Usuarios y permisos en WordPress: roles, responsabilidades y control de cambios

Roles y capacidades: el “qué puede hacer” cada usuario

En WordPress, los roles (Administrador, Editor, Autor, Colaborador, Suscriptor) son “paquetes” de capacidades (permisos concretos). Este sistema es clave para seguridad y gobernanza: reduce riesgos (menos superficie de ataque) y clarifica responsabilidades (quién puede publicar, revisar, configurar o moderar).

Piensa en las capacidades como acciones específicas: edit_posts (editar entradas), publish_posts (publicar), moderate_comments (moderar comentarios), manage_options (cambiar ajustes del sitio), activate_plugins (activar plugins), etc. Un rol agrupa varias de estas capacidades.

Roles por defecto y responsabilidades típicas

Nota práctica: algunos permisos varían según plugins instalados (por ejemplo, formularios, membresías o e-commerce). Por eso conviene validar siempre “qué ve” cada rol en tu instalación concreta.

Roles personalizados (concepto): cuando los roles por defecto no encajan

Un rol personalizado es un rol creado para un conjunto de tareas muy específico (por ejemplo, “Moderador de comentarios”, “Gestor de tienda”, “SEO”, “Traductor”). La idea no es “dar más poder”, sino ajustar capacidades a una responsabilidad concreta.

• Cuándo tiene sentido: cuando un rol por defecto se queda corto (necesitas una capacidad extra) o se pasa (incluye permisos que no quieres dar).
• Qué evitar: crear muchos roles “por persona”. Los roles deben representar funciones, no nombres propios.

Criterios para asignar permisos por tareas (matriz práctica)

Para decidir permisos, usa una matriz “tarea → rol mínimo necesario”. Esto ayuda a aplicar el principio de mínimo privilegio y a justificar por qué alguien tiene acceso.

Continúa en nuestra aplicación.

• Escuche el audio con la pantalla apagada.
• Obtenga un certificado al finalizar.
• ¡Más de 5000 cursos para que explores!

O continúa leyendo más abajo...

Descargar la aplicación

Regla rápida para decidir

• Si la tarea afecta a seguridad, disponibilidad o configuración global → normalmente Administrador.
• Si la tarea afecta a contenido publicado de otros → normalmente Editor.
• Si la tarea es crear contenido propio con autonomía → Autor.
• Si la tarea es redactar sin publicar → Colaborador.
• Si solo necesita acceso a áreas privadas o comentar → Suscriptor.

Guía paso a paso: alta y asignación segura de usuarios

1) Preparar la solicitud de acceso (antes de crear la cuenta)

• Define la tarea: “publicar entradas del blog”, “moderar comentarios”, “actualizar textos de páginas”.
• Define alcance: ¿solo su contenido o el de todo el sitio?
• Define duración: acceso temporal (freelance) o permanente (equipo interno).
• Elige el rol mínimo que permita hacer el trabajo.

2) Crear el usuario en WordPress

En el panel de administración, ve a Usuarios → Añadir nuevo y completa:

• Correo corporativo o personal verificable.
• Nombre de usuario no genérico (evita admin, editor, marketing).
• Rol según la matriz anterior.

Recomendación: si el sitio lo permite, fuerza un primer acceso con cambio de contraseña o envía el enlace de establecimiento de contraseña.

3) Verificar el acceso con una prueba controlada

• Pide al usuario que confirme qué menús ve y qué acciones puede realizar.
• Comprueba que no tiene acceso a secciones no necesarias (por ejemplo, plugins o ajustes).
• Si hay exceso de permisos, baja el rol o ajusta con un rol personalizado (si aplica).

4) Documentar la asignación

Registra en un documento interno: usuario, rol, motivo, fecha de alta, fecha de revisión prevista y responsable que aprobó el acceso.

Buenas prácticas de seguridad y gobernanza

Cuentas individuales (nunca compartidas)

• Cada persona debe tener su propio usuario. Compartir credenciales impide auditoría y revocación selectiva.
• Para proveedores externos, crea cuentas nominales y caduca el acceso cuando termine el trabajo.

