Roles y permisos
El control de acceso basado en roles (RBAC) te permite definir roles personalizados y asignar permisos granulares a los miembros de tu equipo. Disponible en el plan Enterprise.
Cuando RBAC está activado, los permisos de cada miembro dependen del rol que tenga asignado. Un miembro sin rol sigue en la organización, pero no obtiene acceso a nada mediante un rol hasta que se le asigne uno. Sin RBAC, todas las personas que se unen a la organización pasan a ser Owner con acceso completo, y Configuración → Roles muestra "Los roles no se están aplicando" (consulta Team).
Cambiar RBAC restablece los roles
Cuando RBAC se activa o se desactiva en una organización, a cada miembro y a cada invitación pendiente se les asigna el rol Owner, así que todas las personas tienen acceso completo, incluida la facturación y la eliminación de la organización, hasta que asignes roles más limitados.
Permisos#
Cada rol se compone de veinte permisos, organizados en tres grupos. Configuración → Roles los muestra con estas etiquetas:
| Permiso | Grupo | Permite |
|---|---|---|
Administrar equipo (org:manage_team) | Organización | Invitar y quitar miembros, asignar roles y administrar roles personalizados |
Administrar facturación (org:manage_billing) | Organización | Ver y cambiar la configuración de facturación, los métodos de pago y las facturas |
Administrar configuración (org:manage_settings) | Organización | Cambiar el nombre de la organización, la zona horaria, las integraciones y las feature flags |
Administrar claves de API (org:manage_api_keys) | Organización | Crear, definir el alcance y eliminar las claves de API de servicio de la organización |
Administrar integraciones (org:manage_integrations) | Organización | Conectar, configurar y desconectar integraciones externas |
Eliminar organización (org:delete) | Organización | Eliminar de forma permanente toda la organización |
Ver registros de auditoría (org:view_audit_logs) | Organización | Leer el registro de auditoría de la organización. Requiere el derecho Audit Logs |
Administrar revisiones (org:manage_reviews) | Organización | Ver el historial y las estadísticas de revisiones internas de traducción |
Ver motores (engine:read) | Engines | Ver los motores de localización y su configuración |
Ejecutar traducciones (engine:translate) | Motores | Ejecutar trabajos de localización en los motores de la organización |
Crear motores (engine:create) | Motores | Crear nuevos motores en la organización |
Editar motores (engine:edit) | Motores | Editar la configuración del motor y de los modelos |
Eliminar motores (engine:delete) | Motores | Eliminar motores de forma permanente |
Revisar traducciones (engine:review_translations) | Motores | Revisar traducciones de IA en la cola de revisión interna |
Ver glosarios (org:glossary:read) | Contenido | Ver los glosarios de la organización y sus términos |
Editar glosarios (org:glossary:edit) | Contenido | Crear, cambiar y eliminar glosarios y términos, y aplicarlos a los motores |
Ver voces de marca (org:brandvoice:read) | Contenido | Ver las voces de marca de la organización |
Editar voces de marca (org:brandvoice:edit) | Contenido | Crear, cambiar y eliminar voces de marca, y aplicarlas a los motores |
Ver reglas (org:ruleset:read) | Contenido | Ver los conjuntos de reglas de la organización y las reglas que contienen |
Editar reglas (org:ruleset:edit) | Contenido | Crear, cambiar y eliminar conjuntos de reglas y reglas, y aplicarlos a los motores |
Ningún permiso está reservado para Owner. Lo que evita la escalación es que solo puedes otorgar lo que ya tienes: si un rol incluye un permiso que tu propio rol no tiene, se rechaza crear o editar ese rol, asignárselo a un miembro o fijarlo en una invitación.
Roles#
Existen dos tipos de roles:
- Owner — el único valor predeterminado de la plataforma, marcado como Platform default en Configuración → Roles. Tiene todos los permisos y no se puede cambiar ni eliminar. La persona que crea la organización se convierte en su primer Owner; una organización puede tener varios Owners y siempre conserva al menos uno.
- Roles personalizados — cualquier rol que crees con Nuevo rol en Configuración → Roles: un nombre, una descripción opcional y cualquier combinación de permisos de los tres grupos. Crear, editar y eliminar roles requiere RBAC y Administrar equipo.
Algunas organizaciones más antiguas también tienen un rol Full Access. Es un rol personalizado normal: edítalo o elimínalo como cualquier otro.
