Zero Trust trata redes internas y externas como no confiables, validando cada acceso. Forrester lo propuso en 2010 y NIST lo formalizó como SP 800-207, con cerca del 70 % de las grandes empresas adoptando principios Zero Trust al menos parcialmente para 2024. La gestión de enlaces basada en URLs cortas es a la vez un punto de riesgo concentrado y, bien diseñada, un activo central.
El compartido tradicional asume que "poseer la URL equivale a autorización". Zero Trust separa posesión de autorización y valida en cada acceso quién, desde qué dispositivo y en qué contexto intenta abrir el recurso. Concretamente: URLs con tokens cortos verificados por un API gateway antes de redirigir, comprobación de IP y certificados de dispositivo, y permisos dinámicos por departamento y rol.
Empieza por el compartido interno. Encamina las URLs de Google Drive, Notion, Confluence y SharePoint a través de una pasarela propia de URLs cortas. La pasarela consulta al Identity Provider (Okta, Azure AD) y solo redirige al recurso real si el rol está autorizado. Para externos, combina tokens con vencimiento (7 días) y contraseñas de un solo uso enviadas al email conocido.
Los registros de auditoría son el corazón. Persiste emisor, fecha, URL destino, expiración, destinatario esperado, usuario real, IP, User-Agent y país en almacenamiento WORM con retención mínima de 1 año. ISO 27001 y SOC 2 Tipo II tratan los logs de gestión de enlaces como control crítico. La trampa operativa es la fricción: si forzas autenticación en cada vista de documento, los empleados buscan atajos (adjuntos, USB), y la seguridad empeora. Haz SSO obligatorio y permite sesiones de 8-24 horas para uso interno.