En muchas webs de empresa ocurre algo bastante poco recomendable: el propietario es administrador, la persona de marketing también, la agencia tiene otra cuenta de administrador y quizá siga existiendo el usuario de aquel freelance que hizo unos cambios hace dos años.
Mientras nadie toque donde no debe, parece que no pasa nada. El problema aparece cuando alguien desactiva un plugin, modifica un ajuste que afecta a toda la web o una de esas cuentas cae en manos de otra persona.
WordPress permite evitar buena parte de este riesgo con algo que ya incluye de serie: usuarios con distintos roles y permisos. La idea es que cada persona pueda hacer su trabajo sin tener acceso a funciones que no necesita. WordPress llama capacidades a esos permisos concretos y los agrupa en roles como Administrador, Editor, Autor, Colaborador o Suscriptor.
Para una web de empresa, configurarlos bien mejora la seguridad y también pone un poco de orden: sabes quién puede publicar, quién puede cambiar contenido y quién tiene acceso a la parte técnica.
Un rol es el conjunto de permisos que recibe un usuario.
WordPress trabaja internamente con capacidades concretas: publicar entradas, editar páginas de otras personas, subir archivos, moderar comentarios, instalar plugins, gestionar usuarios o cambiar determinados ajustes. Cada rol agrupa una combinación de esas capacidades.
Por eso dos personas pueden entrar al mismo WordPress y encontrarse con opciones distintas. Quien tiene permisos de Editor puede trabajar con el contenido de la web, mientras que un Administrador dispone además de funciones que afectan a plugins, temas, usuarios y configuración.
Para una empresa conviene pensar en los accesos igual que en cualquier otro permiso interno. La persona que necesita publicar artículos no tiene por qué poder instalar plugins. Quien únicamente entrega un borrador tampoco necesita permiso para publicarlo.
Además, hablamos aquí de los roles predeterminados de WordPress. Los plugins pueden crear roles y capacidades adicionales, por lo que una instalación con WooCommerce, membresías u otras funciones puede tener una lista diferente. WordPress también permite crear roles personalizados.
WordPress incluye seis roles predeterminados: Superadministrador, Administrador, Editor, Autor, Colaborador y Suscriptor. El primero corresponde a instalaciones Multisite, así que en una web corporativa convencional normalmente trabajarás con los otros cinco.
Es el rol con más permisos en una instalación normal de WordPress.
Un Administrador puede gestionar páginas y entradas, usuarios, ajustes, temas y plugins. En una instalación de un solo sitio también dispone de capacidades como instalar, actualizar y eliminar plugins o temas.
Esto tiene una consecuencia práctica: no conviene utilizar Administrador como rol por defecto para cualquier persona que trabaje en la web.
Tiene sentido para quien sea responsable técnico del sitio y para la persona de la empresa que deba conservar el control administrativo. Una agencia o profesional encargado del mantenimiento también puede necesitarlo mientras presta el servicio.
Un responsable de marketing que solo modifica páginas y publica contenidos normalmente no necesita esos permisos técnicos.
El Editor tiene bastante autonomía sobre el contenido, pero no recibe los permisos técnicos de un Administrador.
Puede publicar y gestionar entradas y páginas, incluidas las creadas por otros usuarios, subir archivos, gestionar categorías y moderar comentarios.
Es un rol que suele encajar bien con responsables de marketing o comunicación que necesitan trabajar con todo el contenido de la web sin instalar plugins ni cambiar la configuración general de WordPress.
Ojo con una cosa: Editor sigue siendo un rol con bastante poder. Puede modificar y borrar contenido publicado de otros usuarios. No deberías asignarlo automáticamente a cualquiera que necesite cambiar un texto de vez en cuando.
El Autor puede crear, editar, publicar y borrar sus propias entradas, además de subir archivos. No dispone de los permisos equivalentes para gestionar las entradas de otros autores ni las páginas del sitio.
