Bloquear acesso externo no Microsoft 365 é uma tarefa que parece simples até o administrador perceber que o termo cobre pelo menos três frentes distintas: compartilhamento de arquivos no SharePoint e OneDrive, comunicação no Teams e contas convidadas no Entra ID. Cada uma tem controles próprios, e restringir apenas uma delas costuma deixar brechas nas outras. Para quem responde por ambientes com dados sensíveis — especialmente no setor financeiro, onde vazamentos podem ter impacto regulatório e operacional —, entender essa separação é o ponto de partida antes de mexer em qualquer política.
Este guia percorre o caminho completo: como mapear onde o acesso externo acontece hoje, a diferença entre bloqueio total e bloqueio seletivo, os passos de configuração no Teams, SharePoint, OneDrive e Entra ID, e o que verificar depois de aplicar as restrições. Também trata de pontos que costumam ficar de fora dos tutoriais, como o efeito sobre links já compartilhados, o bloqueio de contas Microsoft pessoais sem afetar convidados corporativos e o impacto em reuniões com organizações parceiras.
Ao final, você terá critérios para escolher o modelo mais adequado ao seu ambiente e uma lista de validações para confirmar que o bloqueio funcionou de fato — sem interromper fluxos legítimos de colaboração.
O que é considerado acesso externo no Microsoft 365
No Microsoft 365, acesso externo é qualquer interação de uma identidade que não pertence ao locatário da organização com recursos como Teams, SharePoint, OneDrive, grupos, calendários ou aplicativos. Essa identidade pode ser um usuário convidado do Entra ID (colaboração B2B), uma conta Microsoft pessoal (outlook.com, hotmail.com), um parceiro federado ou até um usuário anônimo que abre um link de compartilhamento sem autenticação. O ponto central é que o Microsoft 365 trata esses casos com políticas distintas — e, por isso, bloquear acesso externo raramente significa apertar um único botão.
Na prática, o termo cobre três camadas que costumam se sobrepor: compartilhamento de conteúdo (arquivos e sites), comunicação (chats, reuniões e federação no Teams) e identidade (contas convidadas que conseguem autenticar no diretório). Uma organização que só restringe o SharePoint, por exemplo, ainda pode expor conversas via Teams ou aceitar convites B2B no Entra ID. Para ambientes regulados — como os que processam transações Pix ou dados bancários —, o risco não está apenas no vazamento de arquivo, mas na possibilidade de um usuário externo interagir com colaboradores e obter informações por engenharia social.
Vale distinguir também acesso externo de acesso público. Um link "Qualquer pessoa" do SharePoint permite que qualquer indivíduo com o URL visualize ou edite um documento, sem vínculo com o diretório. Já um convidado B2B autenticado aparece nos logs do Entra ID, pode receber licenças e herda políticas condicionais. O bloqueio efetivo precisa endereçar os dois cenários, porque cada um deixa rastros e superfícies de ataque diferentes.
Antes de bloquear: mapeie onde o acesso externo acontece
Bloquear sem mapear gera dois problemas clássicos: interromper fluxos legítimos de colaboração com clientes e fornecedores, e deixar brechas em serviços que ninguém lembrou de revisar. O primeiro passo é inventariar onde usuários externos aparecem hoje. O relatório de logins do Entra ID, os logs de auditoria do Purview e os relatórios de compartilhamento do SharePoint mostram convidados ativos, links anônimos criados e domínios mais frequentes. Sem esse inventário, qualquer política nova vira aposta.
Uma recomendação prática é exportar a lista de usuários convidados do Entra ID e cruzar com os grupos do Teams e sites do SharePoint onde eles têm acesso. Em ambientes com centenas de convidados, priorize aqueles com último login recente e com permissão de edição em bibliotecas sensíveis. Esse levantamento também ajuda a decidir entre bloqueio total e seletivo, porque revela se a empresa depende de colaboração externa diária ou se os convites são residuais de testes antigos.
Teams: chats, reuniões e federação
O Teams tem dois controles independentes que muita gente confunde: acesso externo (federação) e acesso de convidados. A federação permite que usuários de outros locatários do Teams conversem, liguem e participem de reuniões sem precisar ser convidados ao seu diretório — basta o domínio estar liberado. Já o acesso de convidados insere a pessoa como membro de uma equipe, com direito a canais, arquivos e histórico de conversas daquele time.
