Amazon S3 es el almacén de ficheros de AWS: copias, documentos, imágenes, lo que sea. El error clásico es hacer un bucket público para poder pasar un enlace a alguien. No hace falta, y es la causa de buena parte de las filtraciones de datos que salen en prensa. S3 permite generar un enlace temporal (URL prefirmada) a un fichero concreto, que funciona durante el tiempo que tú digas y luego deja de hacerlo, con el bucket completamente cerrado.
Esta guía monta el bucket bien desde el principio y te enseña las dos formas de generar el enlace: con el ratón y con un comando.
Antes de empezar: qué significa cada cosa
- S3
- El servicio de almacenamiento de ficheros de Amazon. Guarda cualquier tipo de archivo y lo sirve cuando se lo piden.
- Bucket
- Una "carpeta raíz" en S3, con un nombre único en todo el mundo. Dentro van tus ficheros y subcarpetas.
- Objeto
- Así llama S3 a cada fichero guardado.
- Acceso público
- Que cualquiera en internet pueda ver un fichero sabiendo su dirección. Está bloqueado por defecto y así debe quedarse.
- URL prefirmada (enlace temporal)
- Una dirección especial, larga y con una firma, que permite descargar un fichero concreto durante el tiempo que tú elijas y después deja de funcionar.
- CloudShell
- La terminal integrada en la consola web de AWS, donde se escriben comandos. No hay que instalar nada.
- Control de versiones
- Opción por la que S3 guarda las versiones anteriores de un fichero cuando lo cambias o lo borras.
- Regla de ciclo de vida
- Una norma automática de limpieza: borrar versiones antiguas o ficheros pasados unos días.
- CloudFront
- La red de distribución de Amazon: la forma correcta de servir al público ficheros de un bucket sin abrir el bucket.
Paso a paso
Crea el bucket con el acceso público bloqueado
En la consola de S3, Crear bucket. El nombre es único en todo AWS, así que usa algo como
copias-miempresa-2026, en minúsculas y sin espacios. Elige la región donde tengas el resto de cosas. En Configuración de bloqueo de acceso público deja marcada la casilla Bloquear todo el acceso público: es el valor por defecto y es el correcto. Más abajo, activa el cifrado por defecto (SSE-S3 basta) y, si vas a guardar cosas importantes, el control de versiones, que conserva las versiones anteriores de un fichero cuando lo sobreescribes o lo borras.Sube el fichero
Entra en el bucket, Cargar, arrastra el fichero y pulsa Cargar. Puedes crear carpetas para ordenar; en S3 las carpetas son solo parte del nombre del fichero, pero en la consola funcionan como esperas. Cuando termine, pulsa sobre el fichero: verás su URL de objeto. Si la abres en el navegador te dará "Access Denied". Perfecto: eso significa que el bucket está cerrado.
Genera el enlace temporal desde la consola
Con el fichero seleccionado, menú Acciones, Compartir con una URL prefirmada. Elige cuánto tiempo debe funcionar (minutos u horas; la consola tiene un máximo de unas horas) y pulsa Crear. La URL se copia al portapapeles. Es larga y lleva una firma: cualquiera que la tenga puede descargar ese fichero hasta que caduque, y nada más.
O genera el enlace desde CloudShell
Si lo necesitas a menudo o quieres un plazo más largo, abre CloudShell (icono de terminal en la consola) y escribe:
aws s3 presign s3://copias-miempresa-2026/informes/octubre.pdf --expires-in 86400El número son segundos: 86400 es un día. El enlace que devuelve se puede pegar en un correo o un chat. El plazo máximo depende del tipo de credencial con el que lo firmes; con una clave de acceso de usuario IAM puede llegar a una semana.
Da el enlace y comprueba que caduca
Envíalo a quien tenga que descargar el fichero. Pasado el plazo, el enlace devuelve un error de "Request has expired". Si alguien lo necesita de nuevo, generas otro: es un momento. No es necesario borrar ni cambiar nada en el bucket.
Si has heredado un bucket público, ciérralo
En la lista de buckets, la columna Acceso te dice si alguno es público. Entra en él, pestaña Permisos, activa Bloquear todo el acceso público y elimina la política de bucket que lo abría. Después, para los ficheros que de verdad tengan que ser públicos (imágenes de una web, por ejemplo), lo correcto es servirlos a través de CloudFront, no abrir el bucket.
Qué puede salir mal
El enlace da "Access Denied" en vez de descargar
La URL prefirmada funciona con los permisos de quien la firmó. Si tu usuario no puede leer ese objeto, el enlace tampoco. También ocurre si se ha copiado la URL incompleta: es muy larga y algunos correos la cortan. Envíala como enlace, no como texto plano, o acórtala con un servicio de confianza.
El enlace caduca antes de lo que pedí
Si lo generaste desde CloudShell o con credenciales temporales (un rol), la URL deja de funcionar cuando caducan esas credenciales, aunque pidieras más tiempo. Para plazos largos, fírmalo con la clave de un usuario IAM que solo tenga permiso de lectura sobre ese bucket.
El nombre del bucket ya existe
Los nombres son globales: otro cliente de AWS en cualquier parte del mundo ya lo usa. Añade el nombre de tu empresa o un sufijo.
La factura de S3 crece sin subir nada
Con el control de versiones activo, borrar un fichero no lo borra: crea una "marca de eliminación" y la versión anterior sigue ocupando espacio. Pon una regla de ciclo de vida que elimine las versiones antiguas pasados unos días. Las cargas multiparte incompletas también ocupan espacio invisible; otra regla de ciclo de vida las limpia.
En Simplio
En Simplio abres el bucket como una carpeta: subes, descargas y borras ficheros sin entrar en la consola de AWS, y cada persona de tu equipo ve solo los buckets que le asignes y puede o no borrar según el permiso que le des. El acceso público bloqueado se queda bloqueado: Simplio nunca abre un bucket.
Lo mismo, en AWS y en Simplio
| En la consola de AWS | En Simplio | |
|---|---|---|
| Subir y organizar ficheros | Consola de S3, bucket por bucket, cuenta por cuenta | Buckets de todas tus cuentas como carpetas en una pantalla |
| Dar acceso a alguien del equipo | Usuario IAM con política de S3 escrita a mano | Asignarle el bucket y marcar si puede borrar |
| Saber quién borró un fichero | CloudTrail con registro de eventos de datos activado (coste) | Registro de actividad de Simplio, por persona y bucket |