--- title: "Permisos de API y consentimiento del administrador para Discussions" description: "Referencia de seguridad para administradores: Discussions no solicita permisos de Microsoft Graph ni de otras API, no necesita consentimiento administrativo ni registro de aplicación y utiliza SharePoint REST y CSOM en el contexto del usuario. Incluye instalación, Teams, datos externos y conexiones de Power Automate." url: https://vitextra.com/es/support/kb/10413 language: es published: 2026-11-06 modified: 2026-11-06 products: - "Discussions" author: "Lidija Reising" tags: ["permisos API Discussions", "consentimiento administrador SPFx", "sin Microsoft Graph", "acceso API SharePoint", "SharePoint REST contexto usuario", "revisión seguridad", "Mail.Send no requerido"] --- # Permisos de API y consentimiento del administrador para Discussions Referencia de seguridad para administradores: Discussions no solicita permisos de Microsoft Graph ni de otras API, no necesita consentimiento administrativo ni registro de aplicación y utiliza SharePoint REST y CSOM en el contexto del usuario. Incluye instalación, Teams, datos externos y conexiones de Power Automate. ## Información general Muchas soluciones de ::SharePoint:: Framework declaran permisos de ::Microsoft Graph:: que un administrador del ::inquilino:: debe aprobar en **Acceso a la API**, en el ::centro de administración de SharePoint::. [Discussions](https://vitextra.com/es/products/discussions) no lo hace. El paquete declara **cero solicitudes de permisos de API**, no registra **ninguna aplicación** en ::Microsoft Entra ID:: y no muestra **ningún aviso de consentimiento** a usuarios ni administradores. Todas las operaciones de los elementos web, como leer y escribir foros, temas, respuestas, suscripciones, adjuntos e imágenes y buscar personas para @menciones, utilizan las API de SharePoint (::REST:: y CSOM) del ::sitio:: donde reside el foro, en nombre del usuario que ha iniciado sesión. Este artículo recoge estos hechos para la revisión de seguridad, explica qué ve y qué no ve el administrador durante la instalación y enumera los pocos datos que salen del inquilino. El importador de foros clásicos puede leer otro sitio del mismo inquilino. Restaura autores y fechas originales mediante SharePoint CSOM; las demás operaciones de contenido utilizan REST. Todas estas llamadas usan los permisos del usuario que ha iniciado sesión. ## Resumen para revisores | Pregunta | Respuesta | |---|---| | ¿Solicita el paquete permisos de Microsoft Graph? | Ninguno | | ¿Otros permisos de API, como ::Azure DevOps:: o API personalizadas? | Ninguno | | ¿Entradas en **Acceso a la API** después de implementar? | Ninguna; no hay nada que aprobar o rechazar | | ¿Registro de aplicación o entidad de servicio propios en Microsoft Entra? | Ninguno | | ¿Avisos de ::consentimiento del administrador:: o del usuario? | Ninguno | | ¿Identidad utilizada para acceder a los datos? | El usuario que ha iniciado sesión, en cada solicitud | | ¿API invocadas? | Solo las API de SharePoint (REST y CSOM) de los sitios de SharePoint | | ¿::Permisos de aplicación:: (app-only), cuentas de servicio o credenciales guardadas? | Ninguno | | ¿Contenido enviado a Vitextra o a terceros? | Ninguno; solo comprobación de licencia y telemetría de uso con identificadores técnicos | | ¿Se requieren scripts personalizados en el sitio? | No | ## Qué invoca la solución Los elementos web utilizan el cliente HTTP de SharePoint Framework, que envía cada solicitud con la identidad del usuario actual. SharePoint aplica sus permisos a cada llamada, igual que en las vistas de ::lista:: de **Contenido del sitio**. Se utilizan los siguientes puntos de conexión: - **Listas y elementos de lista** del sitio actual: para localizar las listas de Discussions por sus columnas marcadoras, crearlas en el primer uso (esa operación requiere **Administrar listas**) y leer y escribir foros, temas, respuestas, suscripciones, «me gusta», reportes y estados de aprobación. - **Archivos adjuntos de elementos de lista**: archivos adjuntos a temas y respuestas. - **Archivos y carpetas** de la ::biblioteca de documentos:: `Discussions Assets`: imágenes insertadas en el editor de texto enriquecido. - **El servicio de selección de personas** de SharePoint: sugerencias después de escribir `@` y resolución de la persona elegida como usuario del sitio. Es el mismo servicio que utiliza el selector estándar de SharePoint; no llama a Microsoft Graph. - **La ::lista de información de usuarios:: del sitio**: nombres de autores e identificador del usuario actual. No se envían solicitudes a Microsoft Graph, Exchange, Teams ni a otros servicios de ::Microsoft 365::, y el ::elemento web:: no envía correos. La lista completa de listas y columnas está en [KB10411. Dónde almacena Discussions sus datos: listas, columnas y privacidad](https://vitextra.com/es/support/kb/10411). 