Asignar acceso a los registros

Alcance y ejemplo

Las capturas usan Contacto y Llamada como ejemplo. Los demás objetos se configuran igual, aunque no todos tienen las seis columnas ni los mismos permisos especiales.

Un rol es un conjunto de permisos que tu cuenta arma a medida, con el nombre que quieras. Puedes crear los roles que necesites y asignar más de uno a la misma persona.

El rol decide, para cada objeto (cada tipo de registro: Contacto, Compañía, Negocio, Ticket…), qué acciones puede hacer una persona y sobre qué registros. Eso vale para los registros que nadie le ha compartido uno a uno. Todo se configura en el editor de permisos del rol, en Configuración → Control de Acceso → Roles.

Compartir un registro suelto es otra cosa, y se hace desde el propio registro con Permitir a todos o Colaboradores (ver Compartir un contacto).

Antes de crear o cambiar un rol

Un rol solo restringe algo si la cuenta lo hace cumplir. Eso se decide en el Modo de permisos, una pantalla exclusiva de administradores:

1. Arriba a la derecha, abre el menú Cuenta (tu nombre) y elige Preferencias.
2. En el menú de la izquierda, dentro de Seguridad, pulsa Modo de permisos.
3. Revisa los dos selectores de arriba:
   • Modo de acceso a recursos controla los Permisos de métodos. Con Sin restricciones, el rol no limita las operaciones. Con Estricto, cada persona solo puede hacer lo que le concede su rol.
   • Modo de acceso a registros controla las reglas de vista, edición y eliminación. Con Sin restricciones, las reglas se guardan pero no filtran nada. Un alcance más cerrado, como Solo propios, hace que se apliquen.
4. Si cambias algo, pulsa Guardar, arriba a la derecha.

Debajo están Permisos de registros, con un bloque Permitir a todos (Ver y Editar) para Usuario, Compañía, Contacto, Negocio y otros objetos, y los interruptores Mostrar el interruptor del filtro y Filtro estricto por espacio de trabajo. El resto de esta pantalla está explicado en Configurar tu cuenta.

Si la cuenta tiene los dos modos en Sin restricciones, el rol puede parecer bien configurado y aun así no proteger nada. Además, el interruptor Es administrador del usuario da acceso completo, tenga el rol que tenga.

Crear y asignar un rol

Los pasos completos están en Crear y gestionar roles. Estos son los pasos básicos:

1. En el menú lateral, abre Configuración → Control de Acceso → Roles.
2. Pulsa el botón redondo + de la esquina inferior derecha para crear un rol, o abre uno existente con ⋯ → Editar.
3. Escribe el nombre en Rol y pulsa Editar permisos. Se abre el editor Permisos a pantalla completa, que es lo que explica este artículo.
4. Configura los objetos que necesites y pulsa Listo. El campo Permisos del panel resume lo que hiciste (por ejemplo, 7 permisos en 2 modelos).
5. Pulsa Crear (o Guardar, si estabas editando). Si cierras el panel con Cancelar, los permisos no se guardan.
6. Asigna el rol en Control de Acceso → Usuarios, en el campo Roles de cada persona.

Antes de dar el rol a tu equipo, pruébalo con un usuario que no sea administrador.

La matriz de permisos

El editor Permisos tiene dos tablas:

• Permisos configurados lista los objetos a los que este rol ya les tiene algo asignado. Aparece en cuanto configuras el primero.
• Biblioteca de objetos lista todos los objetos de la cuenta, que son cientos. Usa su cuadro Buscar y escribe, por ejemplo, “Contacto”, “Negocio” o “Llamada” para llegar a la fila.

Cada fila tiene seis columnas: Permisos de métodos, Reglas de vista, Reglas de edición, Reglas de eliminación, Campos protegidos y Especiales. Cada celda muestra un resumen de lo que tiene (por ejemplo, Acceso de lectura, Propietario o asignado o 1 regla) y se abre con un clic. Algunos objetos no admiten todas las columnas: en Chat IA o Log de auditoría, por ejemplo, las celdas de reglas aparecen vacías. La primera fila, Global, solo tiene Especiales.