Reuniões têm ainda uma terceira via: participantes anônimos. Mesmo com federação desligada e convidados bloqueados, uma reunião pode aceitar qualquer pessoa com o link, dependendo das configurações de lobby e das políticas de reunião. Por isso, o mapeamento precisa olhar separadamente para chats 1:1, chats em grupo, reuniões agendadas e reuniões de canal, porque cada um responde a uma política distinta.
SharePoint e OneDrive: links de compartilhamento
O SharePoint e o OneDrive controlam acesso externo principalmente pela configuração de compartilhamento no nível do locatário e por site. Os links podem ser de quatro tipos: "Qualquer pessoa" (anônimo), "Pessoas na sua organização", "Pessoas existentes" e "Pessoas específicas". Cada tipo tem implicação diferente de rastreabilidade e risco — um link anônimo pode ser reencaminhado indefinidamente, enquanto um link para pessoas específicas exige autenticação e fica associado a um destinatário nominal.
O OneDrive segue a política do locatário por padrão, mas permite configuração própria em alguns cenários. O SharePoint adiciona a camada de conjunto de sites, onde o administrador pode restringir compartilhamento externo mesmo que a política global seja mais permissiva. Para mapear, use o relatório "Arquivos compartilhados com usuários externos" no centro de administração do SharePoint e filtre por links anônimos ainda ativos.
Entra ID: usuários convidados e colaboração B2B
No Entra ID, o controle começa nas configurações de colaboração B2B, que definem quem pode convidar, quais domínios são permitidos ou bloqueados e se contas Microsoft pessoais podem ser convidadas. Um convidado B2B é um objeto no diretório com UserType "Guest", sujeito a políticas de acesso condicional, revisões de acesso e expiração de convite. A diferença para um link anônimo é brutal: o convidado autentica, aparece em auditoria e pode ser bloqueado individualmente.
O mapeamento aqui envolve listar todos os usuários com UserType Guest, identificar quem os convidou e há quanto tempo não acessam. Também é preciso revisar as configurações de "restrições de colaboração", que podem limitar convites a domínios específicos ou bloquear domínios inteiros. Muitas organizações descobrem nessa etapa convidados de projetos encerrados há anos, ainda com acesso ativo a grupos e sites.
Bloqueio total x bloqueio seletivo: qual escolher
A escolha entre bloqueio total e seletivo depende menos de preferência técnica e mais de impacto operacional. Bloqueio total significa desligar federação, impedir compartilhamento externo no SharePoint/OneDrive e proibir novos convites B2B. É a opção mais simples de auditar e a que menos depende de governança contínua, mas interrompe qualquer colaboração legítima com clientes, auditores externos, fornecedores ou subsidiárias que usam outro locatário.
Bloqueio seletivo mantém a colaboração externa sob regras: apenas domínios aprovados, apenas links autenticados, apenas convites emitidos por um grupo restrito de administradores, com expiração e revisão periódica. Para empresas do setor financeiro que trocam documentos com bancos parceiros ou escritórios de advocacia, o modelo seletivo costuma ser mais realista. A tabela abaixo resume os critérios de decisão:
- Bloqueio total: zero colaboração externa tolerada; auditoria simplificada; risco de sombra IT
- Bloqueio seletivo: lista de domínios permitidos; links autenticados; convites controlados
- Critério operacional: fluxos com terceiros ativos pedem modelo seletivo
- Critério de maturidade: sem equipe para revisar convites, bloqueio total é mais seguro
Um caminho intermediário comum é o bloqueio total por padrão com exceções explícitas: desligar compartilhamento anônimo e federação aberta, mas manter convites B2B apenas para domínios aprovados e com aprovação de um administrador. Esse modelo reduz a superfície de ataque sem eliminar a colaboração crítica. O importante é documentar a decisão e revisar trimestralmente, porque exceções tendem a se acumular.
Como bloquear acesso externo no Teams passo a passo
Pelo Centro de administração do Teams
No Centro de administração do Teams, acesse Usuários > Acesso externo. Para bloquear totalmente a federação, desative a opção "Os usuários podem se comunicar com outras organizações do Teams". Isso impede chats e chamadas com qualquer locatário externo, independentemente de domínio. A configuração leva alguns minutos para propagar, mas não afeta convidados que já são membros de equipes — esses são controlados em outra seção.