📝 **Nota** Como se aplican los permisos del propio usuario, el elemento web no puede mostrarle más de lo que SharePoint le mostraría en las listas: los lectores ven temas aprobados, los moderadores ven los pendientes y los invitados ven lo que permiten sus permisos del sitio. El modelo de roles se describe en [KB10408. Permisos en Discussions: quién puede leer, publicar y moderar](https://vitextra.com/es/support/kb/10408). ## Qué ve el administrador durante la instalación 1\. El paquete `vitextra.discussions.sppkg` se carga en el ::catálogo de aplicaciones:: del inquilino o de una ::colección de sitios:: y se habilita con **Habilitar aplicación**. El cuadro de diálogo muestra el dominio desde el que se cargan los scripts y ofrece **Agregar a todos los sitios**; no incluye una sección de permisos porque el paquete no declara ninguno. ![Habilitación de la aplicación en el catálogo de aplicaciones](https://static.vitextra.com/articles/10413/enable-app-es.png) *Habilitación de la aplicación en el catálogo de aplicaciones* 2\. **Acceso a la API** (**Centro de administración de SharePoint → Opciones avanzadas → Acceso a la API**) no cambia: no aparece ninguna solicitud de *Vitextra Discussions* en **Solicitudes pendientes** y no hay nada que aprobar. Si su organización lleva un registro de permisos de API aprobados, la entrada de Discussions es simplemente «ninguno solicitado». ![Acceso a API tras implementar Discussions](https://static.vitextra.com/articles/10413/api-access-empty-es.png) *Acceso a API tras implementar Discussions* 3\. El elemento web se agrega a una página como cualquier otro y el primer usuario con **Administrar listas** crea el foro. Los usuarios nunca ven un cuadro de consentimiento. La instalación y la actualización siguen los mismos pasos que cualquier producto de Vitextra: [KB10035. Cómo instalar un producto Vitextra en SharePoint Online](https://vitextra.com/es/support/kb/10035), [KB10050. Cómo actualizar una solución SPFx de Vitextra en SharePoint Online](https://vitextra.com/es/support/kb/10050) y [KB10361. Catálogo de aplicaciones del inquilino frente al de colección de sitios: dónde implementar las aplicaciones de Vitextra](https://vitextra.com/es/support/kb/10361). El procedimiento general para paquetes que *sí* solicitan permisos está en [KB10360. Cómo aprobar los permisos de la API de Microsoft Graph para las soluciones de Vitextra en el centro de administración de SharePoint](https://vitextra.com/es/support/kb/10360); Discussions no necesita ese artículo. ❗ **Importante** Si después de una actualización aparece una solicitud de *Vitextra Discussions* en **Acceso a la API**, procede de una versión nueva que la declara; las notas de esa versión lo indicarán. La versión 26.10.2 no declara ninguna. ## La aplicación de Microsoft Teams El paquete de ::aplicación de Teams:: que genera el catálogo para la pestaña y la aplicación personal tampoco declara ámbitos de Microsoft Graph. Su manifiesto solo hace referencia a ::SharePoint Online::, mediante el mecanismo estándar con el que una pestaña SPFx inicia la sesión del usuario en el ::sitio de equipo::, y a los dominios habituales de inicio de sesión de SharePoint y Microsoft 365. Por ello, la aplicación no muestra permisos de API que conceder en el centro de administración de Teams. Para agregarla a Teams, consulte [KB10393. Cómo añadir Discussions a Microsoft Teams](https://vitextra.com/es/support/kb/10393). ## Qué sale del inquilino | Finalidad | Qué se envía | Destino | |---|---|---| | **Archivos del producto** | Una solicitud normal del navegador para obtener los scripts e iconos de los elementos web | `static.vitextra.com` | | **Comprobación de licencia** | El identificador del inquilino, el identificador de objeto del usuario, la dirección del sitio y el identificador, nombre y versión del producto | `vitextra.com` | | **Telemetría de uso** | Un evento al cargar el elemento web (producto y versión, identificador y dirección del sitio, identificador de objeto del usuario, idioma de la interfaz y si se ejecuta en Teams) y detalles técnicos de errores | Azure Application Insights | No se envían temas, respuestas, adjuntos, imágenes, suscripciones ni listas de usuarios a Vitextra ni a terceros. El resumen para todos los productos de Vitextra, incluida la residencia de datos y el RGPD, está en [KB10363. Dónde almacenan sus datos los productos de Vitextra: privacidad, residencia de datos y RGPD](https://vitextra.com/es/support/kb/10363). ## Dónde se concede el permiso de correo Discussions no envía correos por diseño, por lo que no necesita *Mail.Send* ni un permiso de aplicación para enviar en nombre de un buzón. El elemento web mantiene `Discussions Subscriptions` y la columna **Menciones**; la entrega corresponde a un flujo de ::Power Automate:: que el propietario del sitio configura en su propio entorno. El flujo utiliza las conexiones de quien lo crea: SharePoint para leer las listas y Office 365 Outlook o un buzón compartido para enviar. El consentimiento para esas conexiones se concede en Power Automate, bajo las directivas de gobierno que su organización ya aplica a los flujos. El contrato entre las listas y el flujo se describe en [KB10414. Cómo funcionan las notificaciones en Discussions: suscripciones, menciones y Power Automate](https://vitextra.com/es/support/kb/10414). 💡 **Consejo** Para el cuestionario de seguridad: «La solución es un paquete de SharePoint Framework que no declara solicitudes de permisos de API, no tiene una aplicación propia de Entra ID, solo llama a las API de SharePoint (REST y CSOM) de los sitios de SharePoint correspondientes con la identidad delegada del usuario que ha iniciado sesión, guarda todo el contenido en listas de ese sitio y solo envía al proveedor identificadores de licencia y telemetría». Cada afirmación puede verificarse en el catálogo de aplicaciones, en **Acceso a la API** y en el registro de red del navegador.