Roles y permisos
El control de acceso basado en roles (RBAC) te permite definir roles personalizados y asignar permisos granulares a los miembros de tu equipo. Disponible en el plan Enterprise.
Cuando RBAC está activado, los permisos de cada miembro dependen del rol que tenga asignado: un miembro sin rol sigue dentro de la organización, pero no obtiene acceso a nada a través de un rol hasta que se le asigne uno. Sin RBAC, cualquier persona que se una a la organización pasa a ser Owner con acceso total, y en Configuración → Roles aparece "Los roles no se están aplicando" (consulta Equipo).
Cambiar RBAC restablece los roles
Cuando RBAC se activa o desactiva en una organización, todos los miembros y todas las invitaciones pendientes pasan al rol Owner, así que todo el mundo tiene acceso total —incluida la facturación y la eliminación de la organización— hasta que asignes roles más limitados.
Permisos#
Los veinte permisos se reparten en tres grupos y forman todos los roles. Configuración → Roles los muestra con estas etiquetas:
| Permiso | Grupo | Permite |
|---|---|---|
Gestionar el equipo (org:manage_team) | Organización | Invitar y eliminar miembros, asignar roles y gestionar roles personalizados |
Gestionar la facturación (org:manage_billing) | Organización | Ver y cambiar la configuración de facturación, los métodos de pago y las facturas |
Gestionar la configuración (org:manage_settings) | Organización | Cambiar el nombre de la organización, la zona horaria, las integraciones y las feature flags |
Gestionar las claves de API (org:manage_api_keys) | Organización | Crear, definir el alcance y eliminar las claves de API de servicio de la organización |
Gestionar integraciones (org:manage_integrations) | Organización | Conectar, configurar y desconectar integraciones externas |
Eliminar la organización (org:delete) | Organización | Eliminar permanentemente toda la organización |
Ver registros de auditoría (org:view_audit_logs) | Organización | Leer el historial de auditoría de la organización. Necesita el derecho Audit Logs |
Gestionar revisiones (org:manage_reviews) | Organización | Ver el historial y las estadísticas de revisión de las revisiones internas de traducción |
Ver motores (engine:read) | Engines | Ver los motores de localización y su configuración |
Ejecutar traducciones (engine:translate) | Motores | Ejecutar trabajos de localización en los motores de la organización |
Crear motores (engine:create) | Motores | Crear nuevos motores en la organización |
Editar motores (engine:edit) | Motores | Editar la configuración del motor y las configuraciones de los modelos |
Eliminar motores (engine:delete) | Motores | Eliminar motores de forma permanente |
Revisar traducciones (engine:review_translations) | Motores | Revisar traducciones de IA en la Cola interna de revisión |
Ver glosarios (org:glossary:read) | Contenido | Ver los glosarios de la organización y sus términos |
Editar glosarios (org:glossary:edit) | Contenido | Crear, cambiar y eliminar glosarios y términos, y aplicarlos a los motores |
Ver voces de marca (org:brandvoice:read) | Contenido | Ver las voces de marca de la organización |
Editar voces de marca (org:brandvoice:edit) | Contenido | Crear, cambiar y eliminar voces de marca, y aplicarlas a los motores |
Ver reglas (org:ruleset:read) | Contenido | Ver los conjuntos de reglas de la organización y las reglas que incluyen |
Editar reglas (org:ruleset:edit) | Contenido | Crear, cambiar y eliminar conjuntos de reglas y reglas, y aplicarlos a los motores |
Ningún permiso está reservado para el rol Owner. Lo que impide la escalada es que solo puedes conceder lo que ya tienes: se rechaza crear o editar un rol, asignar un rol a un miembro o fijar un rol a una invitación si ese rol incluye un permiso que tu propio rol no tiene.
Roles#
Hay dos tipos de roles:
- Owner — el único valor predeterminado de la plataforma, marcado como Platform default en Configuración → Roles. Incluye todos los permisos y no se puede cambiar ni eliminar. La persona que crea la organización se convierte en su primer Owner; una organización puede tener varios Owner y siempre mantiene al menos uno.
- Roles personalizados — cualquier rol que crees con Nuevo rol en Configuración → Roles: un nombre, una descripción opcional y cualquier combinación de permisos de los tres grupos. Crear, editar y eliminar roles requiere RBAC y Gestionar el equipo.
Algunas organizaciones antiguas también tienen un rol Full Access. Es un rol personalizado normal: puedes editarlo o eliminarlo como cualquier otro.
Los roles son paquetes de permisos
Un miembro tiene exactamente un rol a nivel de organización. Para dar acceso parcial, crea un rol con ese subconjunto exacto de permisos y asígnaselo. Los únicos accesos que se conceden fuera de un rol son el acceso por motor y el acceso por contenido, que se describen a continuación.
