El control de acceso basado en roles (RBAC) significa que el rol decide qué puede hacer cada persona, no la persona. Para un equipo de redes sociales necesitas seis roles, no veinte: creador, editor, aprobador, publicador, analista y admin. Limita a cada persona a las cuentas de sus clientes para que nadie vea trabajo que no es suyo, y guarda registro de quién aprobó cada cosa.
Las agencias suelen fallar en una de dos direcciones. O todo el mundo comparte un único login, o cada post espera a que lo apruebe el fundador. Ambas cosas se arreglan en una tarde.
En resumen: Seis roles, limitados por cliente, con las aprobaciones como puerta y cada visto bueno registrado. Las excepciones por persona son lo que hace que todo el modelo sea imposible de mantener.
Los seis roles que cubren casi cualquier equipo
| Rol | Puede hacer | No puede hacer |
|---|---|---|
| Creador | Redactar posts, subir archivos | Publicar, conectar cuentas |
| Editor | Editar cualquier borrador en su ámbito, enviarlo a aprobación | Aprobar su propio trabajo |
| Aprobador | Aprobar, rechazar, comentar borradores | Editar cuentas conectadas |
| Publicador | Programar y publicar posts aprobados | Aprobar, añadir usuarios |
| Analista | Leer analíticas, exportar informes | Tocar contenido |
| Admin | Conectar cuentas, gestionar usuarios y roles | Nada, así que limítalo a dos personas |
Dos reglas evitan que esto se pudra. Nadie aprueba su propio trabajo y el admin se queda en exactamente dos personas, para que siempre haya un respaldo y nunca un comité.
Resiste la tentación de los permisos por persona. En el momento en que tienes un "Sara, pero ella también puede publicar los jueves", tienes un sistema que nadie podrá auditar seis meses después. Resuelve la excepción con un cambio temporal de rol y luego reviértelo.
El ámbito: la parte que las agencias hacen mal
Un rol por sí solo no basta. Un creador del Cliente A no debe poder ver al Cliente B. Eso es el ámbito, y es lo primero que se rompe cuando una agencia supera el login compartido.
El ámbito se define en tres ejes:
- Cliente o marca. La frontera dura. Un colaborador externo tiene exactamente uno.
- Canal. Alguien puede gestionar Instagram y TikTok sin tocar la página de empresa de LinkedIn.
- Fase. Tener acceso a borradores nunca implica tener acceso a publicar.
Esto necesita una separación real, no un filtro. Si un colaborador externo puede cambiar el selector de cuentas y acabar en el inbox de otro cliente, tienes una vista por defecto, no un aislamiento. Los espacios de trabajo son la forma en que Mydrop traza esa línea: cada cliente es su propio espacio con sus propios miembros, calendario y cuentas conectadas.
Los stakeholders de los clientes son otro problema. La mayoría ni siquiera deberían ser usuarios. Un portal de cliente sin login les permite revisar y aprobar su propio contenido sin una licencia, una contraseña o un nivel de permisos que tengas que mantener para siempre cuando el proyecto termine.
Las aprobaciones son la puerta, no la escalera de cargos
Los permisos deciden quién puede actuar. Las aprobaciones deciden cuándo. Mantén las dos cosas separadas, o acabarás haciendo admin a gente solo para desbloquear un post del viernes.
Enruta según el riesgo, no según el cargo:
| Contenido | Revisores |
|---|---|
| Posts con plantilla y recurrentes | Un editor |
| Nueva campaña o una afirmación nueva | El cliente o el responsable de la marca |
| Regulado, legal o de crisis | Revisor legal designado, sin alternativa |
Dale a las dos primeras filas un aprobador de respaldo para que un festivo no pare la publicación. La tercera fila debe bloquear de verdad. Los flujos de aprobación retienen el post hasta que llegan los vistos buenos, lo que mantiene "aprobado" y "publicado" como un único registro en lugar de dos listas que concilias a mano.
Lo que tu registro de auditoría debe guardar
"¿Quién cambió esto?" siempre llega en el peor momento posible, y un registro que solo guarda el estado actual no puede responderlo.
Registra cinco cosas por cada acción:
- Quién lo hizo, como persona con nombre y nunca como cuenta compartida.
- Qué rol tenía en ese momento. La gente cambia de rol, y un registro que resuelve el rol al leerlo reescribe la historia en silencio.
- Qué cambió, con la versión anterior todavía legible.
- Cuándo, con su zona horaria.
- Bajo qué aprobación se publicó.
Dos reglas prácticas. Guarda los registros de aprobaciones más tiempo que los registros operativos, porque la aprobación es lo que realmente te piden. Y haz que se puedan buscar por cliente y rango de fechas, porque así llegan todas las peticiones de auditoría.
Comparar proveedores en esto es fácil: pide a cada uno que recupere el historial de aprobaciones de un post concreto de hace tres meses. O existe en la demo o no existe.
Qué comprobar antes de comprar
Las funciones que separan un modelo de permisos real de una simple página de ajustes:
- Roles definibles por cliente, no un único rol global por usuario.
- Un aislamiento que sobreviva al selector de cuentas, probado con un login real de un colaborador externo.
- Enrutamiento de aprobaciones con revisores designados y un respaldo definido.
- Historial de aprobaciones exportable para un solo post.
- Acceso de revisor sin licencia, para que el visto bueno del cliente no cueste una licencia.
- SSO y aprovisionamiento de directorio si IT gestiona tu lista de usuarios. La mayoría de las herramientas de redes sociales reservan esto para los planes enterprise, así que pregúntalo en la primera llamada y no en la fase de contrato.
Planable y Sprout Social gestionan aprobaciones en varios pasos con roles definidos. Mydrop reúne en un solo sistema los espacios de trabajo por cliente, los roles, los comentarios directamente en el borrador, las puertas de aprobación y el enlace de revisor sin login, que es la combinación que las agencias suelen montar con dos herramientas separadas. Para el resto del esquema operativo que lo rodea, agencias de redes sociales cubre el stack completo.
Ponlo en marcha esta semana
Tres pasos, en este orden:
- Haz una lista de cada persona que puede publicar hoy. Incluye a los colaboradores externos antiguos y el login compartido. La lista siempre es más larga de lo que nadie espera.
- Asigna a cada uno un único rol y un único ámbito de cliente. Sin excepciones en la primera pasada.
- Mueve a los stakeholders de los clientes a enlaces de revisión y elimina sus cuentas de usuario.
Pon un recordatorio a 90 días en el calendario para repetir el paso uno, porque el acceso obsoleto es el fallo que vuelve siempre. Puedes empezar gratis y tener los roles y los espacios de trabajo de los clientes mapeados antes de que empiece la próxima campaña.
Reseña en Google
Reseña en Trustpilot
Product Hunt comment
