Personas identificadas
Da identidad individual y solo las marcas y tareas necesarias.
Guía de acceso, revisada el 12 de agosto de 2026
Gestionar cuentas sociales sin compartir contraseñas
Una contraseña compartida convierte a varias personas en una identidad invisible. Debilita atribución, salidas y respuesta a incidentes. Agencias y equipos multimarca deben usar roles, consentimiento delegado y acceso limitado donde el proveedor lo permita, con excepciones documentadas en otros casos.
Los roles y pantallas de consentimiento cambian. Comprueba documentación y elegibilidad. Esta guía es una base operativa, no afirma que todos los proveedores deleguen igual.
Sustituir un secreto por autoridad nominal
Sustituir un secreto por autoridad nominal
Herramientas delegadas
Conecta software por consentimiento sin entregar la contraseña principal.
Revocación rápida
Define quién elimina roles, revoca tokens y protege el trabajo programado.
Inventariar todos los accesos
Lista propietarios, administradores, empleados, proveedores, agencias, aplicaciones, recuperación, dispositivos y tokens. Registra propósito, aprobación, último uso y responsable de retirada. Un acceso desconocido es un hallazgo aunque parezca legítimo.
Separa roles del proveedor y permisos de la herramienta. Una persona puede ver un espacio sin publicar, y una herramienta mantener token tras su salida. Revisa ambas capas e incluye métodos de recuperación.
Usar roles y consentimiento delegado
Prefiere una identidad individual añadida mediante el modelo business o canal. Conecta software con OAuth o consentimiento y pide scopes mínimos. No envíes contraseñas por chat, documentos, email o campos de proyectos.
Confirma la identidad de destino. Los nombres pueden parecerse y un operador controla varias cuentas. Guarda identificador, nombre visible, propietario y scopes. Antes del primer post, una segunda persona debe verificar el destino.
Diseñar roles por acción y marca
Define quién puede ver, crear, editar, aprobar, programar, publicar, conectar, exportar y facturar. Limita por marca, sin abrir todo el portafolio. Gestionar tokens y publicar necesitan más autoridad que mirar el calendario.
Evita administrador permanente para trabajo normal. Usa acceso temporal cuando sea posible. Conserva atribución histórica tras retirar a una persona, pero impide que sesiones y tokens autoricen nuevas acciones.
Hacer simétricas entrada y salida
La entrada requiere solicitud, aprobación, cuenta individual, autenticación reforzada si existe, formación y prueba. Nunca copies credenciales de otra persona. Registra sistemas y marcas concedidos para completar la salida.
La salida elimina espacio, roles, sesiones, recuperación y tokens personales. Reasigna publicaciones y aprobaciones. Al terminar un cliente, exporta registros acordados, desconecta, revoca y confirma la evidencia que debe conservarse.
Preparar excepciones e incidentes
Un camino heredado puede tentar a compartir secreto. Haz visible la excepción con responsable, razón, duración y plan de migración. Usa un gestor aprobado, nunca mensaje o hoja de cálculo, y rota al terminar.
Ante acceso sospechoso, bloquea publicación, conserva logs, revoca sesiones y tokens, cambia recuperación cuando sea necesario y contacta al proveedor. Después reconcilia posts remotos e intenciones sin exponer el secreto en el incidente.
Referencias de acceso y consentimiento
Referencias de acceso y consentimiento
La referencia de seguridad explica OAuth moderno. Las ayudas de proveedores definen los controles actuales.
- OAuth 2.0 Security Best Current PracticeRevisado el 12 de agosto de 2026
- Meta business integrations helpRevisado el 12 de agosto de 2026
- Google account third-party connectionsRevisado el 12 de agosto de 2026
- Connect social media accounts safelyRevisado el 12 de agosto de 2026
FAQ
Preguntas sobre gestión sin contraseña compartida
¿Una agencia debe conocer la contraseña del cliente?
Prefiere roles y consentimiento. Si no hay camino compatible, documenta una excepción temporal en un gestor aprobado.
¿OAuth impide que la herramienta actúe?
OAuth delega scopes aprobados. La herramienta actúa dentro de ellos, así que propiedad, almacenamiento y revocación importan.
¿Qué pasa cuando se va un proveedor?
Elimina roles, revoca tokens y sesiones, reasigna trabajo y conserva atribución histórica.
¿Cuándo revisar accesos?
De forma periódica según riesgo y tras cambios de equipo, cliente, propiedad o seguridad del proveedor.
Continuar con una ruta concreta
Continuar con una ruta concreta
Probar con una marca y una cuenta real
Valida el flujo, los permisos y la evidencia antes de ampliar.
Crear un espacio Cascads