Gestión de Usuarios y Permisos

Revisar Lista de Usuarios:

1. Dashboard → Users → All Users
2. Revisar cada usuario:
   • ¿Lo reconoces?
   • ¿Sigue trabajando contigo?
   • ¿Necesita ese nivel de acceso?

Red Flags a Buscar:

⚠️ IMPORTANTE: Estas son señales de alerta que debes investigar:

• Usernames genéricos: admin, administrator, admin123, test, demo
• Emails sospechosos: gmails aleatorios, dominios raros
• Usuarios que NO reconoces: Especialmente con rol Administrator
• Múltiples administradores: ¿Realmente TODOS necesitan ser admin?
• Cuentas inactivas: Último login hace >6 meses

Tabla de Usuarios Ideal:

| Usuario | Rol | Necesidad Real | |---------|-----|----------------| | TúDueño | Administrator | ✓ Configuración completa | | Editor1 | Editor | ✓ Publicar contenido | | SEO_Manager | Editor | ✓ Optimizar posts | | Freelancer_Diseño | Author | ❌ Solo necesita subir posts, no themes |

💡 TIP: Si tienes >3 administradores en sitio pequeño/mediano, probablemente alguien tiene MÁS permisos de los necesarios.

Jerarquía de Permisos (Menor a Mayor):

Subscriber (Suscriptor)

• Solo ver contenido privado
• Dejar comentarios si está logueado
• Uso: Membresías, áreas privadas

Contributor (Colaborador)

• Escribir posts
• NO puede publicarlos (necesita aprobación)
• Uso: Escritores freelance que necesitas revisar

Author (Autor)

• Escribir posts
• Publicar sus propios posts
• Subir imágenes
• Uso: Bloggers en tu equipo de confianza

Editor

• Todo lo de Author +
• Publicar posts de otros
• Editar posts publicados
• Moderar comentarios
• Uso: Manager de contenido, editor jefe

Administrator (Administrador)

• TODO lo anterior +
• Instalar/desinstalar plugins
• Cambiar themes
• Gestionar usuarios
• Acceso completo
• Uso: Solo tú (dueño) y desarrollador de confianza

⚠️ REGLA DE ORO: El mínimo permiso necesario para hacer el trabajo. Si un editor solo publica posts, NO necesita ser Administrator.

Cuentas que DEBES eliminar INMEDIATAMENTE:

1. Username "admin":

   • Si tu admin se llama "admin", cámbiale el nombre O bórralo y crea uno nuevo
   • "admin" es el primer username que atacantes intentan

2. Usuarios de prueba:

   • demo, test, usuario1, etc.

3. Ex-empleados/freelancers:

   • Si ya no trabajan contigo, NO necesitan acceso

4. Duplicados:

   • juanperez + juan.perez + jperez → Solo necesitas UNO

Cómo Eliminar Usuarios Seguros:

1. Dashboard → Users → All Users

2. Hover sobre usuario → Delete

3. Pantalla de confirmación:

   • ⚠️ IMPORTANTE: Selecciona "Attribute all content to:"
   • Elige tu usuario principal (el tuyo)
   • Esto MANTIENE todos los posts que ese usuario escribió

4. Click "Confirm Deletion"

💡 TIP: Antes de eliminar, revisa cuántos posts tiene ese usuario. Si tiene 100+ posts, verifica que el contenido es real antes de transferir.

Reducir Permisos Excesivos:

1. Dashboard → Users → All Users

2. Para cada usuario, pregunta:

   • ¿Necesita instalar plugins? → NO = Degradar de Admin a Editor
   • ¿Necesita editar posts de otros? → NO = Degradar de Editor a Author
   • ¿Necesita publicar sin aprobación? → NO = Degradar de Author a Contributor

3. Cambiar rol:

   • Hover sobre usuario → Edit
   • Dropdown "Role" → Seleccionar rol correcto
   • Scroll abajo → "Update User"

Ejemplo Práctico:

Situación: Tienes un community manager que:

• Publica posts en blog ✓
• Responde comentarios ✓
• NO instala plugins ✗
• NO cambia diseño ✗

Rol correcto: Editor (NO Administrator)

Cambio:

1. Users → Hover su nombre → Edit
2. Role → Editor
3. Update User

Ahora si hackean su cuenta, NO pueden instalar malware vía plugins.

Plugin Recomendado: Better Passwords

Por qué: Fuerza a todos los usuarios a usar contraseñas seguras (12+ caracteres, símbolos, números).

Instalación:

1. Dashboard → Plugins → Add New

2. Buscar: "Better Passwords" o "Force Strong Passwords"

3. Instalar: Plugin "Better Passwords" (por Ben Gillbanks)

4. Activar

Configuración:

1. Settings → Better Passwords

2. Configurar mínimos:

   • Minimum password length: 12 caracteres
   • Require uppercase letters: ✓ Sí
   • Require numbers: ✓ Sí
   • Require special characters: ✓ Sí

3. Aplicar a roles:

   • ✓ Administrator (SIEMPRE)
   • ✓ Editor
   • ✓ Author
   • (Contributor/Subscriber opcional)

4. Save Changes

⚠️ IMPORTANTE: Los usuarios recibirán aviso al próximo login de que deben cambiar su contraseña si no cumple requisitos.

Comunicar Cambios a Tu Equipo:

Email ejemplo:

Hola [Nombre],

Por seguridad, implementamos contraseñas fuertes obligatorias. Al próximo login, te pedirá actualizar tu contraseña.

Requisitos:

• Mínimo 12 caracteres
• Al menos 1 mayúscula
• Al menos 1 número
• Al menos 1 símbolo (@, #, $, etc.)

Ejemplo: MiSitio2024!Seguro

Gracias por tu colaboración.

Plugin: WP Activity Log (Gratuito)

Qué hace: Registra CADA acción de usuarios:

• Quién inició sesión y cuándo
• Quién publicó/editó/eliminó posts
• Quién instaló plugins
• Quién creó/eliminó usuarios

Instalación:

1. Dashboard → Plugins → Add New

2. Buscar: "WP Activity Log"

3. Instalar y Activar (por Melapress)

Configuración Básica:

1. WP Activity Log → Settings

2. Enable/Disable Events:

   • ✓ User logins/logouts
   • ✓ User account changes
   • ✓ Post/page changes
   • ✓ Plugin/theme changes
   • ✓ Database events

3. Retention: 365 días (mantener logs 1 año)

4. Email Notifications:

   • ✓ Send me alert when user with Administrator role logs in
   • Tu email: tu-email@dominio.com

5. Save Settings

💡 TIP: Ahora si alguien hace algo sospechoso (instaló plugin raro a las 3 AM), tendrás registro completo.

Ver Log de Actividad:

1. Dashboard → WP Activity Log → Activity Log

2. Filtros útiles:

   • User: Selecciona usuario específico
   • Role: Administrator (ver solo acciones de admins)
   • Severity: High/Critical (acciones riesgosas)