Arriba hay dos atajos que dan mucho de golpe. Otorgar permiso a todos los métodos habilita los métodos de todos los objetos, y Otorgar permiso a todos los registros abre el acceso a todos los registros. Úsalos solo en un rol que de verdad deba tener ese alcance; no sirven como punto de partida para un rol limitado.

Quitar un objeto del rol

Si configuraste un objeto por error:

1. Busca su fila en Permisos configurados.
2. Pulsa el icono de papelera, al final de la fila.

El objeto sale de la tabla en el acto, sin pedir confirmación, y vuelve a la Biblioteca de objetos con todo en Ninguno. El cambio no se guarda hasta que pulses Listo y luego Guardar en el panel del rol.

Partir de otro rol con Importar rol

Si ya tienes un rol parecido, puedes copiar sus permisos en vez de configurarlo todo otra vez:

1. En el editor Permisos, abre el selector Importar rol, arriba a la derecha.
2. Escribe parte del nombre del rol de origen y elígelo. La lista muestra los mismos roles que ves en Control de Acceso → Roles.
3. Prolibu pregunta ¿Quieres agregar estos permisos a los existentes o borrar todo y empezar desde cero?:
   • Agregar suma los permisos del otro rol a los que ya tiene este.
   • Reemplazar borra los permisos actuales y deja solo los del otro rol.
   • Cancelar no cambia nada.
4. Revisa la tabla Permisos configurados, ajusta lo que haga falta y pulsa Listo.

Reglas de vista, edición y eliminación

1. Busca la fila del objeto en Permisos configurados o en Biblioteca de objetos (aquí, Contacto).
2. Haz clic en la celda de la regla: Reglas de vista, Reglas de edición o Reglas de eliminación. Las tres abren el mismo panel, Contacto | Reglas.
3. Activa los interruptores que correspondan. Son independientes, así que puedes combinar varios.
4. Pulsa Esc para cerrar el panel. La celda muestra la regla elegida.

Las opciones son las mismas en las tres columnas:

• Todos los usuarios: cualquier usuario de la cuenta, sin importar quién sea el propietario. Úsala si todos deben poder trabajar con ese objeto.
• Misma empresa: usuarios vinculados a la misma empresa que el registro. Sirve cuando una misma cuenta agrupa varias empresas.
• Mismo equipo: solo usuarios del mismo equipo. Revisa antes que los usuarios y los registros tengan el equipo correcto.
• Mismo grupo: usuarios del mismo grupo de usuarios. La pertenencia se gestiona en Control de Acceso → Grupos de Usuarios.
• Mismo espacio de trabajo: usuarios que comparten el espacio de trabajo del registro, principal o compartido. Sirve para separar unidades que trabajan con datos distintos.
• Propietario o asignado: solo los registros que la persona creó, tiene asignados, en los que es colaboradora o que le compartieron con compartir registros. Es la opción habitual para que cada uno gestione su propia cartera.

Cada columna decide una cosa distinta:

• Reglas de vista: quién puede consultar el registro.
• Reglas de edición: quién puede modificarlo. Dar vista no da edición.
• Reglas de eliminación: quién puede borrarlo. Si la dejas más cerrada que la edición, quien corrige datos no borrará registros por error.

Los registros sin asignar quedan fuera de estas reglas: se ven normalmente y no exigen pertenecer al espacio de trabajo ni a un grupo.

Permisos de métodos

Las reglas anteriores deciden sobre qué registros actúa una persona. Permisos de métodos decide qué acciones puede hacer con ese objeto. Para completar una tarea normalmente hacen falta las dos cosas: el método y la regla de acceso al registro.

