Para equipos de seguridad · 20 minutos

Implementa PhishTriage con políticas del navegador

Instala la extensión PhishTriage en navegadores Chrome, Edge y Firefox administrados, define o bloquea su configuración y une cada navegador a tu equipo con una clave de inscripción, sin que nadie tenga que iniciar sesión.

Antes de empezar

• Un equipo. Crea uno en el portal y sé su persona propietaria; solo las personas propietarias pueden crear claves de inscripción. Consulta Configura PhishTriage para un equipo.
• La versión. Las tiendas de los navegadores ofrecen la versión 1.0.0. Todas las opciones de configuración de más abajo funcionan en esa versión, salvo que su fila diga otra cosa.
• El orden. PhishTriage lee la clave de inscripción cuando se registra, lo que hace en cuanto se instala, y de nuevo cuando alguien hace clic en el botón Sign out o en Leave team. Pon la clave en la política antes de que PhishTriage se instale en un navegador: un navegador que ya se ha registrado no lee una clave agregada más tarde. En Chrome y Edge puede que ni siquiera eso baste, porque un navegador puede entregar a una extensión su configuración un momento después de instalarla, y un navegador que se registra en ese intervalo se queda fuera del equipo. Eso es una posibilidad, no un fallo confirmado, así que prueba con un navegador por cada vía por la que entregues la política antes de pasar a toda la flota. Consulta Navegadores que ya tenían PhishTriage.
• Forzar un interruptor no es conceder un permiso. Background protection, Send full URLs y File protection, activadas de forma forzada mediante política, solo se ejecutan en los navegadores donde se ha aceptado el permiso que necesitan, y PhishTriage no lo solicita. Lee la regla de los permisos antes de forzar cualquiera de ellas.
• Firefox 142 o posterior. Es el mínimo de PhishTriage, así que Firefox ESR 140 no puede ejecutarla.
• Una pestaña de bienvenida. En su primera instalación, PhishTriage abre su página de bienvenida en una pestaña nueva, en todos los navegadores. Avisa a las personas antes de la implementación.
• Muchos navegadores detrás de una misma dirección. Los registros están limitados a 10 por hora desde una misma dirección de red. En una oficina donde muchos dispositivos comparten una misma dirección de Internet, el resto espera: un navegador cuyo registro se rechazó se registra y se une al equipo la próxima vez que alguien haga clic en el botón Analyze o en el botón Log in en ese navegador. Implementa por tandas si necesitas que todos los navegadores estén en el equipo a la vez.
• No se trata aquí: Brave y otros navegadores basados en Chromium, y Safari (consulta Safari).

Lo que puedes definir mediante política

Estas son las opciones de configuración propias de PhishTriage, entregadas como la configuración administrada de la extensión (cómo, por navegador, está en Configura la extensión). Omite una clave para que cada persona decida. Cuando una clave tiene un interruptor, un valor definido se impone a la opción de la persona en ambos sentidos: true fuerza su activación, false fuerza su desactivación, y en ambos casos el interruptor queda bloqueado y marcado como Managed (administrado) en la configuración de PhishTriage. Una cadena vacía cuenta como no definida. Escribe true y false como booleanos, no como texto entre comillas, y todas las direcciones con https://.

Cuando están definidas proxyUrl, trackDomains, trackVisits o cacheDomainVisits, la sección Settings (configuración) de PhishTriage también muestra el aviso «Some settings are managed by your organization and can’t be changed here». Lo que envía cada interruptor, adónde va y cuánto tiempo se conserva está en Manejo de datos.

Elige tu configuración

Parte del fragmento del portal, que contiene solo proxyUrl y enrolmentToken. Es solo configuración: la política de instalación forzada, más abajo, es la que instala PhishTriage. Con la instalación forzada, y con el fragmento en la política antes que ella, cada navegador se une a tu equipo cuando PhishTriage se instala en él, y todos los interruptores se dejan a criterio de la persona que lo usa. Después, decide cada una de estas opciones de forma deliberada:

