Cómo auditar el uso del portapapeles en una empresa

Por · Publicado el 3 de noviembre de 2026 · Unos 9 minutos de lectura

Dana (un caso compuesto, no una persona real) es responsable de seguridad en una empresa de 200 personas y hace una revisión rutinaria de los Mac. Los discos están cifrados, el cortafuegos activo y el gestor de contraseñas es obligatorio. Entonces descubre que once portátiles ejecutan tres gestores de portapapeles distintos, y que uno de ellos sincroniza el historial con una cuenta en la nube que nadie ha aprobado. Cada contraseña, clave de API y correo de cliente que alguien copió durante el último mes está guardado en esos historiales.

¿Por qué merece una auditoría el portapapeles?

El portapapeles es el único canal de datos que casi nadie gobierna. Por él pasan contraseñas pegadas desde un gestor, tokens copiados de consolas, fichas de clientes que viajan entre pestañas y textos de contratos que acaban en un chat. Por defecto, macOS solo conserva el último elemento copiado, y por eso rara vez aparece en los registros de riesgos. Un gestor de portapapeles lo cambia todo: convierte un búfer efímero en un archivo persistente y con búsqueda de todo lo que se ha copiado.

Esto no es un argumento en contra de los gestores de portapapeles. Aumentan de verdad la productividad, y la gente va a instalar uno apruebes tú o no. El objetivo de la auditoría es asegurarse de que ese archivo se guarda en local, se conserva poco tiempo y no contiene secretos.

¿Qué hay que hacer antes de tocar ningún dato?

Hay dos cosas que van primero, y ambas salen más baratas ahora que después de un incidente.

• Implica a Legal y a RR. HH. La monitorización de dispositivos de empleados tiene normas que varían según la jurisdicción. En la UE pueden aplicarse el RGPD y los requisitos de los comités de empresa, y en algunos países es obligatorio avisar o consultar a los representantes de los trabajadores. No soy abogado, así que tómalo como un recordatorio para consultar a uno.
• Define el alcance por escrito. El alcance recomendado es el inventario de herramientas y su configuración. Leer el contenido del portapapeles es otra actividad, con otro peso legal y ético, y una auditoría rara vez lo necesita. Si una herramienta no se puede evaluar sin leer contenidos, eso ya te dice algo sobre la herramienta.

La auditoría en cinco pasos

Paso 1: Localiza todas las herramientas de portapapeles realmente instaladas

Empieza por lo que tu gestión de dispositivos ya sabe. En Jamf, Kandji, Intune, Mosyle o similar, extrae un inventario de aplicaciones y busca gestores de portapapeles conocidos. Buscar por identificador de paquete (bundle ID) es más fiable que hacerlo por nombre, porque los nombres cambian y los bundle ID no. El bundle ID de Maccy es org.p0deje.Maccy app. [VERIFICAR para la versión de la App Store]

El inventario por sí solo se dejará tres categorías:

• Funciones de portapapeles dentro de otras herramientas. Los lanzadores y las apps de productividad suelen incluir historial del portapapeles. Raycast y Alfred, por ejemplo, lo tienen, y no aparecerán si solo buscas «clipboard».
• Extensiones del navegador. Algunas extensiones leen el portapapeles. Revisa las extensiones instaladas desde la consola de gestión de tu navegador.
• Funciones del propio sistema. El Portapapeles universal (parte de Handoff) comparte el portapapeles entre los dispositivos Apple de un mismo usuario. Además, las versiones recientes de macOS han añadido historial del portapapeles a Spotlight. [VERIFICAR disponibilidad y retención en tus versiones de macOS]

Para los equipos que no están bajo MDM, también sirve una comprobación local rápida: mdfind "kMDItemCFBundleIdentifier == 'org.p0deje.Maccy mac'" en Terminal devuelve la ubicación de la app si está instalada.

Paso 2: Clasifica cada herramienta con cuatro preguntas

Para cada herramienta que encuentres, responde a estas preguntas. Todo lo que no puedas contestar a partir de la documentación del fabricante o de un equipo de pruebas se marca como desconocido, y desconocido significa no aprobado hasta que se aclare.

Una aclaración sobre la última fila. Los gestores de contraseñas bien hechos marcan lo que copian siguiendo las convenciones comunitarias de nspasteboard.org (por ejemplo, un tipo «concealed»), y los gestores de portapapeles bien hechos omiten todo lo que lleve esa marca. Es una cooperación, no una garantía: depende de que ambas apps sigan la convención, así que compruébalo en lugar de darlo por hecho.

Paso 3: Prueba las herramientas que piensas permitir

La documentación te cuenta lo que afirma el fabricante. Diez minutos de pruebas en un Mac de repuesto te dicen lo que es cierto.

