharePoint Online
Nell’esperienza moderna di SharePoint, Microsoft rende disponibili quattro opzioni. Non hanno lo stesso livello di esposizione e, soprattutto, non producono tutte lo stesso effetto sui permessi.
1. Chiunque con il collegamento (Anyone)
Il collegamento Chiunque con il collegamento consente l’accesso senza autenticazione a chiunque possieda il link. Va quindi trattato come un segreto trasferibile: può essere inoltrato, copiato o intercettato e non consente di attribuire l’accesso a una specifica identità esterna.
- Usarlo solo quando il contenuto è realmente adatto alla condivisione non autenticata.
- Preferire permessi di sola visualizzazione quando la modifica non è necessaria.
- Configurare una scadenza massima dei link Anyone a livello di organizzazione o sito.
- Evitare questo tipo di link per documenti riservati, contratti, dati personali, informazioni finanziarie o materiale con classificazione elevata.
- Revocare i link non più necessari e monitorarne la creazione con i report di Data Access Governance quando disponibili nel licensing adottato.
2. Persone nell’organizzazione
Il link Persone nell’organizzazione richiede che chi lo apre sia autenticato come membro del tenant. È utile per una collaborazione interna ampia, ma il link può essere inoltrato ad altri membri dell’organizzazione. Non deve quindi essere interpretato come accesso nominativo o come controllo di least privilege.
La creazione del link non rende automaticamente il documento accessibile a tutta l’azienda: per usarlo occorre possedere e riscattare il collegamento. Tuttavia, proprio perché può circolare internamente, per contenuti molto sensibili è preferibile usare un link per persone specifiche.
3. Persone con accesso esistente
Questa opzione è utile quando il destinatario possiede già i permessi sul file o sulla cartella e serve soltanto un collegamento comodo da inviare. Il punto essenziale è che non crea un nuovo ambito di autorizzazione: mantiene i permessi esistenti. È quindi la scelta corretta quando si vuole ricondividere un link senza allargare l’accesso.
4. Persone specifiche
Il link Persone specifiche funziona esclusivamente per i destinatari indicati e richiede che si autentichino come l’identità prevista. È la scelta più adatta quando serve condividere un documento con utenti interni o guest esterni mantenendo un controllo nominativo.
- Usarlo come scelta preferenziale per la condivisione esterna di documenti aziendali.
- Assegnare modifica solo quando è realmente necessaria; altrimenti mantenere la visualizzazione.
- Rimuovere l’accesso quando termina il rapporto con cliente, consulente o fornitore.
- Per i guest esterni, coordinare la configurazione SharePoint con le impostazioni di collaborazione esterna di Microsoft Entra ID.
Quale link scegliere?
Scenario | Tipo consigliato | Autenticazione | Nota |
Documento pubblico o a bassa sensibilità | Anyone, se consentito | No | Imporre scadenza e permessi minimi. |
Collaborazione ampia solo interna | People in your organization | Sì | Il link può circolare tra membri del tenant. |
Invio link a utenti già autorizzati | People with existing access | Sì | Non estende i permessi. |
Cliente/partner/fornitore identificato | Specific people | Sì | Preferibile per condivisione esterna controllata. |
Documento sensibile | Specific people + controlli di sito/dato | Sì | Valutare DLP, sensitivity label e device restrictions. |
Best practice amministrative: non fermarsi al singolo link
Impostare un default più restrittivo
Se il tenant consente i link Anyone, non significa che debbano essere il default. Una baseline ragionevole consiste nel proporre per impostazione predefinita Persone specifiche o, per scenari principalmente interni, Persone nell’organizzazione. L’utente deve compiere una scelta esplicita quando vuole usare un link anonimo.
Governare la condivisione a livello tenant e sito
La condivisione esterna va definita sia a livello di organizzazione sia per i singoli siti. Un sito che contiene dati riservati può avere la condivisione esterna disabilitata anche se il tenant la consente. Per siti dedicati a clienti o partner, invece, è possibile applicare una policy più aperta ma controllata.
Limitare chi può condividere e con quali domini
SharePoint consente di limitare la condivisione a domini approvati o bloccati e di riservare la condivisione esterna a gruppi di sicurezza specifici. Questo riduce il rischio che qualsiasi utente possa creare condivisioni verso destinatari non previsti.