• trackVisits: omítela. Si se activa de forma forzada, la dirección completa de cada página que abre cada persona va al backend y se almacena allí: términos de búsqueda, enlaces a documentos compartidos y cualquier token que un sitio lleve en sus direcciones. trackDomains envía solo el nombre del sitio. El portal ofrece agregarla al fragmento con la casilla Force full-URL visit tracking on every device, bajo la advertencia «Overrides each person’s own setting, and they cannot turn it off. The extension then sends the full address of every page they visit». Deja la casilla sin marcar. Para asegurarte de que nadie la active, defínela en false en lugar de true.
• trackDomains: decisión de tu organización. Activada, muestra una advertencia que cubre toda la página en un sitio marcado como peligroso y envía el nombre de cada sitio que visitan las personas. Lee la regla de los permisos antes de activarla de forma forzada.
• evidenceCapture: activada, salvo que definas false. Las capturas pueden mostrar lo que había en pantalla, incluido cualquier texto escrito que siga visible; consulta Manejo de datos.
• File protection (fileProtection, fileBlocking, deepScanAlways): decisión de tu organización, con la misma regla de permisos. La compilación de la tienda de Firefox no ofrece ningún interruptor File protection, así que no cuentes con File protection allí.
• proxyUrl y filescanUrl: deja los valores predeterminados, salvo que ejecutes tu propio backend (se ofrece con el plan Empresa, a solicitud).

Instala la extensión de forma forzada

La copia de PhishTriage de cada tienda tiene su propio ID. Usa la copia de la tienda propia del navegador y usa el mismo ID para su configuración.

Las tres son fichas de tienda, así que los dispositivos no necesitan estar unidos a un dominio. Chrome y Edge restringen la instalación forzada de extensiones procedentes de fuera de su propia tienda a dispositivos unidos a un dominio o administrados; esa es una razón más para dar a Edge la copia de Edge Add-ons.

Chrome

Usa una de las dos políticas, no ambas: ExtensionSettings anula ExtensionInstallForcelist para la misma extensión. Cualquiera de las dos instala PhishTriage sin preguntar e impide que las personas la quiten o la desactiven. Google documenta, para ExtensionInstallForcelist, que quitar una extensión de la lista la desinstala y que la lista no se aplica en el modo incógnito.

ExtensionInstallForcelist es una lista; la entrada de PhishTriage es:

gjlaknelkbocikcnjebmigaeenagdapl;https://clients2.google.com/service/update2/crx

ExtensionSettings contiene una entrada por extensión. Si ya la tienes definida, agrega la entrada de PhishTriage a tu valor existente en lugar de reemplazarlo:

{
  "gjlaknelkbocikcnjebmigaeenagdapl": {
    "installation_mode": "force_installed",
    "update_url": "https://clients2.google.com/service/update2/crx"
  }
}

Si quieres, agrega "toolbar_pin": "force_pinned" a la entrada para mantener el icono de PhishTriage en la barra de herramientas.

• Windows, directiva de grupo (Group Policy) (con las plantillas de Chrome de Google): Administrative Templates → Google → Google Chrome → Extensions → «Configure the list of force-installed apps and extensions», o «Extension management settings» para ExtensionSettings, que toma el JSON en una sola línea.
• Registro de Windows: en HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionInstallForcelist, un valor de cadena cuyo nombre es el siguiente número libre (1, 2, …) y que contiene la entrada anterior. No reutilices un número que ya use otra extensión: reemplazar su entrada la desinstala. O un único valor de cadena, ExtensionSettings, en HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome, que contiene el JSON en una sola línea:

  {"gjlaknelkbocikcnjebmigaeenagdapl":{"installation_mode":"force_installed","update_url":"https://clients2.google.com/service/update2/crx"}}

• macOS: un perfil de configuración para el dominio de preferencias com.google.Chrome, desde tu herramienta de administración de dispositivos, con:

  <key>ExtensionSettings</key>
  <dict>
    <key>gjlaknelkbocikcnjebmigaeenagdapl</key>
    <dict>
      <key>installation_mode</key>
      <string>force_installed</string>
      <key>update_url</key>
      <string>https://clients2.google.com/service/update2/crx</string>
    </dict>
  </dict>

• Linux: un archivo JSON a tu elección en /etc/opt/chrome/policies/managed/, que contenga {"ExtensionSettings": …} con la entrada anterior. El mismo archivo puede contener la configuración de PhishTriage; consulta Configura la extensión.
• Google Admin console (consola de administración de Google; para navegadores inscritos en Chrome Enterprise Core, o personas con sesión iniciada con una cuenta de Google administrada): Menu → Devices → Chrome → Apps & extensions (con Chrome Enterprise Core: Menu → Chrome browser → Apps & extensions) → Users & browsers. Elige la unidad organizativa o el grupo, agrega PhishTriage desde Chrome Web Store o por su ID y define Installation policy en Force install o en Force install + pin to browser toolbar.

