En una pyme es normal ir conectando herramientas poco a poco: el CRM con el formulario de la web, WooCommerce con la empresa de envíos, Google Calendar con una app de reservas, el programa de facturación con el banco, una herramienta de IA con el correo… Todo parece cómodo hasta que nadie sabe exactamente qué permisos tiene cada aplicación.
La noticia que nos ha llamado la atención viene de Cloudflare, que está empujando un cambio interesante: pasar de consentimientos de acceso tipo todo o nada a permisos por tarea. Dicho sin tecnicismos: en vez de que una app pida acceso a media empresa para hacer una cosa pequeña, debería pedir solo lo que necesita para esa acción concreta.
Esto no es solo un asunto de grandes plataformas. Para una pyme española, revisar permisos puede evitar sustos bastante reales: datos de clientes expuestos, accesos antiguos de proveedores, automatizaciones que siguen funcionando con cuentas de exempleados o herramientas que leen correos cuando solo deberían crear una cita.
Qué son los permisos de apps y por qué importan
Cuando conectas una aplicación con otra, muchas veces no le das tu contraseña directamente. Le das un permiso. Ese permiso puede permitir acciones como leer contactos, modificar pedidos, acceder al calendario, enviar emails, consultar archivos o publicar contenido.
Esto suele hacerse mediante sistemas como OAuth, que es el típico mensaje de “esta aplicación quiere acceder a tu cuenta”. El problema no es el sistema en sí. El problema es que muchas empresas aceptan permisos sin leerlos, porque tienen prisa o porque el texto parece demasiado técnico.
Un ejemplo sencillo: imagina una clínica pequeña que usa una herramienta de reservas online. Tiene sentido que esa herramienta pueda consultar huecos libres en el calendario y crear citas. Pero no tiene tanto sentido que pueda leer todos los emails de la cuenta principal o acceder a documentos internos.
Otro caso: una tienda online conecta una extensión para imprimir etiquetas de envío. Lo razonable es que pueda leer datos de pedidos y direcciones de entrega. Si además pide permiso para modificar productos, cambiar precios o gestionar usuarios, conviene pararse antes de aceptar.
El principio práctico es este: cada herramienta debe tener el acceso mínimo necesario para hacer su trabajo. Ni más, ni para siempre, ni desde cualquier cuenta.
El riesgo del “aceptar y seguir”
En el día a día, los problemas no suelen venir de una gran decisión equivocada, sino de pequeñas acumulaciones. Un proveedor instala una app para hacer una campaña. Una persona del equipo prueba una herramienta de IA con su correo de empresa. Alguien conecta una integración para pasar leads de la web a una hoja de cálculo. Todo funciona y nadie vuelve a mirarlo.
Seis meses después, esa app sigue teniendo acceso. Quizá ya no se usa. Quizá el proveedor terminó el trabajo. Quizá el empleado cambió de puesto. Pero el permiso continúa abierto.
Para una pyme, esto puede afectar en varios puntos:
- Privacidad: una app con acceso a contactos, correos o pedidos puede manejar datos personales de clientes.
- Seguridad: si una herramienta conectada sufre un problema, puede convertirse en puerta de entrada.
- Control interno: permisos demasiado amplios permiten hacer cambios que no deberían estar al alcance de todos.
- Cumplimiento: si trabajas con datos personales, debes poder justificar quién accede a qué y para qué.
No se trata de vivir con miedo ni de dejar de usar integraciones. Al contrario: conectar herramientas ahorra mucho trabajo. Pero hay que hacerlo con cabeza.
Cómo revisar permisos sin montar un proyecto enorme
No necesitas una auditoría interminable para empezar. Puedes hacer una revisión bastante útil en una tarde, sobre todo si tu empresa usa pocas herramientas principales.
1. Haz una lista de herramientas conectadas
Empieza por lo básico. Apunta las aplicaciones que usáis para vender, comunicaros, facturar, atender clientes y gestionar la web. Por ejemplo: WordPress, WooCommerce, Google Workspace, Microsoft 365, Holded, HubSpot, Mailchimp, Stripe, Redsys, Calendly, Zapier, Make o cualquier herramienta de IA conectada a documentos o correo.
