Guía para principiantes sobre roles y permisos de usuario de WordPress

¿Alguna vez has contratado a un miembro del equipo o a un contratista y simplemente le has dado acceso completo de administrador a tu sitio de WordPress? Es la opción rápida, pero es un poco como darle a alguien las llaves de toda tu casa cuando solo necesitaba el garaje.

El enfoque más seguro está integrado en WordPress. Los roles y permisos de usuario te permiten controlar exactamente lo que cada persona puede hacer, ya sea que estén escribiendo publicaciones, modificando configuraciones o manejando pedidos de clientes.

En esta guía para principiantes, explicaremos cada rol de usuario de WordPress y sus permisos, además de mostrarte cómo personalizar los roles para que se adapten a las necesidades de tu equipo.

Aquí tienes todo lo que cubriremos en esta guía:

¿Qué son los roles y permisos de usuario de WordPress?

En WordPress, un rol de usuario es un paquete etiquetado de capacidades, que son los permisos individuales que controlan lo que alguien puede hacer en tu sitio web. Asignar un rol le da a alguien una lista preestablecida de lo que puede tocar.

WordPress viene con estos roles de usuario integrados:

• Suscriptor: puede administrar su propio perfil y leer contenido. No pueden hacer ningún cambio en tu sitio web. Este es el rol predeterminado para los nuevos registros de usuarios y los sitios de membresía.
• Colaborador: puede escribir publicaciones y guardarlas como borradores para su revisión, pero no pueden publicar, subir archivos multimedia ni editar contenido publicado. Este rol funciona bien para los bloggers invitados.
• Autor: puede escribir, subir multimedia y publicar sus propias publicaciones. También pueden eliminar sus propias publicaciones publicadas, pero no pueden editar el contenido de otros usuarios ni moderar comentarios. Este es el rol adecuado para un redactor de confianza.
• Editor: puede publicar, editar y eliminar cualquier publicación o página en el sitio web, incluido el contenido creado por otros usuarios. También pueden moderar comentarios y administrar categorías y etiquetas, pero no pueden instalar complementos, cambiar configuraciones ni administrar cuentas de usuario. Este rol funciona bien para un editor gerente.
• Administrador: tiene control total sobre un solo sitio web de WordPress, incluidos complementos, temas, configuraciones y cuentas de usuario. Este rol solo debe otorgarse a los propietarios del sitio o a personas en las que confíes por completo.
• Superadministrador (solo multisitio): tiene control total sobre todos los sitios web en una red multisitio de WordPress, incluidos complementos, temas y administración de usuarios. Este rol es para la persona que administra toda la red.

¿Necesitas una forma rápida de comparar los roles y permisos de usuario de WordPress? Haz clic en nuestra infografía a continuación:

Recomendamos elegir el nivel de acceso más bajo que funcione para tus necesidades. Por ejemplo, debes evitar dar a los nuevos usuarios el rol de Editor o Administrador a menos que realmente lo necesiten.

Roles de usuario personalizados agregados por diferentes complementos de WordPress

Más allá de los roles integrados, los complementos populares de WordPress pueden agregar sus propios roles y capacidades de usuario personalizados.

Algunos de los más comunes:

• WooCommerce – Agrega un rol de 'Cliente' para los compradores que registran una cuenta, además de un rol de 'Gerente de tienda' que puede administrar la tienda sin acceso completo de administrador.
• Plugins de membresía – Herramientas como MemberPress y otras agregan sus propios niveles de miembros, por lo que los miembros de pago pueden acceder al contenido protegido sin permisos de edición.
• Plugins de SEO – Herramientas como AIOSEO o Yoast agregan roles de 'Gerente de SEO' y 'Editor de SEO', para que puedas delegar el trabajo de SEO sin acceso completo al sitio.

Cómo agregar un nuevo usuario de WordPress con el rol correcto

Primero, ve a Usuarios » Agregar Nuevo Usuario en tu panel de WordPress, luego ingresa el nombre de usuario, la dirección de correo electrónico y el nombre del usuario. Puedes crear una contraseña tú mismo o dejar que WordPress genere una segura para ti.

A continuación, desplázate hacia abajo hasta el menú desplegable 'Rol', selecciona el rol de usuario apropiado y haz clic en 'Agregar Usuario'.