Edge

Las mismas dos políticas, con los nombres y las rutas de Edge. Microsoft documenta, para ExtensionInstallForcelist, que instala PhishTriage sin preguntar, impide que las personas la quiten o la desactiven, la desinstala si la quitas de la lista y no se aplica en InPrivate. Su entrada:

cgohfopcndeliihonajifpfibocendjn;https://edge.microsoft.com/extensionwebstorebase/v1/crx

O para ExtensionSettings, agregada a cualquier valor que ya tengas:

{"cgohfopcndeliihonajifpfibocendjn":{"installation_mode":"force_installed","update_url":"https://edge.microsoft.com/extensionwebstorebase/v1/crx"}}

• Windows, directiva de grupo (MSEdge.admx): Administrative Templates → Microsoft Edge → Extensions → «Control which extensions are installed silently» (ExtensionInstallForcelist), o «Configure extension management settings» (ExtensionSettings).
• Registro de Windows: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallForcelist, un valor de cadena cuyo nombre es el siguiente número libre y que contiene la entrada. O el valor de cadena ExtensionSettings en HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge, que contiene el JSON.
• Intune, Windows: Devices → Configuration → Create → plataforma Windows 10 and later, tipo de perfil Settings catalog. En Add settings, busca «Control which extensions are installed silently» en la categoría Microsoft Edge, habilítala y agrega la entrada. Microsoft lo trata como equivalente a la directiva de grupo.
• macOS: el dominio de preferencias com.microsoft.Edge. En Intune, un perfil de configuración de dispositivo de macOS de tipo Preference file para ese dominio, en el que se sube un plist que contiene solo la clave y su valor; en Jamf, una carga útil Custom Settings:

  <key>ExtensionInstallForcelist</key>
  <array>
    <string>cgohfopcndeliihonajifpfibocendjn;https://edge.microsoft.com/extensionwebstorebase/v1/crx</string>
  </array>

Firefox

Firefox toma ExtensionSettings en su propio archivo de políticas, policies.json, con el ID de PhishTriage como clave. force_installed la instala e impide que se quite:

{
  "policies": {
    "ExtensionSettings": {
      "phishtriage@phishtriage.com": {
        "installation_mode": "force_installed",
        "install_url": "https://addons.mozilla.org/firefox/downloads/latest/phishtriage@phishtriage.com/latest.xpi"
      }
    }
  }
}

• Conserva install_url. Firefox 153 y posteriores pueden prescindir de ella para una extensión de Firefox Add-ons; Firefox 142 a 152 la necesitan.
• Dónde va el archivo: en Windows, en una carpeta llamada distribution junto al archivo de programa de Firefox; en macOS, en Firefox.app/Contents/Resources/distribution; en Linux, en distribution dentro de la carpeta de instalación de Firefox, o para todo el sistema en /etc/firefox/policies. Guárdalo en UTF-8.
• Firefox en Flatpak no puede leer /etc/firefox/policies. Coloca el archivo en /var/lib/flatpak/extension/org.mozilla.firefox.systemconfig/<arch>/<branch>/policies/policies.json (por ejemplo x86_64 y stable).
• Windows, directiva de grupo: con las plantillas de Firefox de Mozilla, la misma política es el valor de registro de cadena múltiple ExtensionSettings en SOFTWARE\Policies\Mozilla\Firefox, que contiene el JSON sin el objeto exterior "policies".
• Perfil de macOS: el dominio de preferencias org.mozilla.firefox, que solo funciona con EnterprisePoliciesEnabled establecido en true. El ejemplo completo está en Configura la extensión.

