Cambiar una computadora o perder un teléfono no debería obligarte a compartir la contraseña principal ni a desconectar todos los equipos. En Nextcloud, las contraseñas de aplicación permiten identificar y retirar accesos por cliente. El control funciona mejor cuando pruebas la revocación y recuerdas que los archivos descargados no desaparecen por sí solos.

Una pyme puede tener la misma cuenta conectada al navegador, al cliente de escritorio y a una aplicación de archivos del móvil. Esos accesos no son equivalentes. Esta guía, revisada el 14 de noviembre de 2026, propone un procedimiento de alta y baja de dispositivos para una instalación existente. No anuncia una función nueva, una vulnerabilidad ni una versión recién publicada.

1. Distingue cuenta, sesión y contraseña de aplicación

La cuenta identifica al usuario y sus permisos. Una sesión permite trabajar desde un navegador autenticado. Una contraseña de aplicación o de dispositivo es una credencial generada para conectar un cliente sin entregarle la contraseña habitual de inicio de sesión. Nextcloud permite consultar y retirar esos accesos desde los ajustes personales.

El manual recomienda generar credenciales individuales por dispositivo para poder desconectarlos por separado. En la práctica conviene distinguir también aplicaciones: si un teléfono usa dos clientes diferentes, documenta cuál corresponde a cada entrada. No reutilices una misma contraseña de aplicación en toda la oficina, porque perderías esa separación.

El nombre que escribes al crearla es una etiqueta de administración, no una restricción técnica al equipo. Tampoco presupongas que el token da acceso únicamente a la carpeta que seleccionaste para sincronizar: revisa los permisos de la cuenta y las restricciones disponibles en tu instalación. La selección de carpetas del cliente no sustituye un control de acceso en el servidor.

2. Elige el cliente antes de configurar WebDAV

Nextcloud recomienda sus clientes oficiales para sincronizar computadoras y sus aplicaciones oficiales para Android e iOS. Para ellos se utiliza normalmente la misma dirección base del servicio que abres en el navegador. Sigue el flujo de autorización que muestre la aplicación; esta guía no exige sustituirlo por una configuración manual.

WebDAV permite acceder a archivos mediante otras aplicaciones compatibles. Puede servir si una herramienta de trabajo necesita ese protocolo, pero la documentación advierte que un cliente de terceros puede no implementar todas las capacidades que esperas. Antes de adoptarlo, prueba apertura, subida, cambios de nombre, archivos grandes y manejo de errores con material ficticio.

Para WebDAV de terceros, la documentación oficial recomienda una contraseña de aplicación en lugar de la contraseña principal. Copia la dirección desde los ajustes de Archivos de tu cuenta: incluye la ruta del servicio y el identificador del usuario. No adivines esa ruta a partir del nombre visible del empleado ni confundas la dirección WebDAV con un enlace público para compartir.

Usa HTTPS y verifica el dominio y el certificado. Si el cliente rechaza la conexión, no conviertas desactivar la validación TLS o pasar a HTTP en la solución de rutina. Solicita una revisión de certificado, ruta, compatibilidad y autenticación. Tampoco es necesario aplicar ajustes antiguos del registro de Windows para seguir el procedimiento de esta guía.

3. Registra el equipo y crea un acceso identificable

Si necesitas custodiar el secreto, utiliza un gestor de contraseñas aprobado y limita quién puede recuperarlo. Si se perdió o quedó expuesto durante la configuración, retira esa credencial y genera otra; no la envíes por correo o chat para que varias personas “prueben si funciona”.

4. Mantén el segundo factor y prepara la recuperación

Activar la autenticación de dos factores protege el inicio de sesión interactivo. Los clientes que no pueden completar ese segundo factor necesitan contraseñas específicas de dispositivo, según el manual. La respuesta a un error de conexión no debe ser desactivar 2FA para toda la cuenta.

Una contraseña de aplicación es un secreto persistente que permite al cliente autenticarse; no es un código de un solo uso ni pide necesariamente un segundo factor en cada transferencia. Proteger el teléfono o la computadora sigue siendo importante: bloqueo de pantalla, actualizaciones, cifrado cuando corresponda y control de quién utiliza el equipo.

Nextcloud recomienda generar códigos de recuperación de 2FA y guardarlos separados del dispositivo que genera el segundo factor. No confundas esos códigos con la contraseña de aplicación. Si el teléfono se pierde y también contenía la única copia de los códigos, podrías complicar la recuperación de la cuenta justo cuando necesitas retirar sus accesos.

5. Ensaya la baja sin poner en riesgo documentos

Haz el primer ensayo con una cuenta y archivos de prueba autorizados. Crea una credencial exclusiva para ese ensayo y verifica que funciona. Después retírala desde la lista de dispositivos de Nextcloud. Según la versión, la acción aparece como un icono de papelera o una opción del menú de la entrada.

Vuelve al cliente y realiza una operación nueva contra el servidor, por ejemplo, actualizar el listado de una carpeta de prueba o intentar subir un archivo ficticio. Comprueba que ese acceso ya no se autoriza. Un documento abierto antes, una miniatura o una copia local pueden seguir visibles: no sirven por sí solos para evaluar la revocación.

Verifica también que el otro cliente autorizado sigue funcionando con su propia credencial. Si ambos dejan de conectar, revisa si reutilizaban el mismo token. Si el cliente retirado todavía completa operaciones nuevas, identifica la cuenta y la credencial realmente utilizadas, así como cualquier reautenticación automática, antes de dar por terminada la baja.

Ejemplo hipotético: una vendedora cambia de teléfono y conserva su computadora. Primero se registran y prueban los accesos del nuevo móvil; después se revoca el acceso del anterior. Se comprueba la baja con una operación nueva y se mantiene la sincronización de la computadora. Si se trata de un robo o una sospecha de compromiso, la prioridad es contener el acceso: no se espera a estrenar el reemplazo.

6. No confundas revocación con borrado o respaldo

Retirar una contraseña de aplicación no elimina automáticamente las copias descargadas, las exportaciones ni los documentos enviados por otros canales. El manejo del dispositivo requiere su propio procedimiento: recuperación física, gestión corporativa del equipo o borrado autorizado cuando exista esa capacidad. No prometas un borrado remoto solo por quitar un token.

Las sesiones del navegador son accesos separados que también deben revisarse. Los enlaces públicos compartidos requieren su propia revisión: revocar el cliente que los creó no debe tomarse como prueba de que esos enlaces dejaron de funcionar. En una baja de personal, el alcance es más amplio que retirar un teléfono: incluye identidad, permisos, sesiones y continuidad de los archivos.

Tampoco uses un cambio de contraseña como sustituto universal de la revocación. El manual documenta un caso particular para cuentas con un backend de usuarios externo: sus contraseñas de dispositivo pueden quedar inválidas tras el cambio y volver a funcionar después de iniciar sesión con la nueva contraseña principal. Verifica el comportamiento de tu proveedor de identidad y retira expresamente los accesos que deban terminar.

Finalmente, sincronización no significa respaldo. Mantén copias recuperables y pruebas de restauración fuera del alcance de este ensayo. Para revisar permisos, clientes y almacenamiento centralizado, consulta nuestros servicios de nube privada y servidores.