Cambiar los permisos de una aplicación Flatpak con Flatseal

Una aplicación instalada con Flatpak puede abrirse perfectamente y, aun así, no ver una carpeta de otro disco, una memoria USB o determinados dispositivos. No siempre es un fallo de la aplicación: muchas veces es el aislamiento de Flatpak haciendo exactamente lo que debe.

Flatseal permite revisar y cambiar esos permisos desde una interfaz gráfica. Es muy cómodo, pero también es fácil acabar marcando todas las opciones hasta que el programa funcione. La idea de este tutorial es hacer lo contrario: localizar el permiso que falta y conceder sólo ese.

Qué cambia Flatseal realmente

Flatpak ejecuta las aplicaciones en un entorno aislado. El acceso a archivos, dispositivos, sockets gráficos o servicios del sistema se decide mediante permisos y portales. Flatseal muestra los permisos estáticos y permite añadir anulaciones para cada aplicación.

Eso significa que Flatseal no «repara» el programa ni cambia los permisos normales de una carpeta en Linux. Modifica lo que la aplicación Flatpak puede alcanzar desde su entorno. Si una aplicación instalada mediante APT tiene el mismo problema, Flatseal no sirve para ella.

Instalar Flatseal

Si todavía no tengo Flatpak y Flathub preparados, puedo seguir nuestra guía para instalar y actualizar aplicaciones Flatpak. Con Flathub configurado, Flatseal se instala con:

flatpak install flathub com.github.tchx84.Flatseal

También puedo buscarlo como Flatseal en la tienda de software. Después lo abro desde el menú de aplicaciones.

Comprobar los permisos antes de cambiarlos

Antes de tocar interruptores puedo pedir a Flatpak que muestre la configuración actual. Primero averiguo el identificador de la aplicación:

flatpak list --app --columns=application,name

Después consulto sus permisos:

flatpak info --show-permissions IDENTIFICADOR.DE.LA.APP

La salida no siempre es fácil de leer, pero sirve para guardar una referencia y comprobar qué cambió. Flatseal presenta esa información de una forma mucho más cómoda.

Dar acceso a una carpeta concreta

Este es el caso más habitual: una aplicación no ve una carpeta que está en otro disco o fuera de las ubicaciones que ofrece el selector de archivos.

1. Cierro por completo la aplicación a la que voy a cambiar los permisos.
2. Abro Flatseal y la selecciono en la columna de la izquierda.
3. Busco el apartado Filesystem o Sistema de archivos.
4. En Other files añado la ruta exacta, por ejemplo /mnt/Datos/Fotos.
5. Si la aplicación sólo necesita leer, añado :ro: /mnt/Datos/Fotos:ro.
6. Vuelvo a abrir la aplicación y compruebo el acceso.

Dar acceso a una ruta específica es preferible a activar host, que expone una parte mucho mayor del sistema de archivos. Para un editor de fotografías, por ejemplo, tiene más sentido permitir la carpeta de imágenes que todo el disco.

Permisos que conviene entender antes de tocarlos

• home: permite acceder a la carpeta personal. Es amplio; no lo activaría si basta una subcarpeta.
• host: concede acceso a buena parte del sistema de archivos del equipo. Debería ser la última opción, no la primera.
• xdg-download, xdg-documents o xdg-pictures: limitan el permiso a carpetas estándar y suelen ser una elección más razonable.
• Devices: puede ser necesario para ciertas cámaras, mandos u otro hardware. No lo activaría para resolver un problema de archivos.
• Network: permite usar la red. Una aplicación sin funciones en línea normalmente no lo necesita.
• Session bus y System bus: dan acceso a servicios mediante D-Bus. Son permisos sensibles y no conviene copiar valores de un tutorial ajeno sin saber para qué sirven.

Portales y permisos permanentes no son lo mismo

Cuando una aplicación muestra el selector de archivos del escritorio y elijo un documento, normalmente interviene un portal. Ese mecanismo permite compartir un archivo concreto sin abrir una carpeta entera de forma permanente. Si el programa funciona bien con el selector, no hace falta darle más permisos en Flatseal.

Flatseal resulta especialmente útil cuando la aplicación no usa bien el portal o necesita trabajar siempre con una ruta concreta. Antes de ampliar permisos, probaría primero el botón Abrir de la propia aplicación.

Cómo deshacer los cambios

Flatseal marca los ajustes modificados y dispone de un botón para restablecerlos. Si una aplicación empieza a comportarse de forma extraña, la cierro, selecciono su ficha, restauro los permisos y la vuelvo a abrir.

También puedo restablecer las anulaciones de una aplicación desde la terminal si conozco su identificador:

flatpak override --user --reset IDENTIFICADOR.DE.LA.APP

Para consultar los identificadores instalados:

flatpak list --app --columns=application,name

Un ejemplo práctico

Supongamos que un editor de vídeo Flatpak no ve /media/sergio/Proyectos. El camino rápido sería activar acceso completo al sistema. El camino correcto sería cerrar el editor, añadir sólo esa ruta y comprobarlo. Si necesita guardar cambios, dejo la ruta sin sufijo; si sólo importa archivos, pruebo primero con :ro.

Si la ruta sigue sin aparecer, revisaría que el disco esté montado y que mi usuario normal pueda entrar en la carpeta. Flatseal no arregla un disco desmontado ni los permisos Unix del directorio.

Problemas habituales que Flatseal no soluciona por sí solo

• El disco externo cambia de ruta: si hoy se monta en un directorio diferente, el permiso anterior no coincide. Conviene estabilizar primero el punto de montaje.
• La carpeta pertenece a otro usuario: conceder acceso al sandbox no sustituye los permisos normales de Linux.
• La aplicación no admite el formato: ver el archivo no significa que sepa abrirlo.
• La cámara o el micrófono no funcionan: puede intervenir también PipeWire, el portal del escritorio o un permiso de dispositivo. Activar acceso a archivos no arregla ese caso.
• El cambio no se nota: muchas aplicaciones siguen ejecutándose en segundo plano. Hay que cerrarlas completamente y volverlas a abrir.

¿Es peligroso ampliar los permisos?

El aislamiento reduce lo que una aplicación puede alcanzar si falla o se comporta mal. Cada permiso amplio elimina parte de esa barrera. Una aplicación de confianza puede necesitar acceso a mis documentos, pero eso no vuelve razonable concederle toda la carpeta personal si sólo trabaja con fotografías.

También revisaría los permisos después de desinstalar una aplicación que ya no uso o cuando cambio su forma de trabajar. Un permiso que tenía sentido hace un año puede haber dejado de ser necesario.

Flatseal o Warehouse

Flatseal está centrado en permisos. Warehouse sirve para administrar aplicaciones, datos y restos de Flatpak. Se complementan, pero no los usaría indistintamente: para averiguar por qué una aplicación no ve una carpeta, Flatseal es la herramienta clara.

La regla que mejor funciona es sencilla: cambiar una cosa, reiniciar la aplicación y comprobar el resultado. Si marco media pantalla de permisos a la vez quizá consiga que funcione, pero ya no sabré cuál necesitaba ni qué acceso innecesario he dejado abierto.