Configura la extensión

Parte del fragmento que muestra el portal cuando creas una clave de inscripción (consulta Une navegadores a tu equipo). Con tu clave en lugar del marcador de posición, es:

{
  "proxyUrl": "https://api.phishtriage.com",
  "enrolmentToken": "YOUR-ENROLMENT-KEY"
}

Estas claves son de PhishTriage, no del navegador, así que cada navegador las toma en un lugar reservado para la configuración de una sola extensión, con el mismo ID con el que forzaste la instalación. Agrega junto a ellas cualquier otra clave de la tabla. Entrégalas con la misma herramienta de administración que la instalación forzada, a los mismos navegadores, y antes de la instalación forzada, porque PhishTriage lee la clave de inscripción cuando se registra, justo después de instalarse (consulta Navegadores que ya tenían PhishTriage).

Chrome

• Windows: la clave del Registro HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\3rdparty\extensions\gjlaknelkbocikcnjebmigaeenagdapl\policy, con un valor por cada opción de configuración: el texto como un valor de cadena, y true o false como un DWORD de 1 o 0. Como archivo .reg:

  Windows Registry Editor Version 5.00
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\3rdparty\extensions\gjlaknelkbocikcnjebmigaeenagdapl\policy]
  "proxyUrl"="https://api.phishtriage.com"
  "enrolmentToken"="YOUR-ENROLMENT-KEY"

  Distribuye estos valores con lo que ya uses para definir valores del Registro en dispositivos administrados.
• macOS: el dominio de preferencias com.google.Chrome.extensions.gjlaknelkbocikcnjebmigaeenagdapl, en un perfil de configuración cuya carga útil de preferencias (com.apple.ManagedClient.preferences) apunte a ese dominio. Sus claves son las opciones de configuración de PhishTriage, tal cual:

  <key>proxyUrl</key>
  <string>https://api.phishtriage.com</string>
  <key>enrolmentToken</key>
  <string>YOUR-ENROLMENT-KEY</string>

  Un interruptor es <true/> o <false/>. Un .plist sencillo importado con dscl tiene otra estructura: allí cada valor va envuelto en claves state y value.
• Linux: en la misma carpeta que la instalación forzada, /etc/opt/chrome/policies/managed/, bajo 3rdparty → extensions → el ID. Un solo archivo puede contener ambas cosas:

  {
    "ExtensionSettings": {
      "gjlaknelkbocikcnjebmigaeenagdapl": {
        "installation_mode": "force_installed",
        "update_url": "https://clients2.google.com/service/update2/crx"
      }
    },
    "3rdparty": {
      "extensions": {
        "gjlaknelkbocikcnjebmigaeenagdapl": {
          "proxyUrl": "https://api.phishtriage.com",
          "enrolmentToken": "YOUR-ENROLMENT-KEY"
        }
      }
    }
  }

• Google Admin console: en la entrada de PhishTriage de Apps & extensions, Users & browsers, el campo Policy for extensions acepta JSON. Según la documentación de administración de Chromium, su formato es cada opción de configuración envuelta en un objeto con un miembro Value; la página de ayuda de Google no muestra ningún formato, así que confírmalo en un navegador de prueba en chrome://policy:

  {
    "proxyUrl": { "Value": "https://api.phishtriage.com" },
    "enrolmentToken": { "Value": "YOUR-ENROLMENT-KEY" }
  }

Edge

El portal rotula su fragmento «Managed policy (Chrome/Edge):», pero la documentación de Edge de Microsoft no dice dónde va la configuración propia de una extensión. El personal de soporte de Microsoft ha dado la estructura de Chromium bajo la clave de políticas de Edge. Pruébala en un dispositivo y verifícala como se describe en Verifica que funcionó antes de implementarla:

• Windows: la clave del Registro HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge\3rdparty\extensions\cgohfopcndeliihonajifpfibocendjn\policy, con los mismos valores que para Chrome.
• macOS: el dominio de preferencias com.microsoft.Edge.extensions.cgohfopcndeliihonajifpfibocendjn, con las mismas claves que para Chrome.

