Cuando se va un empleado: los accesos que nadie recuerda quitar

¿No sabes cuántos accesos tiene abiertos gente que ya no trabaja contigo? Escríbenos por WhatsApp y armamos el inventario, o sigue leyendo y pregúntale lo que sea a nuestra IA, aquí abajo a la derecha.

Ocho meses. Es el tiempo que Josefina lleva fuera de la agencia de viajes de Emilio, en el Centro Histórico, y el tiempo que lleva pudiendo entrar, si quisiera, al Facebook del negocio, al correo de ventas, a la plataforma donde se emiten los boletos y a la banca en línea desde la que se pagaban los proveedores. Nadie le quitó nada. Nadie se acordó de que había algo que quitar.

Josefina no ha hecho nada con esos accesos. Se fue en buenos términos, a otro trabajo, y hoy no recuerda ni la mitad de las contraseñas. Pero eso no es seguridad: es suerte. Y la suerte no se audita. Este artículo es la lista que Emilio no tenía, para que la tengas antes de la próxima renuncia.

¿Qué hacer con las contraseñas cuando un empleado deja la empresa?

El mismo día de la salida se cambia o se revoca cada acceso que esa persona tuvo: correo, redes sociales, banca en línea, WhatsApp del negocio, sistemas y contraseñas compartidas; se recuperan los equipos y se quita su número de las verificaciones en dos pasos. Para hacerlo en una hora, y no en una semana, hace falta tener desde antes un inventario de accesos por persona.

El inventario que casi nadie tiene

Pregúntale a cualquier dueño de negocio a cuántas cuentas tiene acceso su encargada. Va a decir «tres o cuatro». Siéntate a listarlas y salen quince. Esta es la lista típica de una pyme, para que la uses de plantilla:

• Correo del negocio y todo lo que se recupera desde ese correo (que es casi todo lo demás).
• Facebook, Instagram y el administrador de Meta, incluidos los anuncios y la tarjeta que los paga.
• Perfil de Google Business: quien lo administra puede cambiar el teléfono, el horario o cerrar la ficha.
• WhatsApp del negocio, y el celular físico donde vive.
• Banca en línea, tokens y tarjetas con las que se pagan proveedores.
• Portal del SAT: contraseña (CIEC) y, en el peor caso, la e.firma.
• Sistema de punto de venta, inventario o CRM, y las hojas de cálculo compartidas.
• Facturación, nómina, Mercado Libre, Amazon, pasarelas de pago.
• Dominio, hosting y el panel de la página web. Si no sabes de quién es tu dominio, vuelve a las preguntas antes de contratar una agencia web: la primera es exactamente esa.
• Cámaras, alarma, Wi-Fi, chapa electrónica y cualquier cosa que abra una puerta física.

El inventario se hace una vez, con cada persona del equipo, y se actualiza cuando alguien recibe un acceso nuevo. Sin él, el día de la salida se revoca lo que alguien recuerda, y lo que nadie recuerda se queda abierto ocho meses.

Una cuenta por persona, no una contraseña por negocio

La raíz del problema casi siempre es la misma: una sola contraseña que todos conocen. «ventas2019» pegada en un post-it junto a la caja. Cuando alguien se va, cambiarla obliga a avisarle a todos, así que nadie la cambia. Y cuando algo pasa, es imposible saber quién entró.

La regla que arregla eso de raíz: cada persona entra con su propio usuario, con los permisos de su puesto y nada más. La encargada publica en Facebook, pero no es administradora de la página. El vendedor consulta el inventario, pero no borra. El contador ve la banca, pero no autoriza pagos. Casi todas las plataformas que usa una pyme permiten esto gratis: Meta, Google, la banca empresarial, los sistemas de punto de venta. El día que alguien se va, se borra su usuario y ya. Nadie más tiene que cambiar nada.

Y hay un beneficio que aparece antes de cualquier salida: cuando cada acceso tiene nombre, existe una bitácora de quién hizo qué. Es lo mismo que pedimos para un archivo digital en digitalizar los documentos de tu empresa: saber quién consultó qué es lo que separa un accidente de un problema legal.

Gestor de contraseñas y doble factor: las dos herramientas que faltan

Un gestor de contraseñas es una bóveda cifrada donde viven todas las claves del negocio. Cada persona tiene su propio acceso a la bóveda y ve solo las contraseñas que le tocan; puede usarlas sin verlas, y el dueño puede quitarle la carpeta entera con un clic. Cuando alguien se va, no hay que buscar en post-its ni en un cuaderno: se le quita el acceso a la bóveda y se rotan las claves que tocó, que el propio gestor te dice cuáles fueron.