Si eliminas un rol, todas las personas que lo tuvieran seguirán en la organización pero se quedarán sin rol, y las invitaciones pendientes asociadas a él llegarán sin rol. No se puede eliminar un rol que siga asignado a una clave de API de organización: primero asigna otro rol a la clave o revócala.
Asignar un rol#
Abre Configuración → Equipo y, en la pestaña Miembros, elige un rol para ese miembro. Si eliges Sin rol, seguirá siendo miembro pero sin permisos: podrá iniciar sesión, pero ningún rol le dará acceso a motores, configuración o facturación. Para asignar un rol a alguien antes de que se una, define Rol al incorporarse al invitarle desde la pestaña Invitaciones. Asignar roles requiere RBAC y Gestionar el equipo; enviar invitaciones requiere Gestionar el equipo.
Solo un Owner puede dar a otra persona el rol Owner o quitárselo, y el último Owner que quede no puede ser degradado ni eliminado. Una invitación no puede llevar el rol Owner.
Acceso al motor#
Los permisos de motor de un rol — Ver motores, Ejecutar traducciones, Editar motores y Eliminar motores — se aplican a todos los motores de localización de la organización. Crear motores solo se aplica a toda la organización.
Para limitar el acceso, concede motores concretos a usuarios concretos. Una concesión por motor da a ese miembro permisos para ver, traducir, editar y eliminar en ese único motor. Las concesiones son aditivas: si un rol ya incluye un permiso de motor, ese permiso se aplica a todos los motores. Para restringir a una persona a un solo motor, asígnale un rol sin permisos de motor y luego concédele ese motor.
El panel no incluye ningún control para las concesiones por motor; configúralas mediante la API o el servidor MCP:
| Llamada | Herramienta MCP | Necesita |
|---|---|---|
PUT /organizations/:id/users/:userId/engine-access | permissions_setUserEngineAccess | Gestionar el equipo. Sustituye la lista de motores del miembro |
POST /engines/:id/members | permissions_addEngineMember | Editar motores en ese motor |
DELETE /engines/:id/members/:userId | permissions_removeEngineMember | Editar motores en ese motor |
Las concesiones solo funcionan mientras la persona siga siendo miembro de la organización, y solo cuando RBAC está activado.
Acceso al contenido#
Los glosarios, las voces de marca y los conjuntos de reglas funcionan igual. Una concesión por elemento da a un miembro permisos de visualización y edición sobre ese glosario, voz de marca o conjunto de reglas concretos, además de los de su rol. Además, cualquiera que pueda ver un motor puede leer el contenido aplicado a él para entender su resultado.
Configura las concesiones por elemento con PUT /organizations/:id/users/:userId/content-access (MCP: permissions_setUserContentAccess), que requiere Gestionar el equipo y sustituye toda la lista de contenido del miembro.
Claves de API de organización#
Configuración → Claves de API tiene dos pestañas. Las claves Personales están disponibles en todos los planes y actúan como la persona que las creó, con exactamente sus mismos accesos. Las claves de Organización pertenecen a la organización, siguen funcionando cuando una persona se va y requieren RBAC; sin él, la pestaña muestra "Las claves de organización necesitan acceso basado en roles".
- Crear una clave de organización y cambiar su rol o su alcance requiere Gestionar las claves de API (
org:manage_api_keys). - Rol es opcional. Solo se pueden asignar a una clave roles limitados a Ver motores y Ejecutar traducciones. Un rol con Ejecutar traducciones da acceso a todos los motores.
- Con Sin rol, la clave "solo accede a los motores que elijas abajo"; su acceso depende por completo de los motores indicados en ella. Solo puedes indicar motores en los que tú mismo puedas ejecutar traducciones.
- Después de crear una clave, edítala para indicar los glosarios, voces de marca y conjuntos de reglas que puede usar. Una clave solo accede al contenido indicado ahí, y solo puedes indicar contenido que tú mismo puedas editar.
- Si el plan Enterprise termina, todas las claves de organización se desactivan con un 403 que indica el derecho correspondiente, para que quien lo gestione sepa que debe restaurar el plan o cambiar a una clave Personal en lugar de perseguir un falso error de alcance de motor.
Consulta Claves de API para crear y revocar claves.
Propiedad#
No existe ningún paso independiente para transferir la propiedad. Un Owner transfiere la propiedad a otra persona eligiendo Owner para ella en Configuración → Equipo, y la organización siempre debe mantener al menos un Owner. Como una invitación no puede llevar el rol Owner, primero invita a la persona con otro rol y luego conviértela en Owner cuando haya aceptado. Para dejar el cargo, asciende a otro miembro a Owner y después reduce tu propio rol (con RBAC activado) o elimínate.