Firefox

En policies.json, bajo 3rdparty → Extensions (con E mayúscula) → el ID de PhishTriage, junto a la instalación forzada:

{
  "policies": {
    "ExtensionSettings": {
      "phishtriage@phishtriage.com": {
        "installation_mode": "force_installed",
        "install_url": "https://addons.mozilla.org/firefox/downloads/latest/phishtriage@phishtriage.com/latest.xpi"
      }
    },
    "3rdparty": {
      "Extensions": {
        "phishtriage@phishtriage.com": {
          "proxyUrl": "https://api.phishtriage.com",
          "enrolmentToken": "YOUR-ENROLMENT-KEY"
        }
      }
    }
  }
}

• Windows: Mozilla dice que, para definir la configuración de una extensión mediante directiva de grupo o Intune, hace falta una plantilla administrativa del autor de la extensión. PhishTriage no tiene ninguna, así que en Windows también usa policies.json.
• macOS: en el perfil org.mozilla.firefox, junto a EnterprisePoliciesEnabled:

  <key>EnterprisePoliciesEnabled</key>
  <true/>
  <key>ExtensionSettings</key>
  <dict>
    <key>phishtriage@phishtriage.com</key>
    <dict>
      <key>installation_mode</key>
      <string>force_installed</string>
      <key>install_url</key>
      <string>https://addons.mozilla.org/firefox/downloads/latest/phishtriage@phishtriage.com/latest.xpi</string>
    </dict>
  </dict>
  <key>3rdparty</key>
  <dict>
    <key>Extensions</key>
    <dict>
      <key>phishtriage@phishtriage.com</key>
      <dict>
        <key>proxyUrl</key>
        <string>https://api.phishtriage.com</string>
        <key>enrolmentToken</key>
        <string>YOUR-ENROLMENT-KEY</string>
      </dict>
    </dict>
  </dict>

Une navegadores a tu equipo

1. En el portal de https://portal.phishtriage.com, abre Team y luego la pestaña Devices. Al final está la sección Enrolment keys (claves de inscripción). Haz clic en el botón New key.

2. Ponle a la clave una etiqueta, por ejemplo «Implementación de Finanzas». Si quieres, define un número máximo de usos y una caducidad de 1 a 365 días; si dejas esos campos en blanco, la clave no tiene ni límite de usos ni caducidad. Si defines un máximo, lee más abajo cómo dimensionarlo. Haz clic en el botón Create key.

3. El portal muestra «Enrolment key created» y la clave, con «Copy it now — it is stored hashed and will not be shown again». Cópiala. Debajo, en «Managed policy (Chrome/Edge):», está el fragmento con proxyUrl definido como https://api.phishtriage.com y enrolmentToken definido como la clave. Deja sin marcar Force full-URL visit tracking on every device (consulta Elige tu configuración).

4. Pon las claves del fragmento en tu política, como se explica en Configura la extensión; las mismas claves sirven para Firefox.

5. Implementa primero la política en los navegadores y después la instalación forzada. Cada navegador se une al equipo cuando PhishTriage se registra por primera vez, justo después de instalarse allí, si para entonces ya tiene la clave. Nadie inicia sesión y no se recopila ninguna dirección de correo electrónico.

• Cualquier persona que pueda ver la política de navegador de un dispositivo puede leer la clave. Está en el almacén de políticas de todos los navegadores en los que la implementes, y Chrome muestra la configuración de una extensión, esta incluida, en chrome://policy. Quien la tenga puede unir un navegador a tu equipo hasta que caduque, se agote o se revoque. Trátala como el resto de la configuración de tu implementación: define una caducidad y un número máximo de usos, dimensionado como se indica más abajo, y revoca la clave cuando termine la implementación. Los navegadores que ya se inscribieron con ella siguen en el equipo.
• Dimensiona el número máximo de usos con margen. Cada registro con la clave consume un uso y agrega un dispositivo a la pestaña Devices; un registro que la clave rechaza no consume ninguno. Un navegador vuelve a registrarse cuando alguien hace clic en Leave team o en Sign out en PhishTriage, y cuando PhishTriage se quita y se instala de nuevo; cada perfil de navegador cuenta como un navegador propio. El dispositivo al que sustituye ese registro se queda en la lista, sin usarse. Tenlo en cuenta o deja el máximo en blanco y confía en la caducidad.
• Una clave compartida por implementación. Cada dispositivo de la pestaña Devices muestra la etiqueta de la clave con la que se unió. El portal advierte de que una clave de un solo uso identifica a un único dispositivo, así que las claves emitidas una por persona hacen que sus etiquetas identifiquen a personas concretas.
• La lista de claves muestra la etiqueta, los usos, los dispositivos, la caducidad y el estado de cada clave: active, revoked, expired o exhausted. El botón Revoke rechaza nuevas inscripciones solo con esa clave. Los navegadores que ya se inscribieron con ella siguen en el equipo. No se puede deshacer.
• Lo que ve el equipo de estos navegadores depende del modo de informes del equipo, como con cualquier otro dispositivo; consulta Configura PhishTriage para un equipo.

