Cómo bloquear el Dock en un Mac de biblioteca o de acceso público

Respuesta corta: las mismas cuatro claves de defaults que bloquean el Dock de cualquier Mac, más una más que aquí importa mucho más que en cualquier otro lado: desactiva las apps recientes, porque en un equipo de acceso libre esa sección le muestra a la siguiente persona en qué estaba trabajando la anterior.

Si el Mac se restaura a una imagen al reiniciar, define los bloqueos antes de capturar la imagen, o la restauración te los quitará todas las noches.

Un Mac público falla de otra forma

Un Mac de salón de clases tiene treinta personas a las que se les puede decir que no hagan algo. Un Mac de biblioteca o de acceso libre no tiene nada de eso, y eso cambia contra qué te estás defendiendo en realidad.

Nadie lo reporta. Un estudiante dice que el Dock se ve raro. Alguien del público que encuentra un Dock a la mitad de su tamaño asume que así es la computadora, la usa de todos modos, y se va. El desajuste se acumula en silencio durante meses.
El Dock es toda la interfaz. Alguien que nunca ha usado un Mac no tiene el hábito de Launchpad, ni el de Spotlight, ni idea de para qué sirve la barra de menús. Si la app que necesita fue arrastrada fuera del Dock, para ellos no existe.
Las sesiones son cortas y anónimas. Nadie está lo suficientemente involucrado como para devolverlo, y nadie es lo bastante identificable como para preguntarle.
Casi nunca es mala intención. Es una mano apoyada en el divisor, un ícono arrastrado dos píxeles de más, un pellizco accidental en el trackpad.

El único lugar donde un Mac público es más fácil

Los equipos públicos suelen correr una sola cuenta que tiene sesión iniciada de forma permanente y nunca cierra sesión. Eso hace que la ruta normal de defaults sea más duradera aquí que en un salón de clases con inicios de sesión por estudiante, porque solo hay una cuenta en la que viven las opciones.

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

Cada una deja en gris el control correspondiente en Configuración del Sistema, así que no se puede cambiar desde la interfaz en absoluto. Sobreviven a un reinicio, a un modo de reposo y a una actualización de macOS. La lista completa con el tipo de cada clave está en todos los comandos defaults del Dock del Mac.

La sección de apps recientes, que aquí es un problema de privacidad

macOS agrega una sección de aplicaciones usadas recientemente a la derecha del Dock. En tu propio Mac es una comodidad. En un Mac de acceso libre es una lista de lo que abrió la persona anterior, mostrada a la siguiente persona que se siente.

defaults write com.apple.dock show-recents -bool false
killall Dock

Los cuatro bloqueos de arriba no la quitan, porque es una opción aparte. Desactívala a propósito. Más sobre esto en cómo evitar que aparezcan apps recientes en el Dock.

La trampa de la imagen de restauración

Muchos Mac públicos están configurados para regresar a un estado conocido, ya sea con software de imágenes o restaurando una instantánea de disco al reiniciar. Esa es la forma correcta de manejar un equipo así, y tiene una consecuencia con la que la gente se topa de la forma difícil:

Todo lo que configures después de capturar la imagen base se deshace la próxima vez que el equipo se restaure. Los bloqueos de tu Dock son configuración. Actívalos, confírmalos, y solo entonces captura la imagen. Si el Mac ya está en servicio, el cambio va en la imagen base, no en la sesión activa, o vas a tener que configurarlo de nuevo cada mañana y preguntarte por qué.

Lo mismo aplica a la opción de apps recientes y al contenido real del Dock. Organiza el Dock exactamente como debería encontrarlo el público, y luego captura.

Quién puede deshacer qué

Vale la pena ser precisos, porque los tres mecanismos no son intercambiables.

Un comando de defaults se deshace con otro comando de defaults. Cualquiera que pueda abrir Terminal puede quitar los cuatro en un minuto.
Un perfil de configuración que instalas a mano se mantiene a pesar de Terminal, de un reinicio, y de eliminar lo que sea que lo creó. Se aplica al inicio de sesión que lo instaló, y todavía se puede quitar a propósito en Configuración del Sistema, General, Administración de dispositivos. Eso es a propósito: nadie debería quedarse con un Dock que no puede desbloquear.
Un perfil de configuración distribuido por un MDM es la única versión que se puede hacer verdaderamente imposible de quitar y aplicar a todas las cuentas del equipo. Si la biblioteca ya administra estos Mac de forma centralizada, ahí es donde va esto.

Para un equipo público sin acceso a Terminal en manos del público, los bloqueos normales suelen bastar. Para uno donde sí se puede llegar a Terminal, no bastan.

Una configuración razonable para un Mac de acceso libre

Organiza el Dock exactamente como el público debería encontrarlo, y quita lo que no necesiten.
Desactiva las apps recientes, para que la sección deje de mostrar el trabajo de la última persona.
Aplica los cuatro bloqueos.
Si se puede llegar a Terminal, entrega los bloqueos con un perfil de configuración en vez de con un comando.
Captura la imagen de restauración ahora, no antes.
Anota lo que configuraste, y dónde. Un bloqueo sin registro es un misterio para quien herede el equipo.

Preguntas frecuentes

¿Esto evita que alguien abra apps que no debería?

No. Evita que el Dock cambie. Restringir qué apps pueden ejecutarse es un asunto aparte, y ahí es donde entran Tiempo en pantalla o tu herramienta de administración. Los dos funcionan bien juntos y resuelven problemas distintos.

El Mac se borra solo al reiniciar de todos modos. ¿Aun así necesito esto?

Solo si el reinicio pasa con suficiente frecuencia. Un equipo que se restaura cada noche igual pasa un día entero desajustándose, y el desajuste es peor en la tarde, cuando más gente lo ha usado.

¿Los bloqueos sobrevivirán a una actualización de macOS?

Sí. Viven en las preferencias de la cuenta y no en el sistema, así que una actualización no las toca. Una imagen de restauración, en cambio, las reemplazará con lo que tenga la imagen base.

¿Qué pasa si hay una cuenta de invitado o visitante aparte?

Las preferencias se guardan por cuenta, así que lo que configures en un inicio de sesión no aparece en otro. Define los bloqueos en la cuenta que de verdad usa el público. Si esa cuenta es de las que macOS borra entre sesiones, la configuración se borra con ella, y la respuesta es un perfil aplicado al equipo desde una herramienta de administración en vez de un comando.

¿Esto es distinto de un Mac de salón de clases o de recepción?

Los comandos son idénticos. Las situaciones no: un salón de clases tiene cuentas, supervisión y alguien a quien avisar, y una recepción tiene una segunda pantalla que un cliente puede ver. Consulta bloquear el Dock en un Mac de salón de clases, en un Mac de recepción o sala de exhibición, en un Mac familiar, o la guía del Mac compartido para el caso general.