WordPress luego enviará por correo electrónico al nuevo usuario un enlace para que establezca su propia contraseña, junto con un enlace para iniciar sesión en tu sitio web.

Ten en cuenta que estos pasos solo cubren a los usuarios que agregas tú mismo.

Si permites el registro abierto, cualquiera que se registre obtendrá el rol que esté configurado en 'Rol predeterminado para nuevos usuarios' en Ajustes » Generales. Mantenlo en Suscriptor para que un formulario de registro abierto nunca asigne un rol superior a un desconocido.

Cambiar el rol de un usuario existente también funciona con un menú desplegable.

En Usuarios » Todos los Usuarios, haz clic en el enlace 'Editar' debajo de la persona que deseas actualizar. Luego, elige su nuevo rol desde el menú desplegable 'Rol' y haz clic en 'Actualizar Usuario' en la parte inferior de la página para guardar el cambio.

Cómo personalizar roles y capacidades de WordPress

Los roles de usuario predeterminados de WordPress funcionan bien para la mayoría de los sitios web, pero puede haber ocasiones en las que necesites más control sobre lo que los usuarios pueden hacer.

Por ejemplo, podrías querer que un Autor pueda editar publicaciones sin poder eliminar las publicadas o permitir que los Colaboradores suban archivos multimedia.

La forma más fácil de personalizar los roles y permisos de usuario de WordPress sin escribir código es usar un plugin gratuito como Members. Recomendamos este método porque te brinda una interfaz visual simple para administrar capacidades. También es compatible con roles personalizados creados por otros plugins e incluye todas sus funciones de forma gratuita.

Primero, instala y activa el plugin. Consulta nuestra guía sobre cómo instalar un plugin de WordPress para obtener detalles.

Una vez activado, verás un nuevo menú 'Members' en tu área de administración de WordPress. Ve a Members » Roles, luego haz clic en el enlace 'Edit' debajo del rol que te gustaría cambiar, como 'Author'.

Selecciona los permisos que deseas otorgar o eliminar.

Si deseas cambiar tu propio rol o el rol de Administrador, asegúrate de mantener una cuenta de Administrador intacta y prueba el cambio en una cuenta de repuesto o en un sitio de staging primero. Eliminar un permiso central como la gestión de ajustes de un rol que utilizas puede bloquearte el acceso a partes del panel, por lo que es más seguro intentarlo en un lugar donde puedas deshacerlo.

Una vez que hayas terminado, haz clic en ‘Actualizar’ para guardar tus cambios.

Cómo crear un rol de usuario personalizado de WordPress

Si los roles de usuario integrados de WordPress no satisfacen tus necesidades, puedes crear tu propio rol personalizado. Esto es útil si deseas dar a alguien acceso a tareas específicas sin otorgarle demasiados permisos.

Para crear un rol personalizado, ve a Miembros » Añadir Nuevo Rol e introduce un nombre, como “Asistente Virtual”.

A continuación, selecciona las capacidades que deseas otorgar a ese rol marcando las casillas apropiadas, y luego haz clic en ‘Añadir Rol’ para guardar.

Tu nuevo rol personalizado aparecerá entonces en la lista de roles de usuario cada vez que añadas un nuevo usuario o edites uno existente.

Nota: Para desarrolladores, WordPress también expone las funciones add_role(), add_cap() y remove_cap() para la gestión programática de roles y capacidades. Consulta la Guía para desarrolladores de plugins de WordPress para obtener más detalles.

Por ejemplo, este fragmento crea un rol de Asistente Virtual y luego ajusta sus capacidades:

// Create a custom role with two starter capabilities
$role = add_role( 'virtual_assistant', 'Virtual Assistant', array( 'read' => true, 'edit_posts' => true ) );

// Add or remove individual capabilities on that role later
$role->add_cap( 'upload_files' );
$role->remove_cap( 'delete_posts' );

Seguridad y mejores prácticas de roles de usuario de WordPress para un sitio con múltiples autores

La regla de oro en seguridad es usar siempre el mínimo privilegio necesario. Otorga a cada miembro del equipo el rol más pequeño que le permita hacer su trabajo.