Para reuniões, vá em Reuniões > Políticas de reunião e ajuste a política global ou crie uma política específica. O parâmetro "Participantes anônimos podem entrar em uma reunião" deve ser desligado para impedir acesso sem autenticação. Também vale restringir "Quem pode ignorar o lobby" para "Somente organizador e coorganizadores", evitando que um link vazado permita entrada direta de estranhos.
Por domínio específico (lista de permitidos e bloqueados)
No mesmo painel de acesso externo, é possível trocar o modelo de "permitir todos os domínios externos" para "permitir apenas domínios específicos". Nesse modo, você informa manualmente os domínios confiáveis — por exemplo, o domínio de uma empresa parceira ou de uma auditoria externa. Qualquer domínio fora da lista é automaticamente bloqueado para chats e chamadas federadas.
Há também a lista de bloqueio explícito, útil para barrar domínios conhecidos por tentativas de phishing ou engenharia social. A precedência é simples: se um domínio está na lista de bloqueio, ele é negado mesmo que esteja na lista de permitidos. Para organizações que mantêm federação aberta, a lista de bloqueio funciona como filtro pontual; para ambientes rígidos, a lista de permitidos é o controle principal.
Via PowerShell para bloqueio em massa
O módulo MicrosoftTeams permite gerenciar federação via Set-CsTenantFederationConfiguration. Para desligar a federação globalmente, use o parâmetro -AllowFederatedUsers $false. Para operar com lista de permitidos, combine -AllowFederatedUsers $true com -AllowedDomains contendo os domínios aprovados. O PowerShell é a saída quando há dezenas de políticas ou quando a mudança precisa ser versionada em script.
Um cuidado relevante: o módulo Teams exige autenticação com conta de administrador. Sempre valide com Get-CsTenantFederationConfiguration após aplicar. Para reuniões, o ajuste de políticas via Set-CsTeamsMeetingPolicy com -AllowAnonymousUsersToStartMeeting $false complementa o bloqueio de federação.
Como bloquear compartilhamento externo no SharePoint e OneDrive
Configuração no nível da organização
No Centro de administração do SharePoint, acesse Políticas > Compartilhamento. O controle principal define o nível máximo de compartilhamento externo permitido: "Qualquer pessoa", "Convidados novos e existentes", "Convidados existentes" ou "Somente pessoas na sua organização". Para bloquear totalmente, escolha a última opção — isso impede a criação de novos links externos e o compartilhamento com novos convidados.
Há uma distinção sutil entre "Convidados novos e existentes" e "Convidados existentes": a primeira permite que usuários internos compartilhem com qualquer e-mail externo, que então recebe um convite B2B; a segunda só permite compartilhar com quem já é convidado no diretório. Para ambientes que precisam de controle rígido sem matar a colaboração com parceiros já cadastrados, "Convidados existentes" é um meio-termo eficaz.
Restringir por site (conjunto de sites)
Mesmo com a política global permissiva, um conjunto de sites específico pode ter compartilhamento externo desligado. No centro de administração do SharePoint, selecione o site e acesse Configurações > Compartilhamento. Essa granularidade é essencial para sites de projetos sensíveis, como os que armazenam documentação de transações Pix ou contratos com cláusulas de confidencialidade.
A restrição por site também funciona no sentido inverso: manter o locatário fechado e liberar externos apenas em um site de colaboração com fornecedores. O PowerShell resolve isso em escala com Set-SPOSite -SharingCapability Disabled para bloquear um site específico, ou ExternalUserSharingOnly para permitir apenas compartilhamento com convidados autenticados. Documente as exceções, porque elas são o primeiro lugar onde um auditor vai olhar.
Links 'Qualquer pessoa' e links anônimos
Links "Qualquer pessoa" são o maior vetor de vazamento silencioso: não exigem autenticação, não aparecem como usuário no diretório e podem ser reencaminhados sem controle. Para bloqueá-los, desative a opção correspondente na política de compartilhamento do locatário e, se necessário, em cada site. Uma ação complementar é expirar links anônimos já criados — o relatório de compartilhamento externo lista os ativos, e o administrador pode removê-los individualmente ou em lote.
