Hero Links in Microsoft 365: rischi di sicurezza e governance

Gli Hero Links possono semplificare la condivisione Microsoft 365, ma un URL stabile rende più importante controllare le modifiche alle autorizzazioni. Il rischio principale non è il link riutilizzabile: è perdere visibilità quando cambiano audience, ruolo, proprietà o autorizzazioni circostanti.

Ultimo aggiornamento: 27 agosto 2026. Il rollout è in corso e alcuni comportamenti relativi ad API e scadenza restano in validazione tecnica.

Il beneficio di sicurezza: meno proliferazione di link

Creare un URL nuovo per ogni variazione può lasciare più collegamenti attivi sullo stesso file. Un solo Hero Link principale può ridurre questa proliferazione, semplificare le spiegazioni agli utenti e consentire di restringere l’accesso senza interrompere l’URL già distribuito.

Anche l’impostazione predefinita Only people added è rilevante: il link funziona per chi è già autorizzato, ma non aggiunge da solo una nuova audience.

Il cambio di prospettiva: l’URL resta, il significato può cambiare

Le verifiche tradizionali trattano spesso un URL come una fotografia: scope, ruolo e scadenza vengono classificati una volta. Con gli Hero Links, lo stesso indirizzo può passare da Only people added a Organization, oppure ad Anyone dove consentito, senza essere ridistribuito. Una copia salvata mesi prima può quindi diventare utilizzabile da un pubblico più ampio.

Non è automaticamente una vulnerabilità. È un problema di gestione del cambiamento: serve conoscere stato corrente, stato precedente quando disponibile, autore della modifica e coerenza con lo scopo aziendale.

Scenari di rischio principali

Ampliamento dell’audience

Il proprietario di un team amplia il link all’intera organizzazione per risolvere una richiesta urgente. Il documento diventa poi più sensibile, ma lo scope più ampio resta. Ogni copia esistente dell’URL può essere utilizzata dalla nuova audience.

URL inoltrati o incorporati

Un Hero Link può comparire in chat, portali, procedure, preferiti ed e-mail. L’inoltro non aggira l’audience, ma aumenta i luoghi da cui l’URL può essere tentato. Se l’audience viene poi ampliata, quelle copie inattive tornano rilevanti.

Coesistenza fra Hero e link legacy

Microsoft indica che i link precedenti restano in Other links. Restringere l’Hero Link non dimostra che un vecchio link Anyone, Organization o Persone specifiche sia stato rimosso.

L’accesso effettivo non è il calcolo di un solo link

La riduzione di un link può non rimuovere accesso ottenuto tramite gruppi, autorizzazioni dirette, ereditarietà, inviti guest o altri link. Occorre verificare l’accesso effettivo.

Proprietà ed ex dipendenti

Un link può restare utile dopo che il creatore cambia ruolo o lascia l’azienda. La domanda è se elemento e autorizzazioni restano governati. Includi trasferimento di proprietà, retention di OneDrive, guest e processi di offboarding.

Deriva dello scope nel tempo

Un link nato per un piccolo progetto può sopravvivere al progetto, mentre una cartella continua a ricevere file. Le cartelle richiedono particolare attenzione perché contenuto e contesto cambiano.

Guest e condivisione esterna

Gli Hero Links non sostituiscono le policy tenant e sito. Anyone è possibile soltanto dove la condivisione anonima è consentita. Destinatari specifici e guest possono ottenere accesso anche tramite inviti o autorizzazioni dirette. Una verifica matura distingue accesso anonimo, identità esterne autenticate, scope interno e accesso già esistente.

Vedi anche rischi e best practice della condivisione esterna e come trovare i link Anyone.

Scadenza: non trasferire automaticamente le regole legacy

Microsoft 365 dispone di policy di scadenza per alcuni tipi di link e guest. Le comunicazioni sugli Hero Links indicano che non si deve presumere che ogni regola legacy governi il nuovo link principale nello stesso modo. La documentazione pubblica sul ciclo di vita non è ancora completa: occorre testare la scadenza in un sito pilota.

Perché serve la cronologia

Una scansione puntuale può mostrare che un link è oggi Organization. Non dice se ieri fosse Anyone, chi lo abbia modificato o se sia esistita una finestra di esposizione. Microsoft Purview documenta eventi per creazione e rimozione di link anonimi e sicuri, inviti e modifiche di condivisione. Durante il rollout va verificato quali eventi e campi registrino le modifiche degli Hero Links.

Checklist per amministratori

• Individua tenant e siti che mostrano la nuova esperienza.
• Rivedi i limiti di condivisione a livello tenant e sito.
• Registra audience e ruolo correnti per gli elementi ad alto impatto.
• Controlla Other links prima di considerare risolto un caso.
• Distingui autorizzazioni correnti e storico degli eventi.
• Verifica guest, gruppi, accesso diretto ed ereditato.
• Prioritizza cartelle, librerie sensibili e siti dirigenziali.
• Integra offboarding e trasferimento della proprietà.
• Documenta osservazioni fallite o parziali.

Un modello di rischio equilibrato

Non tutti gli Hero Links sono pericolosi. Un modello utile valuta se l’audience supera lo scopo aziendale, se modifica o download sono consentiti, se il contenuto è sensibile, se i guest restano giustificati, se coesistono link legacy e se l’osservazione è completa. È l’approccio spiegabile descritto nella valutazione del rischio SharedLinks365.

Per definizioni, rollout e modello delle autorizzazioni, consulta la guida completa ai Microsoft 365 Hero Links.

Cosa afferma SharedLinks365

SharedLinks365 è progettato per aiutare gli amministratori a prioritizzare il rischio di condivisione. Gli Hero Links sono in validazione tecnica. Non viene affermato che il prodotto li rilevi già, ne ricostruisca la cronologia o li corregga tramite Microsoft Graph.

Domande frequenti

Gli Hero Links sono meno sicuri dei link attuali?

Non necessariamente. Possono ridurre la proliferazione dei link e usare un’impostazione prudente. La sfida è controllare le modifiche e i link precedenti.

Restringere un Hero Link rimuove tutto l’accesso?

Non sempre. Gruppi, accesso diretto o ereditato, guest e altri link possono ancora concederlo.

Occorre bloccare Anyone prima del rollout?

Non è un requisito universale. La decisione dipende da esigenze di collaborazione, sensibilità dei dati e policy esistenti.