Discussions Información general
Muchas soluciones de SharePoint Framework declaran permisos de Microsoft Graph que un administrador del inquilino debe aprobar en Acceso a la API, en el centro de administración de SharePoint. Discussions no lo hace. El paquete declara cero solicitudes de permisos de API, no registra ninguna aplicación en Microsoft Entra ID y no muestra ningún aviso de consentimiento a usuarios ni administradores. Todas las operaciones de los elementos web, como leer y escribir foros, temas, respuestas, suscripciones, adjuntos e imágenes y buscar personas para @menciones, utilizan las API de SharePoint (REST y CSOM) del sitio donde reside el foro, en nombre del usuario que ha iniciado sesión.
Este artículo recoge estos hechos para la revisión de seguridad, explica qué ve y qué no ve el administrador durante la instalación y enumera los pocos datos que salen del inquilino.
El importador de foros clásicos puede leer otro sitio del mismo inquilino. Restaura autores y fechas originales mediante SharePoint CSOM; las demás operaciones de contenido utilizan REST. Todas estas llamadas usan los permisos del usuario que ha iniciado sesión.
Resumen para revisores
| Pregunta | Respuesta |
|---|---|
| ¿Solicita el paquete permisos de Microsoft Graph? | Ninguno |
| ¿Otros permisos de API, como Azure DevOps o API personalizadas? | Ninguno |
| ¿Entradas en Acceso a la API después de implementar? | Ninguna; no hay nada que aprobar o rechazar |
| ¿Registro de aplicación o entidad de servicio propios en Microsoft Entra? | Ninguno |
| ¿Avisos de consentimiento del administrador o del usuario? | Ninguno |
| ¿Identidad utilizada para acceder a los datos? | El usuario que ha iniciado sesión, en cada solicitud |
| ¿API invocadas? | Solo las API de SharePoint (REST y CSOM) de los sitios de SharePoint |
| ¿Permisos de aplicación (app-only), cuentas de servicio o credenciales guardadas? | Ninguno |
| ¿Contenido enviado a Vitextra o a terceros? | Ninguno; solo comprobación de licencia y telemetría de uso con identificadores técnicos |
| ¿Se requieren scripts personalizados en el sitio? | No |
Qué invoca la solución
Los elementos web utilizan el cliente HTTP de SharePoint Framework, que envía cada solicitud con la identidad del usuario actual. SharePoint aplica sus permisos a cada llamada, igual que en las vistas de lista de Contenido del sitio. Se utilizan los siguientes puntos de conexión:
- Listas y elementos de lista del sitio actual: para localizar las listas de Discussions por sus columnas marcadoras, crearlas en el primer uso (esa operación requiere Administrar listas) y leer y escribir foros, temas, respuestas, suscripciones, «me gusta», reportes y estados de aprobación.
- Archivos adjuntos de elementos de lista: archivos adjuntos a temas y respuestas.
- Archivos y carpetas de la biblioteca de documentos
Discussions Assets: imágenes insertadas en el editor de texto enriquecido. - El servicio de selección de personas de SharePoint: sugerencias después de escribir
@y resolución de la persona elegida como usuario del sitio. Es el mismo servicio que utiliza el selector estándar de SharePoint; no llama a Microsoft Graph. - La lista de información de usuarios del sitio: nombres de autores e identificador del usuario actual.
No se envían solicitudes a Microsoft Graph, Exchange, Teams ni a otros servicios de Microsoft 365, y el elemento web no envía correos. La lista completa de listas y columnas está en KB10411. Dónde almacena Discussions sus datos: listas, columnas y privacidad.
📝 Nota
Como se aplican los permisos del propio usuario, el elemento web no puede mostrarle más de lo que SharePoint le mostraría en las listas: los lectores ven temas aprobados, los moderadores ven los pendientes y los invitados ven lo que permiten sus permisos del sitio. El modelo de roles se describe en KB10408. Permisos en Discussions: quién puede leer, publicar y moderar.
Qué ve el administrador durante la instalación
1. El paquete vitextra.discussions.sppkg se carga en el catálogo de aplicaciones del inquilino o de una colección de sitios y se habilita con Habilitar aplicación. El cuadro de diálogo muestra el dominio desde el que se cargan los scripts y ofrece Agregar a todos los sitios; no incluye una sección de permisos porque el paquete no declara ninguno.