Suele ser una buena elección para redactores habituales que tienen permiso para publicar directamente en el blog.
Por ejemplo, si cuentas con una persona especializada que prepara dos artículos al mes y no necesita modificar las páginas corporativas ni revisar el trabajo del resto del equipo, probablemente no necesite ser Editor.
El Colaborador puede escribir y gestionar sus propias entradas, pero no publicarlas ni subir archivos.
Es útil cuando quieres separar redacción y publicación. La persona prepara el contenido y alguien con más permisos lo revisa antes de publicarlo.
Puede encajar con colaboradores ocasionales, miembros de otros departamentos que escriben para el blog o redactores cuyo trabajo pasa por una revisión editorial.
El Suscriptor es el rol predeterminado con menos capacidades. En el núcleo de WordPress tiene básicamente permiso de lectura y puede gestionar su perfil.
No es el rol que asignarías a alguien encargado de trabajar con el contenido de la web.
Puede aparecer, por ejemplo, en sitios donde hay usuarios registrados, aunque conviene recordar que plugins de membresía, comercio electrónico u otras aplicaciones pueden ampliar o cambiar el sistema de permisos.
Solo debes preocuparte por él si utilizas WordPress Multisite, es decir, una red de sitios gestionada desde una misma instalación.
El Superadministrador dispone de funciones de administración de la red que un Administrador normal no tiene.
Si tu empresa tiene una única web WordPress convencional, este rol no forma parte de las decisiones habituales del día a día.
Son problemas importantes la utilización de cuentas compartidas, el exceso de administradores y los roles con más permisos de los necesarios. La recomendación es utilizar cuentas personales, proteger especialmente los roles críticos y aplicar el principio de mínimo privilegio.
Es probablemente la situación que más merece la pena revisar.
Una persona entra para cambiar una fotografía y tiene permiso para instalar plugins. Otra solo publica artículos, pero también puede cambiar usuarios. La agencia necesita acceso técnico y termina compartiendo el mismo nivel de permisos que medio departamento de marketing.
No hace falta que nadie actúe con mala intención para tener un problema. Basta con desactivar el plugin equivocado, modificar una opción sin conocer su alcance o borrar algo pensando que ya no se utiliza.
Además, una cuenta con permisos elevados que resulte comprometida proporciona al atacante muchas más posibilidades que una cuenta limitada.
La solución tampoco consiste en quedarse con un único Administrador a cualquier precio. Consiste en que solo sean administradores quienes de verdad necesiten las capacidades de ese rol.
Si cuatro personas utilizan marketing para entrar en WordPress, cuando aparece un cambio inesperado resulta mucho más difícil atribuirlo a una persona concreta.
También complica la gestión de accesos. Si una de esas cuatro personas abandona la empresa, tendrás que cambiar las credenciales compartidas y comunicar las nuevas al resto. Con cuentas individuales basta con retirar el acceso que ya no corresponde.
WordPress está pensado para trabajar con cuentas de usuario independientes. Su propia documentación indica que, cuando varias personas necesitan trabajar en la web, puedes crear las cuentas necesarias y gestionar cada una por separado.
Una cuenta por persona deja además una base mucho más razonable para gestionar contraseñas, segundo factor de autenticación y permisos.
Revisa si todavía pueden entrar antiguos empleados, agencias anteriores, desarrolladores que hicieron una intervención puntual o colaboradores que dejaron de escribir hace tiempo.
Si ya no necesitan acceso, mantener esas cuentas no aporta nada.
Antes de eliminar un usuario que haya creado contenido, comprueba qué ocurrirá con sus publicaciones. WordPress permite borrar también el contenido asociado o reasignarlo a otro usuario durante el proceso de eliminación. Elegir mal esa opción puede hacerte perder entradas que querías conservar.
Por eso no conviene recorrer la lista borrando usuarios a toda velocidad.