Aquí tienes más formas de gestionar los permisos de usuario de WordPress:

• Mantén al mínimo las cuentas de Administrador. Idealmente, solo una o dos. Evita convertir a los nuevos miembros del equipo en administradores por defecto. Si una cuenta de administrador se ve comprometida, todo tu sitio podría estar en riesgo.
• Audita tu lista de usuarios regularmente. Elimina las cuentas que ya no sean necesarias, ya que las cuentas antiguas o inactivas son una forma fácil para que los hackers accedan.
• Requiere autenticación fuerte en las cuentas privilegiadas. Habilita la autenticación de dos factores (2FA) en cada cuenta de Editor y Administrador. Las passkeys son una opción aún más fuerte que se está convirtiendo en el nuevo estándar.
• No compartas inicios de sesión. Otorga a cada persona su propia cuenta para que puedas ver quién hizo los cambios y eliminar rápidamente el acceso si alguien deja el equipo. Las cuentas compartidas imposibilitan el seguimiento de la actividad.
• Mantén un registro de actividad. Una cuenta por persona solo ayuda si puedes ver realmente lo que hizo cada persona, así que instala un plugin de registro de actividad para registrar inicios de sesión, ediciones de publicaciones, cambios de roles y cambios de plugins o configuraciones. Nuestra guía sobre los mejores plugins de registro de actividad de WordPress compara opciones para que puedas elegir la adecuada.

Preguntas frecuentes sobre roles y permisos de WordPress

¿Por qué mi colaborador no puede subir imágenes?

Los colaboradores no tienen la capacidad upload_files por defecto. Tienes dos opciones:

• Promuévelos a Autor. Los autores tienen acceso completo para subir archivos.
• Otorga la capacidad. Usa el plugin Members para añadir la capacidad upload_files al rol de Colaborador.

¿Cómo limito la capacidad de los autores para editar publicaciones publicadas?

Por defecto, los Autores pueden editar sus propias publicaciones activas (incluso después de publicarlas). Para eliminar esta capacidad, usa el plugin Members para denegar la capacidad edit_published_posts al rol de Autor. Los Autores aún podrán editar sus borradores, pero no las publicaciones publicadas.

¿Cómo puedo aceptar publicaciones de invitados sin proporcionar acceso de administrador de WordPress?

Asigna a cada escritor invitado un rol de Colaborador en WordPress. Esto les permite iniciar sesión, escribir publicaciones y enviar borradores para tu revisión, sin la capacidad de publicar, subir medios o acceder a tu configuración de administrador.

Si prefieres no crear cuentas de usuario en WordPress, entonces un plugin de formularios de front-end es el camino a seguir y a menudo es utilizado por las principales publicaciones. Permite a los escritores invitados enviar publicaciones desde una página de tu sitio, sin necesidad de iniciar sesión.

Los plugins de formularios como WPForms o Gravity Forms te permiten crear un formulario que genera una publicación de borrador asignada a una cuenta de administrador para su revisión y publicación.

¿Qué pasa si accidentalmente me bloqueo el acceso al área de administración?

No te preocupes, esto casi siempre se puede recuperar. Si todavía tienes una segunda cuenta de Administrador, inicia sesión con ella y restablece tu propio rol a Administrador en Usuarios » Todos los Usuarios. Haz clic en ‘Editar’ debajo de tu nombre, elige ‘Administrador’ en el menú desplegable ‘Rol’, y haz clic en ‘Actualizar Usuario’.

Si no tienes otro inicio de sesión de administrador, pídele a un compañero de equipo que sí lo tenga que cambie tu rol desde esa misma pantalla.

Si nadie puede iniciar sesión como Administrador en absoluto, la solución debe ocurrir a nivel de base de datos o de hosting, por lo que el camino más fácil es pedir al equipo de soporte de tu host que restaure tu acceso.

Esperamos que esta guía te haya ayudado a aprender más sobre los roles y permisos de usuario de WordPress. Para más consejos, consulta nuestra guía de mejores prácticas de seguridad de WordPress, o nuestra selección de los mejores plugins de registro de usuarios de WordPress.

Si te gustó este artículo, suscríbete a nuestro Canal de YouTube para ver tutoriales en video de WordPress. También puedes encontrarnos en Twitter y Facebook.