2. Acceso a la API (Centro de administración de SharePoint → Opciones avanzadas → Acceso a la API) no cambia: no aparece ninguna solicitud de Vitextra Discussions en Solicitudes pendientes y no hay nada que aprobar. Si su organización lleva un registro de permisos de API aprobados, la entrada de Discussions es simplemente «ninguno solicitado».
3. El elemento web se agrega a una página como cualquier otro y el primer usuario con Administrar listas crea el foro. Los usuarios nunca ven un cuadro de consentimiento.
La instalación y la actualización siguen los mismos pasos que cualquier producto de Vitextra: KB10035. Cómo instalar un producto Vitextra en SharePoint Online, KB10050. Cómo actualizar una solución SPFx de Vitextra en SharePoint Online y KB10361. Catálogo de aplicaciones del inquilino frente al de colección de sitios: dónde implementar las aplicaciones de Vitextra. El procedimiento general para paquetes que sí solicitan permisos está en KB10360. Cómo aprobar los permisos de la API de Microsoft Graph para las soluciones de Vitextra en el centro de administración de SharePoint; Discussions no necesita ese artículo.
❗ Importante
Si después de una actualización aparece una solicitud de Vitextra Discussions en Acceso a la API, procede de una versión nueva que la declara; las notas de esa versión lo indicarán. La versión 26.10.2 no declara ninguna.
La aplicación de Microsoft Teams
El paquete de aplicación de Teams que genera el catálogo para la pestaña y la aplicación personal tampoco declara ámbitos de Microsoft Graph. Su manifiesto solo hace referencia a SharePoint Online, mediante el mecanismo estándar con el que una pestaña SPFx inicia la sesión del usuario en el sitio de equipo, y a los dominios habituales de inicio de sesión de SharePoint y Microsoft 365. Por ello, la aplicación no muestra permisos de API que conceder en el centro de administración de Teams. Para agregarla a Teams, consulte KB10393. Cómo añadir Discussions a Microsoft Teams.
Qué sale del inquilino
| Finalidad | Qué se envía | Destino |
|---|---|---|
| Archivos del producto | Una solicitud normal del navegador para obtener los scripts e iconos de los elementos web | static.vitextra.com |
| Comprobación de licencia | El identificador del inquilino, el identificador de objeto del usuario, la dirección del sitio y el identificador, nombre y versión del producto | vitextra.com |
| Telemetría de uso | Un evento al cargar el elemento web (producto y versión, identificador y dirección del sitio, identificador de objeto del usuario, idioma de la interfaz y si se ejecuta en Teams) y detalles técnicos de errores | Azure Application Insights |
No se envían temas, respuestas, adjuntos, imágenes, suscripciones ni listas de usuarios a Vitextra ni a terceros. El resumen para todos los productos de Vitextra, incluida la residencia de datos y el RGPD, está en KB10363. Dónde almacenan sus datos los productos de Vitextra: privacidad, residencia de datos y RGPD.
Dónde se concede el permiso de correo
Discussions no envía correos por diseño, por lo que no necesita Mail.Send ni un permiso de aplicación para enviar en nombre de un buzón. El elemento web mantiene Discussions Subscriptions y la columna Menciones; la entrega corresponde a un flujo de Power Automate que el propietario del sitio configura en su propio entorno. El flujo utiliza las conexiones de quien lo crea: SharePoint para leer las listas y Office 365 Outlook o un buzón compartido para enviar. El consentimiento para esas conexiones se concede en Power Automate, bajo las directivas de gobierno que su organización ya aplica a los flujos. El contrato entre las listas y el flujo se describe en KB10414. Cómo funcionan las notificaciones en Discussions: suscripciones, menciones y Power Automate.
💡 Consejo
Para el cuestionario de seguridad: «La solución es un paquete de SharePoint Framework que no declara solicitudes de permisos de API, no tiene una aplicación propia de Entra ID, solo llama a las API de SharePoint (REST y CSOM) de los sitios de SharePoint correspondientes con la identidad delegada del usuario que ha iniciado sesión, guarda todo el contenido en listas de ese sitio y solo envía al proveedor identificadores de licencia y telemetría». Cada afirmación puede verificarse en el catálogo de aplicaciones, en Acceso a la API y en el registro de red del navegador.
