Guía · WordPress
Roles y permisos de usuarios en WordPress: guía práctica
Qué puede hacer cada rol de WordPress, cómo aplicar el mínimo privilegio, cuándo crear usuarios nuevos y cómo revisar quién tiene acceso a tu sitio.
WordPress incluye roles con permisos distintos: administrador, editor, autor, colaborador y suscriptor. El principio práctico es el mínimo privilegio: cada persona recibe solo lo que necesita para su tarea. Reduce errores y limita el daño si una cuenta se compromete.
Roles
Qué hace cada rol
| Rol | Puede |
|---|---|
| Administrador | Todo: plugins, temas, usuarios y ajustes |
| Editor | Publicar y gestionar todo el contenido |
| Autor | Publicar y editar sus propias entradas |
| Colaborador | Escribir sin publicar |
| Suscriptor | Gestionar su perfil |
La lista completa de capacidades está en la documentación oficial de roles. WooCommerce añade roles como gestor de la tienda.
Reglas
Reglas de higiene
- Limita los administradores al mínimo y no uses la cuenta de administrador para escribir contenido.
- Crea una cuenta por persona; no compartas contraseñas.
- Usa correos corporativos, no personales de un tercero.
- Elimina o degrada las cuentas de quien ya no trabaja contigo.
- Activa verificación en dos pasos en las cuentas con permisos altos, como en autenticación en dos pasos.
Agencias
Cuando trabaja un tercero
Si contratas a un desarrollador o una agencia, crea un usuario propio para esa persona y desactívalo al terminar. No entregues el acceso del propietario. Esto evita el problema descrito en cuando el desarrollador desaparece.
Auditoría
Revisión trimestral sencilla
- Entra en Usuarios y ordénalos por rol.
- Verifica cada administrador: ¿sigue en el equipo?
- Revisa usuarios sin actividad o con nombres sospechosos.
- Cambia contraseñas si hay dudas.
- Anota la revisión con la fecha de la última comprobación.
Incluye este paso dentro de una auditoría de seguridad de una hora.
La mayor parte de los incidentes por cuentas se origina en personas que ya no deberían tener acceso o en contraseñas reutilizadas. Por eso conviene incorporar el alta y la baja de usuarios a los procesos de tu equipo: cuando alguien entra, se crea su cuenta con el rol mínimo; cuando se va, se retira el mismo día. Si trabajas con proveedores externos, asigna un rol temporal y revísalo al terminar el proyecto.
Lista de comprobación final:
- Revisa que existan pocos administradores.
- Asegura contraseñas únicas y doble verificación.
- Retira cuentas sin uso.
Resumen
En resumen
- Qué hace cada rol: La lista completa de capacidades está en la documentación oficial de roles .
- Reglas de higiene: Limita los administradores al mínimo y no uses la cuenta de administrador para escribir contenido.; Crea una cuenta por persona; no compartas contraseñas.
- Cuando trabaja un tercero: Si contratas a un desarrollador o una agencia, crea un usuario propio para esa persona y desactívalo al terminar.
- Revisión trimestral sencilla: Entra en Usuarios y ordénalos por rol.; Verifica cada administrador: ¿sigue en el equipo?
Preguntas frecuentes
Lo que suelen preguntar sobre roles de usuario en WordPress
¿Puedo crear roles personalizados?
Sí, con plugins o código, pero conviene probarlos bien. Parte de los roles estándar siempre que puedas.
¿El rol editor es seguro para un redactor externo?
Es un buen punto de partida si debe gestionar contenido ajeno; si solo escribe sus textos, autor o colaborador bastan.
¿Qué rol necesita quien solo escribe?
Autor o colaborador, según si debe poder publicar por sí mismo o dejar el texto para revisión.