1. Copia una contraseña desde tu gestor de contraseñas aprobado y abre después el gestor de portapapeles. ¿Está la entrada ahí?
2. Copia una cadena de prueba, cierra la app, vuelve a abrirla y comprueba si el historial persiste.
3. Ejecuta un monitor de red (Little Snitch, LuLu o nettop) mientras copias algunos elementos. ¿Hace la app conexiones salientes?
4. Localiza dónde está el archivo del historial en el disco y comprueba si se puede leer en claro.

Cómo se ve esto con Maccy

Maccy clipboard es un gestor de portapapeles gratuito y de código abierto para macOS que guarda su historial en el propio equipo. Su código fuente es público en GitHub, de modo que tu equipo de seguridad puede leer el código en lugar de fiarse de una página de marketing, una ventaja real en una auditoría. Los ajustes más relevantes para una política están en las secciones Ignore y General de su ventana de ajustes: aplicaciones ignoradas, tipos de pasteboard ignorados, ignorar mediante expresión regular, tamaño del historial y borrado del historial al salir. [VERIFICAR nombres exactos y valores por defecto en la versión actual]

Conviene ser sinceros con dos límites. Maccy es una herramienta personal, no un producto empresarial: no tiene consola central de administración ni registro de auditoría integrado, así que la aplicación de la política se hace mediante tu MDM y no desde la app. Y «local» no significa «invisible»: todo lo que se guarda en disco está tan protegido como el propio disco, y por eso el estado de FileVault forma parte de esta auditoría como requisito previo.

Paso 4: Escribe una política lo bastante corta como para que se cumpla

Las políticas largas se ignoran. Una política de portapapeles cabe en media página. Un esquema que funciona:

• Herramientas aprobadas: una lista con nombres, con las versiones aprobadas.
• Ajustes obligatorios: sincronización en la nube desactivada, gestor de contraseñas y apps de gestión de claves en la lista de ignoradas, historial limitado a un número pequeño de elementos y borrado al salir cuando la herramienta lo permita.
• Prohibido: herramientas de portapapeles no aprobadas y extensiones del navegador que lean el portapapeles.
• Requisitos previos: cifrado de disco completo activado y verificado.
• Excepciones: quién puede concederlas y cómo se registran.

Paso 5: Aplícala mediante MDM y repite la auditoría con regularidad

Las preferencias de las apps de macOS se guardan en un archivo de lista de propiedades asociado al bundle ID de la app, lo que significa que un perfil de configuración de MDM puede enviar preferencias gestionadas para cualquier app que use las preferencias estándar. En principio, eso te permite fijar de antemano la lista de ignorados y el límite del historial de una herramienta en toda la flota. Que un ajuste concreto se pueda imponer así depende de cómo lea la app sus preferencias, así que verifícalo en un equipo de pruebas antes de desplegar. [VERIFICAR qué claves de preferencias de Maccy se respetan como preferencias gestionadas]

Para el comportamiento a nivel de sistema operativo hay controles aparte. Handoff, y con él el Portapapeles universal, se puede restringir mediante MDM con la restricción de continuidad de actividad. [VERIFICAR aplicabilidad en macOS para tu plataforma de gestión] En flotas con Windows, los ajustes equivalentes son las entradas de directiva de grupo «Allow Clipboard History» y «Allow Clipboard synchronization across devices».

Después, pon la auditoría en el calendario. Una vez al trimestre funciona para la mayoría de los equipos. La repetición es rápida cuando la primera pasada ya ha dejado un inventario y una línea base.

¿Cómo debería ser la lista de comprobación de la auditoría?

Errores habituales

• Prohibir sin más los gestores de portapapeles. La gente se salta las prohibiciones. Una herramienta aprobada y configurada es más segura que tres sin aprobar.
• Auditar el contenido en lugar de la configuración. Genera exposición legal, erosiona la confianza y la auditoría rara vez lo necesita.
• Olvidarse del Portapapeles universal. Un Mac bien blindado puede seguir filtrando texto copiado a un iPhone personal con la misma cuenta de Apple.
• Fiarse de las listas de ignorados sin probarlas. Haz la prueba del gestor de contraseñas del paso 3 con cada herramienta que apruebes.
• Auditorías puntuales. Las herramientas se instalan cuando ya has terminado. Programa la revisión periódica.

¿En qué punto te deja esto?

Una auditoría del portapapeles es sobre todo un problema de inventario con una comprobación de configuración encima. Encuentra las herramientas, hazle cuatro preguntas a cada una, prueba las que vayas a permitir, escribe una política de media página y aplícala con el MDM que ya tienes. Las herramientas de código abierto y local-first facilitan el paso tres, porque sus afirmaciones se pueden contrastar con el código y con el comportamiento de red. Si quieres ver cómo es en la práctica una configuración mínima y solo local, Maccy es gratis para probar e inspeccionar.

Una pregunta para llevar a tu equipo: si alguien copió hace diez minutos la contraseña de tu base de datos de producción, ¿en cuántos sitios de su portátil podría estar ahora mismo?