Roles y permisos de WordPress: quién debería ser administrador y quién no

Cuando revisamos una web comprometida, una de las primeras pantallas que abrimos es la lista de usuarios. Y el patrón se repite: ocho cuentas de administrador en una empresa de cuatro personas, la agencia de hace tres años todavía dentro, y un usuario llamado «admin2» que nadie recuerda haber creado.

Los roles de WordPress son una de las medidas de seguridad más baratas que existen —no cuestan dinero ni rendimiento— y de las peor usadas. Vamos a ponerlas en su sitio.

Los cinco roles, en una tabla

Si tienes WooCommerce, aparecen dos más: gestor de tienda (administra pedidos y productos, no toca el resto del sitio) y cliente. El gestor de tienda es el rol correcto para quien prepara pedidos: no necesita ser administrador.

La regla de oro: administrador es un cargo, no una comodidad

La razón es simple. Una cuenta de administrador comprometida permite instalar código en tu web. Una cuenta de editor comprometida permite publicar una entrada fea, que se borra en dos minutos. La diferencia entre un susto y un incidente serio es, muchas veces, qué rol tenía la cuenta que cayó.

Preguntas para decidir: ¿esta persona instala plugins? ¿Cambia el tema? ¿Crea usuarios? Si la respuesta es no a las tres, no necesita ser administrador. Y si alguien lo necesita «solo para una cosa concreta», casi siempre existe un rol o un permiso específico que la cubre.

La auditoría de usuarios, en diez minutos

1. Entra en Usuarios → Todos los usuarios y filtra por Administrador.
2. Por cada cuenta, responde: ¿quién es?, ¿sigue trabajando aquí?, ¿necesita este rol?
3. Mira la columna del correo. Cuentas con correos personales antiguos, dominios que ya no existen o direcciones genéricas son banderas rojas.
4. Comprueba la última actividad. Una cuenta de administrador sin usar en un año es riesgo sin contrapartida.
5. Baja de rol lo que puedas bajar, y elimina lo que no debería existir.

Cuentas que casi siempre sobran

• La de la agencia anterior. Si ya no trabajáis juntos, fuera. El procedimiento ordenado está en cómo cerrar accesos cuando se va un empleado o cambias de agencia.
• La del desarrollador «por si acaso». Que se cree cuando haga falta y se borre al terminar.
• La cuenta compartida del equipo. Si tres personas usan el mismo usuario, los registros no sirven para nada: no sabrás quién hizo qué.
• El usuario «admin». Es el primer nombre que prueba cualquier ataque de fuerza bruta: cómo protegerlo.
• Suscriptores masivos que no esperabas. Si no tienes registro abierto y aparecen cientos, revisa el ajuste «Cualquiera puede registrarse».

Lo que debe acompañar a un rol de administrador

Las cuentas que quedan con permisos altos necesitan tres cosas, sin excepción:

1. Contraseña única y larga, distinta de cualquier otro servicio. La gestión práctica, en gestor de contraseñas para una pyme.
2. Verificación en dos pasos. Es lo que convierte una contraseña filtrada en un intento fallido: cómo activarla bien en WordPress.
3. Correo de recuperación que controles. Si la recuperación va a una dirección abandonada, la cuenta es de quien recupere ese buzón.

Roles y protección de datos

Hay una lectura que suele pasarse por alto: dar a alguien un rol que le permite ver datos personales de clientes —pedidos, formularios, suscriptores— es una decisión de control de acceso, y el artículo 32 del Reglamento pide exactamente eso, medidas apropiadas según el riesgo. Documentar quién tiene acceso a qué es parte del expediente que te pedirían en una inspección. Lo desarrollamos en las medidas de seguridad apropiadas traducidas a una pyme.

Cada cuánto revisarlo

Dos veces al año y, sin falta, cada vez que entre o salga alguien del equipo o cambies de proveedor. Es una revisión de diez minutos que evita el escenario más común de todos: la puerta que se quedó abierta porque nadie se acordó de cerrarla.

La descripción oficial de capacidades por rol, si necesitas el detalle fino, está en el manual de WordPress.