Permisiuni pe roluri pentru social media: configurarea cu 6 roluri pentru agenții

Controlul accesului pe bază de rol (RBAC) înseamnă că rolul decide ce poate face cineva, nu persoana. Pentru o echipă de social media ai nevoie de șase roluri, nu de douăzeci: creator, editor, aprobator, publicator, analist, admin. Limitează fiecare persoană la conturile anumitor clienți, ca nimeni să nu vadă munca altcuiva, apoi ține evidența cine a aprobat ce.

Agențiile greșesc de obicei într-una din două direcții. Ori toată lumea împarte un singur login, ori fiecare postare așteaptă după fondator. Ambele se rezolvă într-o după-amiază.

Pe scurt: Șase roluri, limitate pe client, cu aprobările ca poartă de control și fiecare semnătură înregistrată. Excepțiile per persoană sunt cele care fac tot modelul imposibil de întreținut.

Cele șase roluri care acoperă aproape orice echipă

Rol	Poate	Nu poate
Creator	Scrie postări, încarcă materiale	Publica, conecta conturi
Editor	Editează orice draft din sfera lui, trimite spre aprobare	Să-și aprobe propria muncă
Aprobator	Aprobă, respinge, comentează pe drafturi	Editeze conturile conectate
Publicator	Programează și publică postările aprobate	Aprobe, adauge utilizatori
Analist	Citește analytics, exportă rapoarte	Atingă conținutul
Admin	Conectează conturi, gestionează utilizatori și roluri	Nimic, așa că ține-l la două persoane

Două reguli împiedică acest sistem să putrezească. Nimeni nu își aprobă propria muncă, iar adminul rămâne la exact două persoane, ca să existe mereu un backup și niciodată un comitet.

Rezistă tentației permisiunilor per persoană. În momentul în care ai „Sarah, dar ea poate publica și joia", ai o configurație pe care nimeni nu o mai poate audita peste șase luni. Rezolvă excepția cu o schimbare temporară de rol, apoi revino la setarea inițială.

Sfera de acces: partea pe care agențiile o greșesc

Un rol singur nu e suficient. Un creator pe Clientul A nu trebuie să poată vedea Clientul B. Asta înseamnă sferă de acces, și e primul lucru care se rupe când o agenție depășește un singur login partajat.

Sfera de acces se stabilește pe trei axe:

• Client sau brand. Granița dură. Contractorii primesc exact unul.
• Canal. Cineva poate deține Instagram și TikTok fără să atingă pagina de companie de pe LinkedIn.
• Stadiu. Accesul la draft nu implică niciodată acces la publicare.

Asta cere separare reală, nu un filtru. Dacă un contractor poate schimba selectorul de cont și ajunge în inbox-ul altui client, ai o vizualizare implicită, nu izolare. Workspace-urile sunt modul în care Mydrop trage această linie: fiecare client e un spațiu propriu, cu membrii lui, calendarul și conturile conectate.

Stakeholderii clienților sunt o problemă diferită. Majoritatea nici nu ar trebui să fie utilizatori. Un portal de client fără login le permite să revizuiască și să aprobe propriul conținut fără un loc plătit, o parolă sau un nivel de permisiune pe care să-l întreții la nesfârșit după ce proiectul se termină.

Aprobările sunt poarta de control, nu scara ierarhică

Permisiunile decid cine poate acționa. Aprobările decid când. Ține-le separate, altfel o să începi să faci oameni admini doar ca să deblochezi o postare de vineri.

Rutează în funcție de risc, nu de titlul jobului:

Conținut	Recenzori
Postări pe șablon, recurente	Un editor
Campanie nouă sau o afirmație nouă	Client sau responsabilul de brand
Reglementat, legal sau de criză	Recenzor legal numit, fără plan B

Dă primelor două rânduri un aprobator de rezervă, ca o sărbătoare să nu oprească publicarea. Al treilea rând trebuie să blocheze cu adevărat. Workflow-urile de aprobare țin postarea blocată până ajung toate semnăturile, ceea ce păstrează „aprobat" și „publicat" ca o singură evidență, nu ca două liste pe care le împaci manual.

Ce trebuie să înregistreze jurnalul tău de audit

„Cine a schimbat asta?" apare mereu în cel mai prost moment posibil, iar un jurnal care stochează doar starea curentă nu poate răspunde la întrebare.

Înregistrează cinci lucruri pentru fiecare acțiune:

1. Cine a făcut-o, ca persoană numită, niciodată ca un cont partajat.
2. Ce rol avea în acel moment. Oamenii își schimbă rolurile, iar un jurnal care rezolvă rolul la momentul citirii rescrie în tăcere istoria.
3. Ce s-a schimbat, cu versiunea anterioară încă lizibilă.
4. Când, cu fus orar.
5. Sub ce aprobare a fost publicat.

Două reguli practice. Păstrează evidențele de aprobare mai mult decât jurnalele operaționale, pentru că aprobarea e cea pe care o cere cineva de fapt. Și fă-le căutabile după client și interval de date, pentru că așa arată fiecare cerere de audit.

Compararea vendorilor la acest capitol e simplă: cere fiecăruia să scoată istoricul de aprobări pentru o postare anume de acum trei luni. Ori există în demo, ori nu.

Ce să verifici înainte să cumperi

Funcțiile care separă un model real de permisiuni de o pagină de setări:

• Roluri definibile per client, nu un singur rol global per utilizator.
• Izolare care supraviețuiește comutatorului de cont, testată cu un login real de contractor.
• Rutare de aprobare cu recenzori numiți și un plan de rezervă definit.
• Istoric de aprobări exportabil pentru o singură postare.
• Acces de recenzor fără loc plătit, ca semnătura clientului să nu coste o licență.
• SSO și provisioning de directoare dacă IT-ul deține lista ta de utilizatori. Majoritatea tool-urilor sociale rezervă asta pentru planurile enterprise, așa că întreabă din prima discuție, nu în faza de contract.

Planable și Sprout Social gestionează ambele aprobări în mai mulți pași cu roluri definite. Mydrop pune workspace-uri per client, roluri, comentarii direct pe draft, porți de aprobare și linkul de recenzor fără login într-un singur sistem, adică exact combinația pe care agențiile o asamblează cel mai des din două tool-uri separate. Pentru restul configurației operaționale din jur, agențiile de social media acoperă întregul stack.

Configurează asta săptămâna asta

Trei pași, în această ordine:

1. Listează fiecare om care poate publica azi. Include foștii contractori și loginul partajat. Lista e mereu mai lungă decât se așteaptă oricine.
2. Dă fiecăruia un singur rol și o singură sferă de client. Fără excepții la prima trecere.
3. Mută stakeholderii clienților pe linkuri de review și șterge-le conturile de utilizator.

Pune un reminder de 90 de zile în calendar ca să refaci pasul unu, pentru că accesul învechit e eșecul care revine de fiecare dată. Poți începe gratuit și să ai rolurile și workspace-urile de client mapate înainte să înceapă următoarea campanie.