Principio de mínimo privilegio

• Empieza por el rol más bajo que permita trabajar y eleva solo si es imprescindible.
• Evita “Administrador por comodidad”. Si alguien necesita una acción puntual (p. ej., activar un plugin), que la ejecute un administrador responsable siguiendo un flujo de cambios.

Revisión periódica de usuarios (higiene operativa)

Establece una cadencia (mensual o trimestral) para revisar:

• Usuarios inactivos o que ya no pertenecen al equipo.
• Roles demasiado altos para la tarea real.
• Cuentas duplicadas o genéricas.
• Correos desactualizados.

Checklist de revisión:

• ¿Sigue siendo necesaria esta cuenta?
• ¿El rol asignado coincide con las tareas actuales?
• ¿Hay accesos temporales que deberían cerrarse?
• ¿Hay administradores de más?

Políticas de contraseñas y 2FA (cuando esté disponible)

• Contraseñas: largas, únicas y gestionadas con un gestor de contraseñas. Evita patrones repetidos y reutilización.
• 2FA (autenticación de dos factores): actívala al menos para Administradores y Editores si tu entorno lo ofrece (por hosting, plugin o SSO corporativo).
• Recuperación: define un procedimiento para pérdida de acceso (quién valida identidad y restablece).

Flujo recomendado de control de cambios (sin herramientas avanzadas)

Sin sistemas externos de control de versiones, puedes implementar un control de cambios “ligero” con disciplina y registro. El objetivo es responder a: qué cambió, quién lo cambió, cuándo, por qué y cómo revertir.

1) Define qué es un “ajuste crítico”

Crea una lista de cambios que requieren registro y aprobación (ejemplos):

• Cambios en enlaces permanentes, visibilidad del sitio, lectura, idioma.
• Activación/desactivación de plugins.
• Cambios en configuraciones de seguridad, caché o rendimiento.
• Modificaciones en menús principales, páginas legales o home.
• Creación/eliminación de usuarios y cambios de rol.

2) Establece un registro de cambios (Change Log) sencillo

Usa una hoja de cálculo o documento compartido con esta estructura:

Consejo: añade enlaces a capturas de pantalla “antes/después” cuando el cambio sea visual o de configuración.

3) Flujo operativo: solicitar → aprobar → ejecutar → verificar

• Solicitar: la persona describe el cambio, impacto esperado y urgencia.
• Aprobar: un responsable (p. ej., Admin técnico o responsable de contenido) valida que el rol del solicitante no necesita elevarse y que el cambio es correcto.
• Ejecutar: lo realiza quien tenga el rol adecuado (idealmente no la misma persona que aprueba en cambios críticos).
• Verificar: se comprueba el resultado con una lista corta: página carga, formularios funcionan, no hay errores visibles, objetivo cumplido.

4) Cómo revertir configuraciones (método práctico)

La reversión depende del tipo de cambio. Usa este enfoque:

• Antes de cambiar: anota el valor actual (o captura pantalla). Ejemplo: “Ajustes → Lectura: ‘Tu portada muestra’ = Una página estática (Inicio: Home v2)”.
• Durante el cambio: cambia una cosa cada vez y registra el paso exacto.
• Si algo falla: vuelve al valor anterior usando el registro (o la captura) y verifica de nuevo.

Ejemplos de reversión rápida:

• Se rompió una funcionalidad tras desactivar un plugin: reactívalo, limpia caché si aplica, y registra el incidente. Luego busca alternativa en un cambio planificado.
• Cambio en moderación de comentarios generó spam: restaura el ajuste anterior y revisa la cola de comentarios.
• Se editó una página y se perdió contenido: revisa el historial de revisiones de la página (si está disponible) y restaura una versión anterior; registra qué versión se restauró y por qué.

5) Control de “quién cambia qué” con roles (sin complicaciones)

• Reserva Administrador para un grupo mínimo (1–3 personas según tamaño).
• Asigna Editor a responsables de publicación y revisión, no a todo el equipo.
• Usa Colaborador para redactores externos o en formación.
• Cuando una tarea no encaja, considera rol personalizado (concepto) o ejecuta el cambio mediante el flujo de solicitud/aprobación.