Publicar un artículo y actualizar un plugin son trabajos distintos.
La persona responsable del blog puede necesitar editar todas las entradas y páginas. Eso no significa que necesite cambiar el tema, instalar extensiones o gestionar el resto de usuarios.
Separar ambos tipos de acceso reduce las posibilidades de que un cambio editorial termine afectando accidentalmente a la parte técnica.
Si además quieres revisar otros puntos que suelen quedar mal configurados, tienes una guía específica sobre errores de seguridad habituales en WordPress.
El criterio para asignar permisos tiene nombre: principio de mínimo privilegio.
Consiste en conceder a cada usuario únicamente los permisos necesarios para realizar su trabajo. La documentación para desarrolladores de WordPress recomienda expresamente seguir este principio al gestionar usuarios y capacidades.
Llevado a una empresa es bastante sencillo.
Si una persona entrega borradores que otra revisa, Colaborador puede bastar. Si publica sus propios artículos, Autor. Si es responsable de todo el contenido, probablemente necesite Editor. Y si se ocupa de plugins, configuración y mantenimiento técnico, entonces puede estar justificado el rol de Administrador.
Hay una ventaja adicional en caso de incidente: los permisos de la cuenta comprometida delimitan lo que esa cuenta puede hacer dentro de WordPress. Un Autor no dispone de las capacidades administrativas que sí tendría un Administrador.
No hace falta convertir esta política en algo rígido. Lo que necesita cada empresa depende de cómo esté organizada la web y de los plugins instalados. Lo importante es dejar de utilizar Administrador como respuesta automática.
Esta tabla sirve como punto de partida para una instalación estándar. Después tendrás que adaptarla si utilizas roles personalizados o plugins que modifican los permisos.
| Persona o función | Rol habitual | Motivo |
|---|---|---|
| Responsable de la web en la empresa | Administrador, si necesita control técnico | Puede gestionar configuración, usuarios, temas y plugins |
| Dirección / gerencia | Depende de lo que haga realmente | No necesita Administrador por el mero hecho de ser propietario |
| Responsable de marketing o comunicación | Editor | Gestiona contenido propio y ajeno sin administrar plugins |
| Redactor habitual | Autor | Puede publicar y gestionar sus propias entradas |
| Colaborador ocasional | Colaborador | Prepara borradores para que otra persona los publique |
| Agencia o soporte técnico | Administrador mientras necesite funciones administrativas | Requiere acceso para mantenimiento y diagnóstico |
| Usuario registrado sin tareas editoriales | Suscriptor | No necesita permisos para modificar contenido |
Un matiz importante está en la dirección de la empresa. Ser propietario del negocio no obliga a utilizar WordPress como Administrador a diario.
Conviene que la empresa conserve el control de su web, pero la cuenta utilizada para trabajar habitualmente puede tener menos permisos si su función consiste únicamente en revisar o gestionar contenidos.
En una red WordPress Multisite, la gestión cambia y determinadas capacidades quedan reservadas al Superadministrador.
Puedes hacer una primera revisión sin instalar nada. Reserva un rato y entra en el panel con una cuenta que tenga permisos para gestionar usuarios.
Ve a Usuarios → Todos los usuarios.
WordPress muestra ahí datos como el nombre de usuario, correo electrónico, rol y número de entradas atribuidas a cada cuenta. También permite filtrar por roles.
Para cada usuario intenta responder a cuatro cosas:
No necesitas exportar nada para una web con pocos usuarios. Una hoja de cálculo puede venir bien si gestionas muchas cuentas, pero la revisión puede hacerse directamente desde el panel.
Filtra o identifica primero Administradores y Editores.
Comprueba que reconoces todas las cuentas y que cada una sigue teniendo un motivo para conservar esos permisos. Si encuentras un administrador que nadie sabe identificar, no lo ignores: averigua de dónde procede antes de decidir qué hacer con él.
