Se va un empleado o cambias de agencia: cómo cerrar los accesos

Se va una persona del equipo, o decides cambiar de agencia. El día siguiente todo el mundo está pensando en el traspaso de trabajo, y nadie está pensando en las quince cuentas que esa persona todavía tiene abiertas. Meses después, cuando pasa algo, resulta que el acceso seguía activo.

No hace falta desconfiar de nadie para cerrar accesos: se cierran porque una credencial viva sin dueño es un riesgo que crece solo, y porque el día que esa persona sufra una filtración en otro sitio, tu web estará en el paquete.

La lista de sitios donde suele haber acceso

Este es el inventario que usamos. Repásalo entero, aunque parezca exagerado: lo que se olvida siempre está en la mitad de abajo.

El orden correcto

Importa, porque hacerlo al revés te puede dejar fuera a ti:

1. Antes de nada, asegúrate de que tú tienes el control. Comprueba que eres propietario del dominio, de la cuenta de hosting y del correo, y que puedes recuperar cada uno por tu cuenta. Si el dominio está a nombre de la agencia, ese es el primer problema a resolver, y conviene hacerlo en buenos términos antes de la ruptura.
2. Inventario y copia. Copia completa de la web, exportación de lo que necesites y lista de accesos. Con calma, antes de tocar nada.
3. Cierre de accesos personales: usuarios de WordPress, panel, FTP, base de datos.
4. Rotación de credenciales compartidas: todo lo que esa persona conocía y sigue en uso. Aquí es donde un gestor de contraseñas te ahorra una mañana entera.
5. Invalidar sesiones abiertas. Cambiar la contraseña no cierra las sesiones activas: en WordPress, usa «Cerrar sesión en todas partes» en el perfil, o regenera las claves de seguridad del wp-config.php.
6. Revisión de lo que quedó atrás: usuarios nuevos creados en las últimas semanas, tareas programadas, reglas de correo, claves de API.
7. Comprobación final: intenta entrar con lo antiguo. Si algo sigue funcionando, no habías terminado.

Lo que se te va a olvidar (casi seguro)

• Claves de API de la tienda, del CRM o de la pasarela creadas para una integración. Revísalas una a una: en WooCommerce están en Ajustes → Avanzado.
• Tareas programadas en el servidor que ejecutan un script subido por esa persona.
• Accesos de solo lectura a paneles de estadísticas: parecen inofensivos y revelan información de negocio.
• El certificado y el correo del registrador: los avisos de renovación del dominio deben llegarte a ti. Un dominio caducado por un aviso que nadie leyó es una caída total.
• Documentación en la nube compartida con enlaces «para cualquiera que tenga el enlace».

Cómo dejarlo hecho para la próxima vez

La salida de una persona es un buen momento para arreglar lo que la hacía difícil:

• Cuentas nominales, no compartidas. Cada persona la suya, para que cerrar sea borrar una cuenta y no cambiar seis contraseñas y avisar a ocho personas.
• Roles ajustados. Casi nadie necesita ser administrador: roles y permisos de WordPress.
• Inventario de accesos vivo, con responsable y fecha de última revisión. Una hoja de cálculo basta.
• Cláusula de devolución y borrado en el contrato con proveedores: qué te entregan, en qué plazo y qué se comprometen a eliminar. Está desarrollado en las cláusulas de seguridad del contrato de mantenimiento.

Y una lectura legal que conviene tener presente: tu proveedor web es encargado del tratamiento de los datos que hay en tu web. Al terminar la relación, la normativa espera que devuelva o suprima esos datos. Pedirlo por escrito no es desconfianza: es el cumplimiento normal de un contrato.

Si al revisar encuentras accesos que no cuadran —usuarios creados sin motivo, reglas de reenvío que nadie puso—, deja de mirar por tu cuenta y trátalo como un posible incidente, con su plan de respuesta delante.