A un software que publica en tu web dale el mínimo permiso necesario para hacer su trabajo: si solo debe publicar artículos, un permiso de publicación y no el de administrador. Lo ideal es que use un usuario propio, distinto del tuyo, para poder desactivarlo cuando quieras sin cambiar tu contraseña ni afectar a nadie más. Esta regla del mínimo vale para cualquier herramienta, sea de contenidos, de copias de seguridad o de analítica.
Quien tiene una web con visitas o una tienda online sabe que dar acceso a un tercero impone respeto, y es una reacción sana. Lo que sigue te ayuda a decidir qué conceder, cómo comprobarlo y cómo retirarlo.
Tres niveles de permiso: leer, publicar y administrar
Casi cualquier plataforma distingue estos tres niveles, aunque los llame de otra manera:
- Leer — ver datos sin cambiar nada. Es el permiso apropiado para herramientas que solo miden o informan, como una de analítica o de posiciones.
- Publicar — crear contenido nuevo, como entradas de blog o páginas, y a veces subir las imágenes que acompañan. Es el nivel que necesita un software que redacta y publica por ti.
- Administrar — instalar extensiones, cambiar el diseño, crear o borrar usuarios, tocar ajustes de seguridad o de pagos. Es el nivel más peligroso: quien lo tiene puede romper la web o abrir una puerta a otros.
La pregunta práctica es siempre la misma: ¿qué es lo mínimo que necesita esta herramienta para hacer lo que le pido? Si te piden más que eso, pregunta por qué.
Un ejemplo con los roles de WordPress
WordPress, el gestor de contenidos más extendido, trae roles de usuario que ilustran bien la idea. El colaborador puede escribir entradas, pero no publicarlas. El autor puede publicar sus propias entradas. El editor puede publicar y gestionar las entradas de todos. El administrador puede hacerlo todo, incluidas extensiones, usuarios y ajustes.
Si tu web está en WordPress y una herramienta solo debe publicar artículos, el rol de autor o editor suele cubrir ese trabajo, y administrador raramente hace falta. Otras plataformas tienen sus propios niveles con nombres distintos, y cada herramienta puede pedir un permiso diferente según cómo se conecte. Por eso, antes de conceder nada, lee en su documentación qué acceso solicita y para qué. Si quieres comparar cómo funciona esta conexión en la práctica, tenemos una guía sobre herramientas para publicar contenido en WordPress automáticamente.
¿Qué permisos necesita realmente un software que publica en mi web?
Normalmente, poder crear y publicar entradas o páginas y, si el contenido lleva imágenes, subirlas a la biblioteca de medios. Puede necesitar también asignar categorías y etiquetas. Lo que no debería necesitar para ese trabajo es instalar o borrar extensiones, cambiar el tema, ver los datos personales de otros usuarios o tocar los ajustes de pago. Si una herramienta que solo publica artículos te pide acceso de administrador, no significa que sea mala, pero sí que debes preguntar por qué y si existe una alternativa con menos privilegios. La respuesta que recibas dice mucho de cómo trabaja el proveedor.
Lo mismo se aplica a otros servicios de Google. En Search Console hay niveles de usuario con distintos poderes, y en Google Ads existen accesos de solo lectura, estándar y administrador. Si te interesa lo segundo, mira a nombre de quién está tu cuenta publicitaria, que cubre qué debes exigir sobre la titularidad.
Cómo preparar el acceso paso a paso
Antes de dar nada, ordena el terreno:
- Haz una copia de seguridad — de la web completa, o al menos de la base de datos, por si algo sale mal. Es una buena costumbre antes de conectar cualquier herramienta nueva.
- Crea un usuario exclusivo para la herramienta — con un nombre reconocible, para saber luego qué se publicó con él y poder desactivarlo sin tocar los demás.
- Asigna el rol más bajo que cubra su trabajo — y súbelo solo si falla algo concreto y justificado.
- Usa una clave específica si la plataforma lo permite — muchas plataformas permiten crear una clave de acceso solo para una aplicación externa y revocarla individualmente, sin cambiar tu contraseña personal.
- Activa la verificación en dos pasos en tu propia cuenta de administrador — protege lo que tú controlas, que es el acceso que más daño haría en manos ajenas.
Nunca envíes tu contraseña de administrador por correo, mensajería o llamada. Si alguien te la pide, es una razón para frenar.
¿Cómo retiro el acceso cuando ya no lo quiero?
Con el usuario o la clave específica que creaste. Basta con desactivar o eliminar ese usuario, o con revocar la clave de aplicación, y la herramienta deja de poder publicar en el acto, sin que te afecte a ti ni a tu equipo. Un detalle importante en WordPress: al eliminar un usuario, el sistema te pregunta qué hacer con las entradas que había creado, y conviene elegir reasignarlas a otro usuario en lugar de borrarlas, porque lo ya publicado pertenece a tu web y no tiene por qué desaparecer.
Si además diste acceso a Search Console o a Google Ads, retíralo también desde los ajustes de usuarios y permisos de cada servicio. Lo que no revoques sigue activo, aunque dejes de usar la herramienta. Apunta en una nota qué accesos diste, a quién y cuándo, para no depender de la memoria.
¿Qué conviene revisar de vez en cuando en el panel de tu web?
Un repaso periódico, no hace falta que sea semanal, que incluya la lista de usuarios con sus roles, las claves de acceso externas, las extensiones instaladas y las últimas entradas publicadas con su autor. Busca cuentas que no reconoces, proveedores antiguos que ya no trabajan contigo y herramientas con más permisos de los que necesitan. Cada cuenta olvidada es una puerta abierta que nadie vigila. Comprueba también que lo que se publica es lo que esperabas y que aparece con el autor esperado: si todo lo publicado por una herramienta lleva su usuario, es muy fácil localizarlo y corregirlo. Para entender qué hace cada pieza en tu web, puede ayudarte plugin de SEO o software que publica: no hacen lo mismo.
Errores comunes al dar acceso
- Usar tu cuenta personal — la herramienta queda ligada a tu usuario y no puedes retirarla sin tocar tu acceso.
- Dar administrador por si acaso — es la opción cómoda y la más arriesgada. Empieza por el mínimo.
- Compartir una contraseña — una clave de uso específico se puede retirar; una contraseña compartida, no sin cambiarla en todas partes.
- No desactivar al terminar — el proveedor que ya no trabaja contigo sigue con acceso durante meses.
- No tener copia de seguridad — si algo falla, necesitas poder volver atrás.
Conclusión
La regla es sencilla: da el permiso más bajo que permita hacer el trabajo, usa un usuario o una clave exclusivos para cada herramienta, guarda una copia de seguridad y revisa de vez en cuando quién tiene acceso. Con eso conservas el control de tu web aunque trabajes con terceros.
AutoAd publica artículos en la web del cliente, así que conviene aplicarle esta misma regla: pregunta qué acceso necesita y para qué, y concede solo ese; si quieres verlo funcionando con tu web, reserva una demo de AutoAd.