Bloquear el quiosco de escritorio

Los quioscos públicos requieren un dispositivo dedicado

Un equipo macOS o Windows que ejecuta el quiosco de escritorio de Jonot en un entorno público debe ser un dispositivo dedicado — no puede además funcionar como mostrador utilizable o estación de trabajo compartida. La prevención de escape a nivel de sistema operativo (Force Quit ⌘+⌥+Esc, Mission Control, gestos de Spaces) es obligatoria para un quiosco público y es incompatible con que el mismo equipo siga siendo utilizable con normalidad. Consulta Ejecutar pantalla y mostrador en un mismo equipo para conocer la topología multisuperficie admitida.

La app de quiosco de escritorio gestiona lo que puede desde dentro de su propio proceso. Para quioscos públicos sin supervisión, añade un perfil a nivel de sistema operativo por debajo de la app para que el propio sistema operativo bloquee las vías de escape que la app fundamentalmente no puede cerrar.

Lo que la app gestiona por sí sola

Al iniciarse como cliente de quiosco, la app de escritorio:

• Se abre sin bordes y a pantalla completa, cubriendo toda la geometría de la pantalla, incluida la franja de la barra de menús.
• En macOS, oculta la barra de menús y el dock mediante las NSApplicationPresentationOptions nativas (.hideMenuBar | .hideDock) y las vuelve a aplicar cada vez que la app recupera el foco.
• Bloquea ⌘+Q (y «Salir» en el menú de la app) en macOS mediante el QuitHandler de AWT.
• Intenta suprimir otros atajos habituales — Alt+F4, ⌘+W, Alt+Tab, ⌘+Tab, la tecla Windows/Super, F11 y Escape — para aquellos que el sistema operativo entrega a la app antes de actuar sobre ellos por sí mismo.
• Protege la salida con un PIN de gestor. El menú de gestor se abre con cinco toques rápidos en la esquina superior derecha (para pantallas táctiles) o cinco pulsaciones de F12 (para teclados físicos), y la introducción del PIN tiene bloqueo por fuerza bruta. Un operador supervisor establece el PIN en el primer arranque. Consulta Salir del bloqueo de quiosco y recuperar el PIN para conocer el flujo completo del operador, incluida la recuperación del PIN.

La app de mostrador no está bloqueada — es una herramienta para el personal y conserva los controles de ventana normales.

Lo que la app no puede cerrar — requiere un perfil a nivel de sistema operativo

Una aplicación de escritorio no puede bloquear de forma fiable todos los gestos del sistema desde dentro de su propio proceso. Las vías que requieren un perfil a nivel de sistema operativo son: Force Quit (⌘+⌥+Esc), Mission Control, gestos de Spaces, esquinas activas, cambio de aplicación (⌘+Tab / Alt+Tab a nivel de sistema operativo) y Spotlight. Usa la guía operativa a nivel de sistema operativo que aparece a continuación para cubrirlas.

Windows — Assigned Access / Shell Launcher

Windows ofrece dos mecanismos de quiosco. El quiosco de escritorio es una aplicación de escritorio Win32 clásica, así que Shell Launcher es la opción adecuada — Assigned Access (quiosco de una sola app) solo acepta apps UWP/MSIX o Microsoft Edge.

Shell Launcher v2 sustituye el shell predeterminado de Windows (explorer.exe) por el ejecutable del quiosco de Jonot para una cuenta designada. Sin shell de Explorer no hay escritorio, menú Inicio ni barra de tareas; si la app se cierra, Shell Launcher la reinicia. Requiere Windows 10/11 Enterprise, Education o IoT Enterprise.

1. Activa la función opcional Shell Launcher (Enable-WindowsOptionalFeature -Online -FeatureName Client-EmbeddedShellLauncher), o distribúyela desde tu MDM.
2. Crea una cuenta local dedicada estándar (no administradora) para el quiosco.
3. Configura Shell Launcher para que el shell personalizado de esa cuenta sea el lanzador del quiosco de Jonot, con la acción de reinicio al cerrarse — mediante la CSP de Shell Launcher de tu MDM, o localmente con el ejemplo de PowerShell del puente WMI documentado en la guía de Shell Launcher.
4. Configura la cuenta del quiosco para inicio de sesión automático y desactiva la pantalla de bloqueo, la suspensión y el cambio rápido de usuario.