Navegadores que ya tenían PhishTriage

PhishTriage lee la clave cuando se registra: justo después de instalarse y de nuevo cuando alguien hace clic en el botón Sign out o en Leave team. Un navegador que ya está registrado no lee una clave que agregues a la política más tarde, así que se queda fuera del equipo. Lo mismo ocurre con un navegador que se registró cuando la clave era incorrecta, había caducado, estaba revocada o agotada, y que no lo vuelve a intentar cuando corriges la clave. Un navegador Chrome o Edge que se registra antes de que le llegue su configuración puede estar en la misma situación.

La forma fiable de incorporar un navegador así es quitar PhishTriage e instalarla de nuevo, con la clave ya en la política. La instalación nueva se registra otra vez, esta vez con la clave, y lo que PhishTriage había guardado en ese dispositivo desaparece. Hazlo primero en un navegador. Quitar PhishTriage también quita los permisos del navegador que las personas habían aceptado para ella. Tras la reinstalación, una función que activaste de forma forzada mediante política no se ejecuta en ese navegador hasta que se vuelve a aceptar el permiso, y su interruptor bloqueado no puede pedirlo: usa el orden que se indica en la regla de los permisos. Sign out y Leave team, más abajo, conservan los permisos.

• Chrome y Edge: deja de instalar PhishTriage de forma forzada: quítala de ExtensionInstallForcelist, o define el installation_mode de su entrada de ExtensionSettings en removed. Espera a que el navegador la haya desinstalado, asegúrate de que la configuración con la clave esté en su sitio y, después, vuelve a poner la instalación forzada.
• Firefox: define el installation_mode de la entrada en blocked, que Mozilla documenta como el modo que quita una extensión ya instalada, y reinicia Firefox. Después vuelve a definirlo en force_installed, con la clave ya bajo 3rdparty, y reinicia de nuevo.
• Sin reinstalar: si la fila de la cuenta de PhishTriage, en la sección Settings, ofrece el botón Sign out o Leave team, hacer clic en uno de ellos registra el navegador de nuevo al instante, esta vez con la clave. Si la fila dice «Not signed in», no existe ese botón. Puedes invitar a la persona y hacer que haga clic en el botón Log in (consulta Configura PhishTriage para un equipo), lo que une el navegador con su cuenta en lugar de con la clave.

Si nada de esto encaja con la forma en que administras tus navegadores, escribe a support@phishtriage.com.

En un navegador inscrito con una clave, el botón Leave team lo registra de nuevo al instante, así que vuelve a unirse al equipo mientras la clave siga siendo válida. Eso consume otro uso de la clave y agrega un nuevo dispositivo a la pestaña Devices; el anterior se queda en la lista.

La regla de los permisos

• Qué permiso. Background protection (trackDomains) y Send full URLs (trackVisits) necesitan webNavigation. File protection (fileProtection) necesita downloads. Cada una de las tres necesita además acceso a todos los sitios. Background protection y Send full URLs comparten una misma concesión: una vez que alguien la ha aceptado para una de ellas, cubre a ambas. Forzar el valor false en cualquiera de las tres no necesita ningún permiso.
• De dónde viene la solicitud de permiso. PhishTriage pide el permiso solo cuando alguien activa el interruptor, en su configuración o en su página de bienvenida. Un interruptor bloqueado por política no se puede activar, así que, en un navegador al que nunca se ha concedido el permiso, nada lo solicita.
• Un orden que funciona para Background protection y File protection. Deja trackDomains o fileProtection fuera de la política al principio y pide a las personas que activen la función ellas mismas, aceptando la solicitud del navegador. Después define la clave en true para que la función quede activada y bloqueada. Desactivar un interruptor en PhishTriage no devuelve el permiso, así que un bloqueo posterior lo encuentra concedido.
• Send full URLs no forma parte de ese orden. Esta página recomienda dejar trackVisits fuera (consulta Elige tu configuración). Como comparte la concesión de Background protection, activarla de forma forzada donde alguien ya ha aceptado esa solicitud empieza a enviar direcciones completas al instante, sin ninguna solicitud propia.
• No afectadas: evidenceCapture, cacheDomainVisits, enrolmentToken, proxyUrl, filescanUrl y feedbackUpload no necesitan ningún permiso adicional. fileBlocking y deepScanAlways solo actúan cuando File protection se ejecuta.

