En un sitio de cliente conviven varias personas: el propietario, un redactor, un diseñador, la agencia y a veces un proveedor externo. Darles a todos acceso de administrador es cómodo y peligroso. Los roles de WordPress permiten repartir permisos según la función real.
Roles básicos
| Rol | Puede | Para quién |
|---|---|---|
| Administrador | Todo, incluido instalar plugins y gestionar usuarios | Responsables técnicos mínimos |
| Editor | Publicar y gestionar contenido de todos | Responsable de contenido |
| Autor | Publicar y editar sus propias entradas | Redactores de confianza |
| Colaborador | Escribir entradas sin publicarlas | Redactores externos |
| Suscriptor | Gestionar su perfil | Usuarios registrados |
Principios de asignación
- Mínimo privilegio: solo los permisos necesarios para su tarea.
- Cuentas personales, nunca compartidas.
- Autenticación en dos pasos en administradores y editores.
- Cuentas de proveedores con fecha de caducidad.
- Revisión de usuarios cada cierto tiempo.
Para la gestión de claves y accesos, consulta accesos seguros para agencias.
Al incorporar a un colaborador externo, entrégale una cuenta propia con el rol mínimo y una fecha de revisión. Evita compartir la contraseña de otra persona, porque impide saber quién hizo qué. Si necesita acceso al servidor o al hosting, hazlo con una cuenta separada y permisos limitados. Un acceso temporal bien gestionado es más seguro que una credencial compartida que nadie recuerda cambiar.
Clientes que editan
Si el cliente edita contenido, el rol de editor suele bastar. Limita las acciones de riesgo —plugins, temas, ajustes— a la agencia, y explícale por qué. Muchos conflictos nacen de cambios hechos sin aviso, descritos en clientes que editan su propio WordPress. Si necesita funciones especiales, un plugin de roles personalizados puede ajustar permisos sin dar acceso total.
Revisión y registro
Haz una revisión trimestral: usuarios sin actividad, roles excesivos y cuentas de personas que ya no colaboran. Un registro de actividad ayuda a saber quién cambió qué, útil para diagnosticar problemas de SEO provocados por cambios involuntarios, como un noindex activado. Documenta los usuarios y sus roles en la ficha del cliente. Por seguridad adicional, revisa cómo ofrecer seguridad en WordPress.
Explica al cliente los motivos de las restricciones con ejemplos sencillos: un plugin instalado sin prueba puede dejar el sitio inaccesible, y un ajuste de visibilidad mal activado puede ocultarlo del buscador. Cuando entiende el riesgo, acepta mejor los límites. Y ofrece una vía rápida para pedir cambios, de modo que las restricciones no se perciban como obstáculos sino como parte del servicio.
Cuando un colaborador deje el proyecto, retira su acceso el mismo día. Es una de las medidas de seguridad más simples y más olvidadas, y evita que cuentas abandonadas se conviertan en puertas de entrada para problemas.
En resumen
- Principios de asignación: Para la gestión de claves y accesos, consulta accesos seguros para agencias .
- Clientes que editan: Si el cliente edita contenido, el rol de editor suele bastar.
- Revisión y registro: Haz una revisión trimestral: usuarios sin actividad, roles excesivos y cuentas de personas que ya no colaboran.
Preguntas frecuentes
¿La agencia debe ser administradora?
Sí, con cuenta propia; el cliente puede tener un administrador de respaldo.
¿Qué hago con el usuario «admin» por defecto?
Evita nombres previsibles y usa cuentas nominales.
¿Se debe eliminar un usuario o desactivarlo?
Reasigna su contenido y elimínalo para no dejar cuentas inactivas.