No busques perfección en la primera vuelta. El objetivo es ver el mapa general.
2. Revisa desde las cuentas principales
En Google, Microsoft y muchas plataformas puedes ver qué apps tienen acceso a tu cuenta. En WordPress puedes revisar usuarios, plugins activos y claves API. En WooCommerce conviene mirar las claves REST API y las integraciones de pago, envíos y sincronización.
Pregunta simple para cada permiso: ¿sabemos qué hace, quién lo pidió y si todavía se usa? Si la respuesta es no, toca investigar o retirar.
3. Reduce permisos cuando sea posible
Algunas herramientas permiten elegir permisos concretos. Si una integración solo necesita leer pedidos, no le des permisos de escritura. Si una app solo debe añadir eventos al calendario, evita darle acceso completo al correo.
Aquí encaja la idea que está promoviendo Cloudflare: permisos por tarea, no acceso total por defecto. La pyme no siempre puede controlar cómo una gran plataforma diseña sus pantallas, pero sí puede decidir qué herramientas acepta y con qué cuenta las conecta.
4. Usa cuentas específicas para integraciones
Cuando tenga sentido, evita conectar todo con la cuenta personal de gerencia o administración. Para determinadas integraciones puedes crear cuentas de servicio, por ejemplo reservas@, web@ o facturacion@, con permisos limitados.
Esto ayuda mucho si alguien deja la empresa o cambia de rol. También evita que una automatización dependa de una cuenta personal que un día se borra o se queda sin acceso.
Ejemplos concretos en una pyme
Vamos con situaciones habituales.
Restaurante con reservas online: la herramienta de reservas debería crear y modificar eventos en un calendario concreto, no acceder a todos los documentos del negocio. Si además envía emails, mejor que use una cuenta específica y no la bandeja principal de dirección.
Tienda online con WooCommerce: una app de envíos necesita datos de pedidos, direcciones y estados. No debería tener permiso para instalar plugins, crear administradores o modificar métodos de pago. Además, conviene revisar claves API antiguas si has cambiado de agencia, almacén o proveedor logístico.
Empresa de servicios B2B: si conectas formularios de la web con un CRM, asegúrate de que la integración solo crea o actualiza contactos y oportunidades. Si pide acceso completo a exportar toda la base de datos, revisa si es necesario.
Equipo que usa IA: si una herramienta resume reuniones o analiza documentos, define qué carpetas puede ver. No mezcles presupuestos, nóminas, contratos y documentación comercial si no hace falta. La IA puede ser útil, pero no necesita barra libre.
Una rutina sencilla para no perder el control
La parte importante no es revisar una vez y olvidarte. Lo práctico es crear una rutina ligera.
- Revisa permisos cada trimestre o cada seis meses.
- Retira accesos de herramientas que ya no se usan.
- Comprueba usuarios administradores en WordPress, Google, Microsoft y CRM.
- Activa verificación en dos pasos en las cuentas clave.
- Documenta quién autorizó cada integración importante.
- Cuando entre o salga un proveedor, revisa sus accesos el mismo día.
También ayuda tener una norma interna muy simple: nadie conecta una app nueva a cuentas críticas sin comentarlo antes. No hace falta burocracia, solo evitar que cada persona acepte permisos por su cuenta sin saber el impacto.
En nosolowebs solemos verlo claro cuando una web crece: al principio hay pocas piezas, pero con el tiempo aparecen plugins, pasarelas, automatizaciones, CRMs y herramientas externas. Si no se ordena, el negocio acaba dependiendo de una cadena de accesos que nadie controla.
La conclusión es sencilla: no tienes que dejar de conectar herramientas. Solo tienes que pasar del “aceptar y seguir” al “aceptar lo justo”. Tu web, tus datos y tus clientes lo agradecerán.