Verifica que funcionó

Prueba en un navegador de cada tipo, por cada vía por la que entregues la política, antes de pasar a toda la flota. Prueba en un navegador que nunca haya tenido PhishTriage: uno que ya la tiene no lee una clave nueva.

• Chrome: abre chrome://policy, haz clic en Reload policies, marca Show policies with no value set y verifica que ExtensionInstallForcelist o ExtensionSettings tenga el estado OK. Las extensiones con configuración administrada también aparecen allí, con los valores que Chrome recibió para ellas. Un cambio puede requerir reiniciar Chrome.
• Edge: abre edge://policy para ver las políticas aplicadas. Cierra y vuelve a abrir Edge si estaba abierto cuando cambió la política; tras un cambio de directiva de grupo, ejecuta antes gpupdate /force. Microsoft no dice si la configuración propia de una extensión aparece allí, así que verifica PhishTriage en sí, como se indica a continuación.
• Firefox: reinicia Firefox, abre about:policies y verifica que ExtensionSettings y 3rdparty estén activos y que no aparezca ningún error.
• En PhishTriage: haz clic en su icono y luego en el botón Settings. Con el fragmento del portal en su sitio, aparece el aviso «Some settings are managed by your organization and can’t be changed here» y Advanced, Backend muestra https://api.phishtriage.com con la insignia Managed. Cada interruptor que forzaste muestra la insignia y no se puede cambiar. La fila de la cuenta empieza por «Team ·» o dice «Part of a team», con el botón Leave team.
• En el portal: Team, Devices enumera cada navegador unido, con su navegador, fecha de inscripción, última conexión, Enrolled via (la etiqueta de la clave) y estado, en cualquiera de los dos modos de informes. Un navegador se conecta solo cuando se usa. Uno nuevo aparece como Active, pasa a Idle tras 7 días sin uso y a Stale tras 30, así que un navegador instalado pero sin usar puede verse como Stale. En la sección Enrolment keys, los usos y los dispositivos de la clave aumentan.
• Un navegador que falta en la lista y cuya fila de cuenta dice «Not signed in» se registró sin la clave o, en Chrome y Edge, puede haberse registrado antes de que le llegara su configuración. Consulta Navegadores que ya tenían PhishTriage y revisa el orden de tus políticas.

Safari

Nada de esto se aplica a Safari. PhishTriage no está disponible para Safari, y su compilación para Safari no tiene política de administrador: Safari no ofrece almacenamiento administrado a las extensiones, así que no se puede definir allí ninguna de las claves de esta página, incluida la clave de inscripción. Un perfil de configuración de macOS llega a PhishTriage en Chrome, Edge y Firefox de ese dispositivo, no en Safari.

La actualización 1.1.0

Las tiendas ofrecen la 1.0.0. La versión siguiente, la 1.1.0, lee Outlook en outlook.cloud.microsoft como correo, un quinto host de correo. En Chrome y Edge eso es un permiso de sitio nuevo. La documentación para desarrolladores de Chrome dice que una actualización que agrega un permiso con advertencia deshabilita la extensión hasta que la persona lo acepta; las referencias de políticas de Chrome y de Edge dicen que los permisos de una extensión instalada de forma forzada se conceden implícitamente. Ninguna dice expresamente qué ocurre cuando una actualización de una extensión instalada de forma forzada agrega uno. Así que prevé un cambio de permisos en la 1.1.0: cuando llegue a un navegador de prueba, verifica en chrome://extensions o edge://extensions que PhishTriage sigue activada.

La 1.1.0 también envía de forma predeterminada los clics de los botones de comentarios a PhishTriage. Si quieres que se queden en el dispositivo, define feedbackUpload en false antes de que la actualización llegue a tus navegadores.

Lo que envía cada opción de configuración

Para cada interruptor de arriba (qué sale del dispositivo, adónde va, cuánto tiempo se conserva y quién de tu equipo puede verlo), consulta Manejo de datos y la política de privacidad. Preguntas sobre una implementación: escríbenos.