Coordinare SharePoint con Microsoft Entra ID
Le impostazioni di collaborazione esterna di Microsoft Entra ID influenzano chi può invitare guest e, in determinati scenari B2B, la condivisione di file e cartelle. SharePoint e identità non vanno quindi configurati come due domini indipendenti.
Proteggere l’accesso da dispositivi non gestiti
Per siti con informazioni sensibili è possibile bloccare o limitare l’accesso da dispositivi non gestiti tramite Microsoft Entra Conditional Access, impostazioni di SharePoint e sensitivity label applicate ai siti. In scenari ad alto rischio è possibile anche impedire download, stampa o sincronizzazione e lasciare l’accesso browser-only.
Usare classificazione, sensitivity label e DLP
Il tipo di link non deve essere l’unico controllo. Microsoft Purview può contribuire a impedire la condivisione inappropriata di informazioni sensibili, mentre le sensitivity label possono governare condivisione esterna e accesso da dispositivi non gestiti su siti e gruppi.
Monitorare la condivisione nel tempo
La governance non termina quando il link viene creato. È necessario riesaminare periodicamente guest, permessi e link ad ampia diffusione. I report di Data Access Governance possono evidenziare siti con un uso elevato di link Anyone, link rivolti all’intera organizzazione e link Specific people condivisi esternamente.
Condivisione SharePoint e migrazione documentale sono due problemi diversi
Se l’obiettivo è spostare file server o repository locali nel cloud, questa pagina non deve diventare una guida di migrazione. Il processo tecnico è descritto nella guida alla migrazione dei documenti verso SharePoint. Dopo la migrazione, la governance di link, guest e permessi diventa invece una fase operativa separata e continuativa.
Checklist rapida per una condivisione SharePoint più sicura
- Imposta un tipo di link predefinito coerente con il livello di rischio aziendale.
- Usa Specific people per la maggior parte delle condivisioni esterne con destinatari identificabili.
- Consenti Anyone solo dove esiste un requisito reale di condivisione non autenticata.
- Imposta una scadenza massima per i link Anyone e limita i permessi quando possibile.
- Definisci siti separati per contenuti che non devono mai essere condivisi esternamente.
- Applica restrizioni di dominio e, se utile, consenti la condivisione esterna solo a gruppi autorizzati.
- Allinea SharePoint con Entra B2B e Conditional Access.
- Valuta sensitivity label, DLP e controlli per dispositivi non gestiti sui dati sensibili.
- Riesamina periodicamente guest, link e permessi non più necessari.
Approfondire amministrazione e sicurezza di SharePoint Online
Per chi gestisce direttamente siti, permessi, accesso esterno e PowerShell, il Corso Amministrazione di Microsoft SharePoint Online approfondisce configurazione, sicurezza e condivisione dal punto di vista dell’IT administrator.
Serve verificare la condivisione del tenant Microsoft 365?
Una revisione efficace non considera soltanto i link già creati: deve verificare impostazioni tenant, siti, guest, Entra ID, accesso condizionale, classificazione dei dati e audit. Il Microsoft 365 Security Assessment di Nexsys consente di analizzare la postura del tenant e definire una remediation prioritaria.
Richiedi una verifica della sicurezza e della condivisione Microsoft 365.
FAQ
Qual è il link SharePoint più sicuro per condividere con un esterno?
Per una persona o un gruppo identificabile, “Persone specifiche” è normalmente la scelta più restrittiva perché richiede autenticazione e il link non funziona per destinatari diversi da quelli indicati.
Un link “Chiunque” richiede l’accesso con un account Microsoft?
No. I link Anyone sono progettati per l’accesso non autenticato. Per questo vanno limitati ai contenuti adatti a essere condivisi senza identificare il destinatario.
“Persone nell’organizzazione” significa che il file è visibile a tutta l’azienda?
Non automaticamente. Il destinatario deve possedere e usare il link, ma il collegamento può essere inoltrato e funzionare per altri membri del tenant.
Cosa fa “Persone con accesso esistente”?
Genera un collegamento per persone che possiedono già i permessi sul contenuto e non deve essere usato per estendere l’accesso a nuovi destinatari.
È possibile bloccare il download da SharePoint?
Sì, in scenari supportati è possibile applicare controlli a livello di sito e accesso browser-only, anche tramite policy specifiche o Conditional Access, tenendo conto del licensing e dell’impatto operativo.