Para una configuración supervisada rápida sin licencia Enterprise, el «navegador de quiosco» de Assigned Access puede apuntar directamente a https://kiosk.jonot.io — pero ejecuta la SPA en Edge sin el puente nativo (sin impresión local, sin conmutación a host sin conexión), así que es un recurso alternativo, no un sustituto de la app nativa.

macOS — guía operativa de prevención de escape a nivel de sistema operativo

La app oculta la barra de menús y el dock, y bloquea ⌘+Q desde la propia app. El perfil a nivel de sistema operativo cubre las vías que la app no puede cerrar: Force Quit, Mission Control, cambio de Spaces, esquinas activas, Spotlight y cambio de aplicación.

Usa una cuenta gestionada o restringida dedicada con inicio de sesión automático. Despliega desde un MDM (Jamf Pro, Kandji, Mosyle o Intune):

1. Cuenta estándar dedicada + inicio de sesión automático. Crea una cuenta local no administradora que se use solo para el quiosco. Activa el inicio de sesión automático para esa cuenta y desactiva la suspensión del sistema con un perfil de energía. Un payload de Managed Login Items garantiza que la app de quiosco se inicie al comenzar la sesión.

2. Desactivar Force Quit (⌘+⌥+Esc). Force Quit es la principal vía de escape que la app no puede bloquear. Desactívala con un payload personalizado de preferencias gestionadas para com.apple.loginwindow:

   DisableForceQuitCombinedKey = true

3. Desactivar Mission Control y el cambio de Spaces. Usa com.apple.symbolichotkeys para desactivar el atajo de Mission Control (tecla 32) y los atajos de cambio de Spaces (teclas 79–81, 118–123).

4. Desactivar las esquinas activas. Distribuye un payload de preferencias de com.apple.dock con las cuatro claves wvous-*-corner puestas en 0 (desactivado).

5. Desactivar Spotlight. Desactiva el atajo de teclado de Spotlight mediante com.apple.symbolichotkeys (tecla 64 para la búsqueda de Spotlight). Nota: la clave de Spotlight del payload de Restrictions estándar solo suprime los resultados de Internet, no Spotlight en sí — usa en su lugar el enfoque de symbolichotkeys.

6. Desactivar el cambio de aplicación (⌘+Tab). Desactiva el atajo del selector de aplicaciones mediante com.apple.symbolichotkeys (tecla 27).

Nota

macOS también ofrece el Autonomous Single App Mode (ASAM), que proporciona un bloqueo de aplicación única forzado por el sistema operativo. ASAM requiere que la app se adhiera a través de la API ASAM de Apple, algo que el quiosco de escritorio de Jonot no hace actualmente. La guía anterior logra un bloqueo eficaz sin ASAM para las vías que importan.

Linux — sesión de quiosco de GNOME

En Linux, el bloqueo más limpio es una sesión dedicada de GNOME Kiosk que ejecuta la app de quiosco de Jonot como la única ventana de la sesión — sin panel, sin vista de Actividades y sin selector de aplicaciones.

1. Instala el paquete gnome-kiosk (disponible en versiones recientes de Fedora y Debian/Ubuntu). Proporciona un compositor Wayland mínimo que ejecuta una única app a pantalla completa.
2. Crea una sesión personalizada que lance el ejecutable del quiosco de Jonot como su comando de shell, de modo que la app de quiosco sea la sesión.
3. Configura el inicio de sesión automático de GDM para un usuario estándar dedicado en esa sesión de quiosco.
4. Endurece el sistema que la rodea: desactiva el cambio de VT y Ctrl+Alt+Retroceso, bloquea el acceso a TTY en logind, y desactiva el apagado automático de pantalla y la gestión de energía.

Como el compositor de GNOME Kiosk nunca expone un selector ni una vista general, no hay ninguna vía dentro de la sesión hacia otra aplicación — el sistema operativo impone lo que la supresión de atajos dentro del proceso de la app solo puede intentar.

Capas recomendadas

Capa	Protege contra
Bloqueo dentro de la app	Barra de menús/dock (macOS), ⌘+Q, salidas accidentales, atajos capturables dentro del proceso
Perfil de quiosco a nivel de SO	Force Quit, Mission Control, Spaces, esquinas activas, Spotlight, cambio de aplicación a nivel de SO
Cerramiento físico	Acceso al hardware — puertos USB, botón de encendido, el teclado

Ejecuta siempre el bloqueo dentro de la app y un perfil a nivel de sistema operativo juntos para ubicaciones públicas sin supervisión. Un cerramiento físico es la tercera capa para despliegues totalmente resistentes a manipulaciones.