Después busca cuentas de antiguos proveedores o empleados y usuarios genéricos compartidos.
Si alguien es Administrador porque «siempre lo ha sido», pero solo gestiona contenidos, comprueba si Editor cubre sus necesidades.
Haz lo mismo con los demás niveles. Un redactor que solo trabaja con sus artículos puede encajar como Autor; si otra persona debe aprobarlos antes de publicarlos, Colaborador limita todavía más lo que puede hacer.
WordPress permite cambiar el rol de los usuarios desde la propia pantalla de gestión.
Antes de reducir permisos confirma qué tareas realiza realmente esa persona. Algunos plugins añaden funciones que dependen de capacidades concretas y un cambio de rol puede quitarle acceso a herramientas que sí necesita.
Si una cuenta pertenece a alguien que ya no trabaja contigo, decide si debe eliminarse.
Haz una copia de seguridad antes de una limpieza importante y presta atención a la opción de reasignar contenido al borrar usuarios. Como hemos visto, WordPress permite decidir qué hacer con las publicaciones asociadas a esa cuenta.
Si encuentras una cuenta administrativa que nadie reconoce, trátala de forma distinta a un simple usuario antiguo: conviene comprobar primero si existe algún indicio de acceso no autorizado.
La revisión sirve de poco si dentro de seis meses volvéis a tener doce administradores.
Puedes dejar una regla interna muy sencilla:
Cada persona tendrá una cuenta individual y recibirá el rol con menos permisos que le permita realizar su trabajo. El acceso de Administrador se reservará para quienes necesiten funciones administrativas o técnicas.
Cuando cambien las responsabilidades de una persona, cambia también sus permisos. Y cuando deje de necesitar acceso, retíralo.
Tener los roles bien repartidos no sustituye otras medidas de seguridad.
Cada usuario debería tener sus propias credenciales y una contraseña que no reutilice en otros servicios.
Esto es especialmente relevante para Administradores y Editores por la cantidad de acciones que pueden realizar. La recomendación encaja con otras medidas de acceso que tratamos en nuestra guía de seguridad de WordPress.
La autenticación de dos factores (2FA) añade una segunda comprobación al inicio de sesión. WordPress no incorpora 2FA de forma nativa, así que para utilizarlo necesitas una extensión o un servicio que añada esta función.
Tiene especial sentido proteger las cuentas con más permisos. Si tu configuración permite exigirlo a todos los usuarios del panel, puedes valorar aplicarlo de forma más amplia.
Evita compartir usuarios aunque resulte cómodo al principio.
Las cuentas individuales facilitan retirar accesos sin afectar al resto del equipo y permiten aplicar a cada persona el rol que necesita.
No hay un intervalo universal que sirva para todas las empresas. Una revisión trimestral puede ser un punto de partida razonable para una pyme, y conviene revisar los accesos también cuando alguien entra o sale del equipo o cambia de proveedor.
Si prefieres integrar esta comprobación dentro del cuidado periódico de la web, puedes ver cómo trabajamos el mantenimiento de WordPress.
Una web con seis administradores no está mejor gestionada que otra con dos. Lo relevante es que cada cuenta tenga una función conocida y permisos acordes con ella.
Empieza por Usuarios → Todos los usuarios, identifica a cada persona y revisa especialmente Administradores y Editores. Después retira accesos antiguos y reduce los permisos que sobren.
Es una tarea pequeña que evita que una persona encargada de contenidos tenga acceso innecesario a plugins, configuración o usuarios, y hace mucho más manejable el acceso a WordPress cuando cambia el equipo.
Si al revisar la lista encuentras administradores desconocidos, roles personalizados que no sabes de dónde salen o una instalación con muchos usuarios acumulados, puede tener sentido hacer un diagnóstico más amplio. Puedes contactar con ArregloTuWeb para revisar el estado de tu WordPress antes de cambiar permisos a ciegas.