1. Haz clic en la celda Permisos de métodos de la fila del objeto. Se abre el panel Contacto | Permisos de métodos.
2. Activa un atajo del grupo Acciones, o los métodos sueltos que necesites:
   • Otorgar acceso de lectura activa Listar, Obtener uno y Buscar. La celda muestra Acceso de lectura.
   • Otorgar acceso de escritura activa Crear, Actualizar y Eliminar.
   • Otorgar acceso completo activa todo, incluidas las Otras acciones.
3. Si prefieres una combinación propia, usa los interruptores de Acciones estándar:
   • Crear: dar de alta registros nuevos.
   • Actualizar: guardar cambios en un registro que ya existe.
   • Listar: cargar la lista del objeto.
   • Obtener uno: abrir la ficha de un registro.
   • Buscar: hacer búsquedas sobre ese objeto.
   • Eliminar: borrar registros. Actívalo solo si ese rol de verdad debe borrar información.
4. Otras acciones agrupa métodos propios de cada objeto. En Contacto aparece Is registered. El nombre técnico no dice qué hace en pantalla, así que pruébalo con una cuenta de pruebas antes de concederlo.

Especiales

La celda Especiales abre permisos puntuales del objeto, con un buscador a la izquierda y la lista Permisos seleccionados a la derecha. Para concederlos, marca su casilla.

En la mayoría de los objetos (Contacto, Negocio, Ticket, Tarea…) y en la fila Global hay tres, y todos tratan sobre borrar registros:

• Permitir eliminar: todos los usuarios
• Permitir eliminar: asignado
• Permitir eliminar: colaboradores

Algunos objetos tienen los suyos. En Propuesta, por ejemplo, aparece Una propuesta aprobada no se puede modificar.

No uses los de borrado en lugar de las Reglas de eliminación. Configura primero esa regla y, si además necesitas uno de estos permisos, comprueba el efecto con un usuario de prueba antes de usarlo con tu equipo.

Acceso a las actividades

Las actividades se configuran en esta misma matriz. Llamada, Email, Reunión, Nota y Tarea tienen cada una su fila, con las mismas reglas. Por ejemplo, para que alguien vea solo las llamadas que registró o tiene asignadas:

1. En Biblioteca de objetos, escribe “Llamada” en Buscar.
2. Haz clic en la celda Reglas de vista de la fila Llamada.
3. Activa Propietario o asignado.

La fila pasa a Permisos configurados, arriba.

Campos protegidos

Un campo protegido queda bloqueado para quien tenga ese rol. Funciona campo a campo, no registro a registro.

1. Haz clic en la celda Campos protegidos de la fila del objeto. Se abre un buscador con todos sus campos, también los personalizados (en Contacto son más de 160).
2. Busca el campo y marca su casilla. Aparece a la derecha, en Campos seleccionados.
3. Activa los interruptores que necesites: Proteger creación, Proteger actualización y Proteger vista. Son independientes, así que puedes dejar un campo visible pero no editable.
4. Pulsa Esc para cerrar el panel. La celda muestra cuántos campos protegiste (por ejemplo, 1 regla).

Si marcas el campo pero no activas ningún interruptor, no queda protegido. Para quitarlo de la lista, pulsa la X de su tarjeta.

Cuando un usuario sin privilegios de administrador intenta modificar un campo protegido, el servidor rechaza la operación con el mensaje “Violación de Campo Protegido: La acción ‘actualizar’ sobre el campo ‘jobTitle’ está prohibida en el recurso ‘Contacto’”. Esa misma persona puede seguir editando el resto de campos del registro.

Ver los permisos con su nombre técnico

El interruptor Modo desarrollador, arriba a la derecha del editor, cambia la matriz por una lista de permisos con su nombre técnico. Para configurar un rol normal no hace falta; sirve para revisar qué guarda exactamente el rol.

1. Activa Modo desarrollador.
2. A la derecha, Permisos seleccionados muestra lo que tiene el rol, por ejemplo Record@Contact.view.ownedOrAssigned (regla de vista Propietario o asignado sobre Contacto) o ProtectedField@Contact.update.jobTitle (Cargo protegido al actualizar).
3. A la izquierda, Buscar permisos y los botones Recursos, Registro, Campos protegidos y Permisos especiales filtran la lista completa. Marca una casilla para añadir un permiso o pulsa la x de una etiqueta para quitarlo.
4. Desactiva Modo desarrollador para volver a la matriz.