Una persona que escribe artículos no necesita necesariamente controlar los plugins o la configuración del sitio. Elegir los roles de usuario en WordPress según las tareas reales permite delegar trabajo con un alcance más preciso.
Esta guía explica los roles predeterminados y propone un método para revisar accesos. No presupone que tu instalación conserve todos los permisos originales: plugins y desarrollos pueden modificarlos.
Roles y capacidades: dos conceptos distintos
La documentación de WordPress describe un rol como un conjunto de responsabilidades. Las capacidades son los permisos concretos asociados: publicar entradas, subir archivos o gestionar opciones, por ejemplo.
No conviene interpretar los roles como una jerarquía laboral. La decisión debe responder a qué operaciones necesita realizar una persona en el sitio.
Qué permite cada rol predeterminado
- Administrador: gestiona la administración del sitio. Existen diferencias entre instalaciones individuales y multisitio.
- Editor: publica y gestiona contenido, incluidas entradas de otras personas, y dispone de permisos sobre páginas y moderación.
- Autor: publica y gestiona sus propias entradas y puede subir archivos.
- Colaborador: prepara y gestiona sus propias entradas, pero no las publica ni sube archivos con los permisos predeterminados.
- Suscriptor: tiene un acceso básico y puede gestionar su perfil.
En una red multisitio existe además el superadministrador, con funciones de administración de la red. La tabla oficial de capacidades permite comprobar el detalle antes de asignar un acceso.
Elegir por tareas: ejemplos de decisión
Estos ejemplos son recomendaciones de partida que debes validar en tu instalación:
- Si alguien redacta textos que otra persona debe aprobar, empieza evaluando Colaborador.
- Si publica únicamente sus artículos e incorpora imágenes, evalúa Autor.
- Si coordina el contenido de varias personas y edita páginas, evalúa Editor.
- Si mantiene la configuración técnica, estudia qué operaciones administrativas necesita y durante cuánto tiempo.
El rol de Editor también permite modificar contenido ajeno; no lo concedas automáticamente para resolver una sola tarea. Del mismo modo, el rol de Autor permite publicar: no equivale a un circuito de aprobación.
Un método para revisar los accesos existentes
- Prepara una lista de personas e integraciones que acceden al sitio.
- Anota para cada cuenta su responsable, función, rol y necesidad actual.
- Contrasta sus tareas con los permisos efectivos.
- Identifica accesos que ya no corresponden al trabajo realizado.
- Prepara los cambios y conserva una cuenta de administración operativa.
- Prueba el resultado con una cuenta del rol afectado antes de dar la revisión por cerrada.
Recomendación: cada persona debería utilizar su propia cuenta. Así evitas que la revisión dependa de una contraseña compartida y puedes tratar cada acceso por separado.
Por qué hay que comprobar los permisos efectivos
El manual para desarrolladores de WordPress explica que los roles y sus capacidades pueden añadirse o modificarse. Por tanto, leer «Editor» en la lista de usuarios no demuestra por sí solo qué permite un plugin concreto.
Si una persona necesita gestionar un formulario, una tienda o un constructor visual, consulta primero los controles de acceso de ese componente. Dar acceso administrativo completo para resolver una limitación puntual puede ampliar innecesariamente su alcance.
Los cambios de permisos personalizados requieren cuidado. Si hace falta desarrollarlos, prueba en un entorno de staging y documenta cómo revertirlos.
Integraciones y acceso programático
Una automatización también debe tener una función definida: consultar contenido, preparar borradores o publicar son tareas distintas. Como criterio de diseño, utiliza una cuenta dedicada y comprueba los permisos necesarios antes de conectarla.
La documentación del perfil de usuario recoge la gestión de contraseñas de aplicación. Si tu integración utiliza ese mecanismo, consulta la guía de contraseñas de aplicación y REST API para separar el acceso programático del inicio de sesión habitual.
Una cuenta dedicada no sustituye a la validación de las operaciones que ejecutará. Si conectas un asistente, revisa también el alcance del conector descrito en MCP y WordPress con seguridad.
Checklist antes de dar un acceso por correcto
- La cuenta tiene un responsable identificado.
- Sus tareas están documentadas.
- Se han comprobado los permisos de WordPress y de los plugins implicados.
- La persona puede completar el trabajo necesario.
- Se han probado las operaciones que deben quedar fuera de su alcance.
- Existe una fecha o condición de revisión del acceso.
Integra esa revisión en el mantenimiento de WordPress, especialmente cuando cambie el equipo o termine una colaboración. El objetivo es que los permisos sigan correspondiendo al trabajo real.
¿Necesitas ordenar los accesos de tu WordPress?
Puedo revisar las tareas del equipo, los roles existentes y los permisos de las integraciones para preparar una configuración coherente con tu web.
Fuentes oficiales
- WordPress: roles y capacidades.
- WordPress Plugin Handbook: gestión de roles y capacidades.
- WordPress: pantalla de perfil de usuario.
Fuentes consultadas el 30 de septiembre de 2026. Los ejemplos de asignación y el procedimiento de revisión son recomendaciones, sujetos a los permisos efectivos de cada instalación.