Também é possível impedir que usuários internos criem links anônimos por conta própria, restringindo o nível de compartilhamento padrão para "Pessoas específicas" ou "Pessoas na sua organização". Em locatários com histórico de links vazados, vale revisar a configuração de "link padrão" para que o usuário precise escolher ativamente uma opção menos segura, em vez de recebê-la como padrão.
Restringir convites de convidados no Entra ID
Quem pode convidar usuários externos
No centro de administração do Entra ID, acesse Identidades externas > Configurações de colaboração externa. A opção "Convidados podem convidar" define se um usuário convidado tem permissão para convidar outros externos — um vetor perigoso de expansão lateral. O padrão recomendado para ambientes sensíveis é restringir a emissão de convites a administradores ou a um grupo específico de usuários internos.
A configuração "Membros podem convidar" controla se usuários internos comuns podem emitir convites B2B. Em empresas que adotam bloqueio seletivo, o ideal é limitar essa capacidade a um grupo de segurança, por exemplo "Convite-Externo-Aprovado". Isso cria um ponto de controle e auditoria: todo convidado novo passa por alguém autorizado, e o log do Entra ID registra quem emitiu o convite.
Bloquear contas Microsoft pessoais (consumer)
Contas Microsoft pessoais — outlook.com, hotmail.com, live.com — são um risco distinto de convidados corporativos. Elas não pertencem a um locatário gerenciado, não seguem políticas de segurança da organização de origem e frequentemente usam autenticação fraca. No mesmo painel de colaboração externa, a opção "Restrições de colaboração" permite escolher entre permitir convites para qualquer domínio, apenas domínios especificados ou bloquear domínios específicos.
Para bloquear contas consumer sem afetar parceiros corporativos, use a lista de bloqueio com os domínios outlook.com, hotmail.com e live.com. Se a política for mais restritiva, a lista de permitidos resolve: apenas domínios corporativos aprovados recebem convites, e qualquer conta pessoal é negada automaticamente. Essa distinção é uma das lacunas mais comuns em implantações de bloqueio externo, porque muitos administradores tratam "convidado" como categoria única.
Acesso condicional e políticas de identidade externa
O Acesso Condicional do Entra ID adiciona uma camada de controle que vai além do bloqueio binário: exige autenticação multifator, dispositivo compatível ou localização aprovada antes de liberar o acesso de um usuário externo. Uma política típica para convidados combina "UserType igual a Guest" com "Exigir MFA" e "Exigir dispositivo em conformidade", reduzindo o risco de credenciais vazadas serem usadas por terceiros.
Para links anônimos do SharePoint, o Acesso Condicional não se aplica — não há identidade para avaliar. Por isso, o bloqueio de links "Qualquer pessoa" deve vir da política de compartilhamento, não do Acesso Condicional. Já para convidados B2B, é possível criar políticas específicas que bloqueiam acesso a aplicativos sensíveis, como o portal de administração ou sistemas internos publicados via Azure AD Application Proxy.
Uma prática recomendada é combinar Acesso Condicional com revisões de acesso do Entra ID Governance. Isso evita o acúmulo de contas externas órfãs que, embora inativas, ainda representam superfície de ataque se as credenciais forem comprometidas. Para ambientes que processam Pix, essa revisão periódica costuma ser exigência de auditoria interna ou de normas como a ISO 27001.
Checklist de configuração e testes de validação
Aplicar a configuração é metade do trabalho; validar que ela funciona é a outra metade. O checklist abaixo organiza a sequência de bloqueio e os testes que confirmam cada controle. Execute na ordem, porque algumas dependências existem — por exemplo, desligar federação antes de testar convidados evita confusão sobre qual camada bloqueou o acesso.
