Cómo bloquear el Dock en el Mac de una biblioteca o de acceso público

Respuesta corta: las mismas cuatro claves defaults que bloquean cualquier Dock de Mac, más una más que importa mucho más aquí que en ningún otro sitio: desactiva las apps recientes, porque en un equipo de acceso libre esa sección le muestra a la siguiente persona en qué estaba trabajando la anterior.

Si el Mac se restaura a una imagen al reiniciar, configura los bloqueos antes de que se capture la imagen, o la restauración los quitará cada noche.

Un Mac público falla de otra forma

El Mac de un aula tiene treinta personas a las que se les puede decir que no hagan algo. Un Mac de biblioteca o de acceso libre no tiene nada de eso, y eso cambia contra qué te estás defendiendo en realidad.

Nadie lo reporta. Un estudiante dice que el Dock se ve raro. Una persona del público que encuentra un Dock a la mitad de tamaño asume que el ordenador es así, lo usa igualmente y se va. La deriva se acumula en silencio durante meses.
El Dock es toda la interfaz. Alguien que nunca ha usado un Mac no tiene costumbre de Launchpad, ni de Spotlight, ni idea de para qué sirve la barra de menús. Si la app que necesita se sacó del Dock arrastrándola, para él no existe.
Las sesiones son cortas y anónimas. Nadie está lo bastante implicado como para devolverlo a como estaba, y nadie es lo bastante identificable como para preguntarle.
Casi nunca es mala intención. Es una mano apoyada en el separador, un icono arrastrado dos píxeles de más, un pellizco despistado en el trackpad.

El único sitio donde un Mac público es más fácil

Los equipos públicos suelen tener una sola cuenta que está siempre con la sesión iniciada y nunca se cierra. Eso hace que la vía normal de defaults sea más duradera aquí que en un aula con sesiones por estudiante, porque solo hay una cuenta donde pueden vivir los ajustes.

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

Cada uno pone en gris el control correspondiente en Ajustes del Sistema, así que no se puede cambiar desde la interfaz en absoluto. Sobreviven a un reinicio, a un modo de reposo y a una actualización de macOS. La lista completa con el tipo de cada clave está en todos los comandos defaults del Dock del Mac.

La sección de apps recientes, que aquí es un problema de privacidad

macOS añade una sección de aplicaciones usadas recientemente a la derecha del Dock. En tu propio Mac es una comodidad. En un Mac de acceso libre es una lista de lo que abrió la persona anterior, mostrada a la siguiente que se sienta.

defaults write com.apple.dock show-recents -bool false
killall Dock

Los cuatro bloqueos de arriba no la quitan, porque es un ajuste aparte. Desactívala a propósito. Más sobre esto en cómo evitar que aparezcan apps recientes en el Dock.

La trampa de la imagen de restauración

Muchos Mac públicos están configurados para volver a un estado conocido, ya sea mediante software de imágenes o restaurando una instantánea de disco al reiniciar. Es la forma correcta de gestionar un equipo así, y tiene una consecuencia que la gente descubre de la peor manera:

Todo lo que configures después de capturar la base se deshace la próxima vez que el equipo se restaure. Tus bloqueos del Dock son configuración. Configúralos, confírmalos, y solo entonces captura la imagen. Si el Mac ya está en servicio, el cambio va en la base, no en la sesión en curso, o lo tendrás que configurar cada mañana preguntándote por qué.

Lo mismo se aplica al ajuste de apps recientes y al contenido real del Dock. Organiza el Dock exactamente como debería encontrarlo el público, y luego captura.

Quién puede deshacer qué

Vale la pena ser precisos, porque los tres mecanismos no son intercambiables.

Un comando defaults lo deshace otro comando defaults. Cualquiera que sepa abrir Terminal puede quitar los cuatro en un minuto.
Un perfil de configuración que instalas a mano se mantiene a pesar de Terminal, de un reinicio, y de eliminar lo que lo creó. Se aplica a la sesión que lo instaló, y todavía se puede quitar a propósito en Ajustes del Sistema, General, Gestión de dispositivos. Eso es intencionado: a nadie debería quedarle un Dock que no puede desbloquear.
Un perfil de configuración enviado por un MDM es la única versión que se puede hacer realmente imposible de quitar y aplicar a todas las cuentas del dispositivo. Si la biblioteca ya gestiona estos Mac de forma centralizada, ahí es donde va esto.

Para un equipo público sin acceso a Terminal en manos del público, los bloqueos normales suelen bastar. Para uno donde se puede llegar a Terminal, no.

Una configuración sensata para un Mac de acceso libre

Organiza el Dock exactamente como debería encontrarlo el público, y quita lo que no necesiten.
Desactiva las apps recientes, para que la sección deje de mostrar el trabajo de la última persona.
Aplica los cuatro bloqueos.
Si se puede llegar a Terminal, entrega los bloqueos mediante un perfil de configuración en vez de con un comando.
Captura la imagen de restauración ahora, no antes.
Anota lo que configuraste, y dónde. Un bloqueo sin registro es un misterio para quien herede el equipo.

Preguntas frecuentes

¿Esto evita que alguien abra apps que no debería?

No. Evita que el Dock cambie. Restringir qué apps se pueden ejecutar es un asunto aparte, y ahí es donde entran Tiempo en pantalla o tu herramienta de gestión. Los dos van bien juntos y resuelven problemas distintos.

El Mac se borra solo al reiniciar de todos modos. ¿Aun así necesito esto?

Solo si el reinicio ocurre lo bastante seguido. Un equipo que se restaura cada noche igualmente pasa un día entero descuadrándose, y la deriva es peor por la tarde, cuando más gente lo ha usado.

¿Sobrevivirán los bloqueos a una actualización de macOS?

Sí. Viven en las preferencias de la cuenta y no en el sistema, así que una actualización las deja intactas. Una imagen de restauración, en cambio, las reemplazará por lo que tenga la base.

¿Y si hay una cuenta aparte de invitado o visitante?

Las preferencias se guardan por cuenta, así que lo que configures en una sesión no aparece en otra. Configura los bloqueos en la cuenta que realmente usa el público. Si esa cuenta es de las que macOS borra entre sesiones, los ajustes desaparecerán con ella, y la respuesta es un perfil a nivel de dispositivo de una herramienta de gestión y no un comando.

¿Es esto distinto de un aula o de una recepción?

Los comandos son idénticos. Las situaciones no: un aula tiene cuentas, supervisión y alguien a quien avisar, y una recepción tiene una segunda pantalla que puede ver un cliente. Consulta bloquear el Dock en el Mac de un aula, en el Mac de una recepción o showroom, en un Mac familiar, o la guía de Mac compartido para el caso general.