El doble factor (o verificación en dos pasos) es el segundo candado: además de la contraseña, la plataforma pide un código que llega al celular o que genera una app. Con eso, una contraseña filtrada ya no abre nada sola.

Un detalle que Emilio aprendió tarde: el doble factor del correo del negocio llegaba al celular de Josefina. Cuando ella se fue, el candado se fue con ella. Los códigos de las cuentas centrales del negocio deben llegar a un teléfono o a una app que controle el dueño, o a dos personas, nunca a una sola que puede renunciar.

Los accesos que más duelen si se quedan abiertos

Desliza la tabla →

El caso especial: el WhatsApp del negocio en un celular personal

Es el acceso más difícil de revocar, porque no es una contraseña: es un teléfono. Si el número del negocio vive en el celular de la empleada, con su chip, el día que se va se lleva el número, el historial de chats y la lista de clientes, sin ninguna intención de robarse nada. Simplemente es su teléfono.

La solución tiene dos niveles. El básico: el chip y el celular del negocio son del negocio, se entregan con recibo y se devuelven con recibo. El de fondo: cuando el volumen ya lo justifica, pasar a la API oficial de WhatsApp Business, donde las conversaciones viven en una plataforma de la empresa y cada persona entra con su usuario. En las señales de que ya necesitas un chatbot explicamos en qué punto conviene ese cambio; la propiedad de los chats es una de las razones que casi nadie menciona.

La ley también lo pide

Si en esas cuentas hay datos de clientes (nombres, teléfonos, direcciones, historial de compras), no es solo un tema de orden. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, obliga en su artículo 18 a todo responsable a «establecer y mantener medidas de seguridad administrativas, técnicas y físicas» que protejan los datos personales contra «el uso, acceso o tratamiento no autorizado». Un exempleado con acceso vigente a tu lista de clientes es, literalmente, un acceso no autorizado que tú dejaste abierto.

Checklist de salida: lo que se hace el mismo día

1. Abrir el inventario de esa persona. Si no existe, hacerlo ahí mismo con ella, antes de que se vaya; es el mejor momento para preguntar «¿a qué más tenías acceso?».
2. Desactivar su usuario en cada plataforma que lo permita: correo, Meta, Google, banco, sistema, facturación.
3. Rotar las contraseñas compartidas que haya conocido, empezando por el correo principal y la banca.
4. Mover el doble factor de cualquier cuenta que llegara a su celular.
5. Recuperar equipos: laptop, celular, chip, tokens, llaves, tarjetas de acceso, con recibo firmado.
6. Cerrar sesiones activas en correo, redes y sistemas: la mayoría tiene un botón de «cerrar sesión en todos los dispositivos».
7. Revisar reenvíos y reglas en el correo: un reenvío automático a una cuenta personal es la fuga más silenciosa.
8. Redirigir su correo a quien tome sus clientes, y avisarles a esos clientes quién los atiende ahora.
9. Cambiar la contraseña del Wi-Fi y los códigos de alarma o chapa, si los conocía.
10. Anotar fecha y quién lo hizo. La próxima auditoría, o el próximo problema, va a preguntar exactamente eso.

Diez pasos, una hora. Con inventario y gestor de contraseñas, menos. Sin ellos, tres semanas y siempre falta uno.

Lo que conviene automatizar

El checklist no debería vivir en la memoria del dueño, igual que no debería vivir ahí la lista de accesos. Lo que sí funciona es un registro simple donde cada persona del equipo tiene sus accesos anotados con fecha de alta, y al darla de baja el sistema genera la lista de lo que hay que revocar, y no cierra el proceso hasta que cada renglón está palomeado. En Xperience Lab, agencia de San Luis Potosí que hace páginas web, chatbots con IA, automatizaciones y software a medida, lo hemos visto resolverse con algo tan chico como una tabla bien conectada, sin comprar un sistema de recursos humanos. Lo importante no es la herramienta: es que la salida de una persona dispare una lista, y no un «luego lo vemos». Y si el negocio tiene página web, la misma disciplina aplica a su panel: lo revisamos en seguridad básica para PyMEs.

Emilio hizo su inventario un sábado. Salieron 17 accesos de Josefina, 14 de la encargada actual y 9 del contador externo. Revocó los 17, movió el doble factor a su propio celular, abrió una bóveda de contraseñas para los que quedan y le mandó un mensaje a Josefina para avisarle, por cortesía, que ya no tenía nada abierto. Ella contestó: «Ay, ni me acordaba». El riesgo nunca fue Josefina. El riesgo fue una puerta que nadie sabía que existía. Y una puerta así se cierra en una hora, el mismo día, si alguien tiene la lista.

Preguntas frecuentes

Sigue leyendo