- Desativar federação ou restringir domínios no Centro de administração do Teams
- Desligar participação anônima em reuniões e ajustar política de lobby
- Definir compartilhamento externo do SharePoint/OneDrive para "Somente pessoas na sua organização"
- Bloquear links "Qualquer pessoa" e expirar links anônimos existentes
- Restringir emissão de convites B2B a um grupo autorizado
- Bloquear domínios consumer (outlook.com, hotmail.com, live.com)
- Criar política de Acesso Condicional exigindo MFA para convidados
- Registrar todas as mudanças em script ou documentação versionada
Para testar, use uma conta externa de teste — de preferência em um domínio que não seja o da organização. Tente abrir um link antigo do SharePoint, iniciar um chat no Teams, entrar em uma reunião sem autenticação e aceitar um convite B2B. Cada tentativa deve falhar com a mensagem esperada. Registre os resultados, porque auditorias futuras vão pedir evidência de que o bloqueio foi testado, não apenas configurado.
Um teste frequentemente esquecido é o de links já compartilhados antes do bloqueio. Dependendo da política aplicada, links existentes podem continuar funcionando por um período ou ser revogados imediatamente. Verifique o comportamento real no seu locatário e, se necessário, remova manualmente os links ativos que deveriam ter expirado.
Erros comuns ao bloquear acesso externo
O erro mais frequente é confundir federação com convidados: o administrador desliga o acesso externo no Teams e acredita que bloqueou tudo, mas convidados B2B continuam acessando equipes e arquivos normalmente. A federação controla comunicação entre locatários; o acesso de convidados é uma configuração separada, no nível da equipe e do Entra ID. Sem tratar as duas, o bloqueio é ilusório.
Outro erro clássico é esquecer o OneDrive pessoal. A política de compartilhamento do OneDrive pode ser herdada do locatário ou configurada separadamente, e muitos administradores descobrem que usuários continuam compartilhando arquivos externamente pelo OneDrive mesmo após o SharePoint estar bloqueado. Revise as duas políticas no mesmo dia e teste com uma conta de usuário comum, não apenas com a conta de administrador.
- Desligar federação e achar que convidados foram bloqueados
- Ignorar a política de compartilhamento do OneDrive
- Manter links "Qualquer pessoa" ativos criados antes do bloqueio
- Permitir que convidados convidem outros convidados
- Não testar com conta externa real após aplicar as mudanças
- Bloquear domínios consumer sem validar impacto em parceiros legítimos
- Não documentar exceções por site ou por domínio
Há ainda o erro de subestimar a propagação. Algumas mudanças no Teams e no SharePoint levam minutos; outras, como bloqueio de domínio em federação, podem levar horas. Testar imediatamente após aplicar e concluir que "não funcionou" leva a configurações duplicadas e conflitantes. Aguarde o tempo de propagação documentado pela Microsoft e valide novamente antes de alterar qualquer coisa.
Perguntas frequentes
O bloqueio de acesso externo afeta links já compartilhados?
Depende do tipo de link e da política aplicada. Links "Qualquer pessoa" podem continuar ativos se não forem revogados manualmente, mesmo após a política global ser alterada. Links para convidados existentes continuam funcionando enquanto o convidado estiver no diretório. Para garantir que nada antigo permaneça acessível, use o relatório de compartilhamento externo e remova os links ativos individualmente ou em lote.
Como bloquear contas Microsoft pessoais sem afetar parceiros corporativos?
Use a lista de bloqueio de domínios na colaboração externa do Entra ID e adicione outlook.com, hotmail.com e live.com. Isso nega convites para contas consumer sem tocar em domínios corporativos. Se a política for mais restritiva, use a lista de permitidos com apenas os domínios de parceiros aprovados — qualquer outro domínio, incluindo contas pessoais, é negado automaticamente.
O bloqueio total no Teams impede participação em reuniões de outras empresas?
Não. O bloqueio de federação impede chats e chamadas diretas entre locatários, mas um usuário da sua organização ainda pode participar de reuniões de outra empresa se receber o link e a reunião permitir participantes externos. Para controlar reuniões da sua própria organização, ajuste as políticas de reunião e lobby. Para impedir que seus usuários participem de reuniões externas, é necessário controle de endpoint ou política de proxy, fora do escopo do Teams.
Como auditar quem tem acesso externo ativo hoje?
Combine três fontes: a lista de usuários com UserType "Guest" no Entra ID, os relatórios de compartilhamento externo do SharePoint e os logs de auditoria do Purview filtrando por atividades de convite e compartilhamento. Para uma visão contínua, configure alertas para novos convites B2B e para criação de links anônimos. Em ambientes regulados, essa auditoria deve ser trimestral e registrada como evidência de conformidade.
