Una agencia con accesos a Search Console, Analytics, hosting y paneles de varios clientes concentra riesgo. Las prácticas básicas son pedir el permiso mínimo necesario, usar cuentas individuales (no compartir contraseñas), guardar credenciales en un gestor de contraseñas, activar la autenticación en dos pasos y revocar los accesos al terminar. Esto protege al cliente y a tu agencia.
Pide el permiso mínimo
- Search Console: permisos de usuario con el nivel necesario (completo o restringido) en lugar de propietario cuando no hace falta.
- Analytics: rol de lector o analista salvo que debas configurar eventos.
- WordPress: rol de editor o un usuario de administrador propio solo para tareas técnicas.
- Hosting: acceso por usuario individual o por SSH con clave, no la cuenta principal del cliente.
Mira qué accesos pedir a un cliente (y cuáles no).
Usuarios individuales, no cuentas compartidas
Pide al cliente que te añada con tu propio correo en lugar de entregarte su contraseña. Así queda registro de quién hizo qué, puedes usar tu autenticación en dos pasos y el cliente puede revocar el acceso sin cambiar claves.
Gestor de contraseñas y 2FA
- Guarda cualquier credencial en un gestor con cifrado, nunca en correos, chats o hojas de cálculo.
- Activa la autenticación en dos pasos en tus propias cuentas y en las que administres, preferentemente con aplicaciones de autenticación o llaves; ver la guía de CISA sobre MFA.
- Evita reutilizar contraseñas entre clientes.
Seguridad en el equipo y en proveedores
Define quién tiene acceso a qué, revisa los permisos cada trimestre y usa roles. Si trabajas con proveedores marca blanca, limita el acceso a lo necesario y regístralo en el NDA (NDA en marca blanca). Evita compartir accesos por mensajería.
Al terminar un cliente
Revoca accesos el mismo día, elimina credenciales del gestor, entrega al cliente la documentación y confirma por escrito. Revisa también las integraciones (conexiones de Looker Studio, claves de API). Un proceso ordenado evita incidentes y problemas de confianza, como en qué pasa con tu SEO si cambias de agencia.
Si ocurre un incidente
Ten un plan: cambiar contraseñas, revocar sesiones, avisar al cliente con claridad y documentar qué pasó. La transparencia protege la relación. Para sitios comprometidos, mira cómo limpiar un WordPress hackeado y recuperar el SEO.
Un ejemplo práctico (ilustrativo)
Una agencia exige a cada cliente añadirla con su correo en Search Console, usa un gestor de contraseñas para lo demás, activa doble factor y revoca todo el día del cierre del contrato. Es un escenario hipotético para ilustrar el método, no un caso real ni una promesa de resultados.
Higiene de accesos
- Permisos mínimos.
- Usuarios individuales.
- Gestor de contraseñas.
- Doble factor.
- Revisión trimestral.
- Revocación al terminar.
- Plan ante incidentes.
¿Cómo puede ayudarte RankPro con esto?
RankPro trabaja con accesos individuales y permisos mínimos, y documenta el traspaso al finalizar.
Preguntas frecuentes
¿Puedo pedir la contraseña del cliente?
Es preferible pedir acceso con tu propio usuario; las contraseñas compartidas son un riesgo.
¿Qué gestor de contraseñas usar?
Uno con cifrado, autenticación en dos pasos y registro de accesos.
¿Cada cuánto revisar permisos?
Al menos cada trimestre y cada vez que cambie el equipo.
¿Y si el cliente no entiende los permisos?
Dale una guía paso a paso con capturas.