Permessi e ruoli sui social: la struttura a 6 ruoli per le agenzie

Il controllo degli accessi basato sui ruoli (RBAC) funziona così: è il ruolo a decidere cosa può fare una persona, non la persona stessa. Per un team social ti servono sei ruoli, non venti: creator, editor, approver, publisher, analyst, admin. Limita ogni persona ad account cliente specifici, così nessuno vede lavoro che non è suo, e tieni traccia di chi ha approvato cosa.

Le agenzie di solito falliscono in uno di due modi. O tutti condividono un unico login, o ogni post aspetta il via libera del fondatore. Entrambi i problemi si risolvono in un pomeriggio.

TLDR: Sei ruoli, limitati per cliente, con le approvazioni come gate e ogni via libera registrato. Le eccezioni individuali sono ciò che rende l'intero modello ingestibile.

I sei ruoli che coprono quasi ogni team

Ruolo	Può fare	Non può fare
Creator	Scrivere bozze di post, caricare asset	Pubblicare, collegare account
Editor	Modificare qualsiasi bozza in scope, inviare per approvazione	Approvare il proprio lavoro
Approver	Approvare, rifiutare, commentare le bozze	Modificare gli account collegati
Publisher	Pianificare e pubblicare i post approvati	Approvare, aggiungere utenti
Analyst	Leggere le analytics, esportare report	Toccare i contenuti
Admin	Collegare account, gestire utenti e ruoli	Nulla, quindi tienilo a due persone

Due regole impediscono a questo sistema di marcire. Nessuno approva il proprio lavoro, e l'admin resta a esattamente due persone, così c'è sempre un backup e mai un comitato.

Resisti ai permessi individuali. Nel momento in cui hai "Sara, ma può anche pubblicare il giovedì", hai una configurazione che nessuno riesce più a controllare dopo sei mesi. Gestisci l'eccezione con un cambio di ruolo temporaneo e poi ripristina tutto.

Lo scope: la parte che le agenzie sbagliano

Un ruolo da solo non basta. Un creator sul Cliente A non deve poter vedere il Cliente B. Questo è lo scope, ed è la prima cosa che salta quando un'agenzia supera il login condiviso.

Lo scope si gioca su tre assi:

• Cliente o brand. Il confine invalicabile. I contractor ne ricevono esattamente uno.
• Canale. Qualcuno può gestire Instagram e TikTok senza toccare la pagina LinkedIn aziendale.
• Fase. L'accesso alle bozze non implica mai l'accesso alla pubblicazione.

Serve una separazione vera, non un filtro. Se un contractor può cambiare il selettore account e finire nell'inbox di un altro cliente, hai una vista di default, non un isolamento. I Workspace sono il modo in cui Mydrop traccia questa linea: ogni cliente è uno spazio a sé, con i propri membri, il proprio calendario e i propri account collegati.

Gli stakeholder dei clienti sono un problema diverso. Molti di loro non dovrebbero proprio avere un account utente. Un portale clienti senza login permette loro di rivedere e approvare i propri contenuti senza un posto, una password o un livello di permesso da mantenere per sempre dopo la fine del progetto.

Le approvazioni sono il gate, non la scala di anzianità

I permessi decidono chi può agire. Le approvazioni decidono quando. Tieni separate le due cose, o inizierai a promuovere persone ad admin solo per sbloccare un post il venerdì pomeriggio.

Instrada in base al rischio, non al titolo di lavoro:

Contenuto	Revisori
Post con template, ricorrenti	Un editor
Nuova campagna o nuova affermazione	Cliente o referente del brand
Settori regolamentati, legale o crisi	Revisore legale nominato, senza fallback

Dai alle prime due righe un approver di riserva, così una vacanza non blocca le pubblicazioni. La terza riga deve bloccare davvero. I flussi di approvazione tengono il post in attesa finché non arrivano tutti i via libera, così "approvato" e "pubblicato" restano un unico record, invece di due liste da riconciliare a mano.

Cosa deve registrare il tuo audit log

"Chi ha cambiato questa cosa?" arriva sempre nel momento peggiore, e un log che salva solo lo stato attuale non sa rispondere.

Registra cinque cose per ogni azione:

1. Chi l'ha fatta, come persona nominata e mai come account condiviso.
2. Che ruolo aveva in quel momento. Le persone cambiano ruolo, e un log che risolve il ruolo al momento della lettura riscrive silenziosamente la storia.
3. Cosa è cambiato, con la versione precedente ancora leggibile.
4. Quando, con il fuso orario.
5. Sotto quale approvazione è stato pubblicato.

Due regole pratiche. Tieni i record delle approvazioni più a lungo dei log operativi, perché l'approvazione è ciò che chiunque chiede davvero. E rendili ricercabili per cliente e intervallo di date, perché è la forma in cui arriva ogni richiesta di audit.

Confrontare i vendor su questo è facile: chiedi a ciascuno di tirare fuori lo storico delle approvazioni di un post specifico di tre mesi fa. O esiste nella demo, o non esiste.

Cosa verificare prima di comprare

Le funzionalità che separano un vero modello di permessi da una semplice pagina di impostazioni:

• Ruoli definibili per cliente, non un ruolo globale per utente.
• Isolamento che sopravvive al cambio account, testato con un login da contractor vero.
• Routing delle approvazioni con revisori nominati e un fallback definito.
• Storico delle approvazioni esportabile per un singolo post.
• Accesso revisore senza posto, così il via libera del cliente non costa una licenza.
• SSO e provisioning tramite directory se l'IT gestisce la tua lista utenti. La maggior parte dei tool social riserva queste funzioni ai piani enterprise, quindi chiedilo alla prima chiamata, non in fase di contratto.

Planable e Sprout Social gestiscono entrambi approvazioni multi-step con ruoli definiti. Mydrop mette in un unico sistema workspace per cliente, ruoli, commenti direttamente sulla bozza, gate di approvazione e link di revisione senza login: la combinazione che le agenzie spesso assemblano con due strumenti separati. Per il resto della configurazione operativa intorno a questo, le agenzie social copre lo stack completo.

Configuralo questa settimana

Tre passaggi, in quest'ordine:

1. Elenca ogni persona che oggi può pubblicare. Includi ex contractor e il login condiviso. La lista è sempre più lunga di quanto chiunque si aspetti.
2. Assegna a ciascuno un ruolo singolo e uno scope su un solo cliente. Nessuna eccezione al primo giro.
3. Sposta gli stakeholder dei clienti sui link di revisione ed elimina i loro account utente.

Metti un promemoria a 90 giorni nel calendario per rifare il primo passaggio, perché l'accesso obsoleto è il fallimento che torna ogni volta. Puoi iniziare gratis e avere ruoli e workspace clienti mappati prima che parta la prossima campagna.