Los roles son paquetes de permisos
Cada miembro tiene exactamente un rol a nivel de organización. Para dar acceso parcial, crea un rol con ese subconjunto exacto de permisos y asígnalo. Los únicos accesos fuera de un rol son el acceso por motor y el acceso por contenido, que se describen a continuación.
Eliminar un rol deja sin rol a todas las personas que lo tenían en la organización, y las invitaciones pendientes fijadas a ese rol llegan sin rol. No se puede eliminar un rol que todavía esté asignado a una clave de API de la organización: primero asígnale otro rol a la clave o revócala.
Asignar un rol#
Abre Configuración → Team y, en la pestaña Members, elige un rol para el miembro. Si eliges No role, seguirá siendo miembro, pero sin permisos: todavía puede iniciar sesión, pero ningún rol le dará acceso a motores, configuración ni facturación. Para darle un rol a alguien antes de que se una, establece Role on arrival cuando lo invites desde la pestaña Invitations. Asignar roles requiere RBAC y Administrar equipo; enviar invitaciones requiere Administrar equipo.
Solo un Owner puede darle a alguien el rol Owner o quitárselo, y al último Owner que quede no se le puede bajar de nivel ni eliminar. Una invitación no puede llevar el rol Owner.
Acceso a motores#
Los permisos de motor de un rol — Ver motores, Ejecutar traducciones, Editar motores, Eliminar motores — se aplican a todos los motores de localización de la organización. Crear motores solo aplica a toda la organización.
Para limitar el acceso, otorga motores específicos a usuarios específicos. Un permiso por motor le da a ese miembro acceso para ver, traducir, editar y eliminar ese motor en particular. Los permisos son aditivos: si un rol ya incluye un permiso de motor, ese permiso se aplica a todos los motores de cualquier manera. Para restringir a una persona a un solo motor, asígnale un rol sin permisos de motor y luego concédele ese motor.
El panel no permite administrar los permisos por motor; configúralos mediante la API o el servidor MCP:
| Llamada | Herramienta MCP | Requiere |
|---|---|---|
PUT /organizations/:id/users/:userId/engine-access | permissions_setUserEngineAccess | Administrar equipo. Reemplaza la lista de motores del miembro |
POST /engines/:id/members | permissions_addEngineMember | Editar motores en ese motor |
DELETE /engines/:id/members/:userId | permissions_removeEngineMember | Editar motores en ese motor |
Los permisos solo funcionan mientras la persona siga siendo miembro de la organización y únicamente cuando RBAC está activado.
Acceso al contenido#
Los glosarios, las voces de marca y los conjuntos de reglas funcionan de la misma manera. Un permiso por elemento le da a un miembro acceso para ver y editar ese glosario, voz de marca o conjunto de reglas en particular, además de lo que ya le da su rol. Por separado, cualquier persona que pueda ver un motor puede leer el contenido aplicado a ese motor para entender su resultado.
Configura los permisos por elemento con PUT /organizations/:id/users/:userId/content-access (MCP: permissions_setUserContentAccess), lo cual requiere Administrar equipo y reemplaza toda la lista de contenido del miembro.
Claves de API de la organización#
Configuración → Claves de API tiene dos pestañas. Las claves Personal existen en todos los planes y actúan como la persona que las creó, con exactamente su mismo acceso. Las claves Organization pertenecen a la organización, siguen funcionando cuando las personas se van y requieren RBAC; sin él, la pestaña muestra "Las claves de organización necesitan acceso basado en roles".
- Crear una clave de organización y cambiar su rol o alcance requiere Administrar claves de API (
org:manage_api_keys). - Role es opcional. Solo se le pueden asignar a una clave roles limitados a Ver motores y Ejecutar traducciones. Un rol con Ejecutar traducciones alcanza todos los motores.
- Con No role, la clave "Solo llega a los motores que elijas abajo"; su acceso proviene por completo de los motores nombrados en ella. Solo puedes nombrar motores en los que tú mismo puedas ejecutar traducciones.
- Después de crear una clave, edítala para nombrar los glosarios, las voces de marca y los conjuntos de reglas que puede usar. Una clave solo llega al contenido nombrado allí, y solo puedes nombrar contenido que tú mismo puedas editar.
- Si el plan Enterprise termina, cada clave de organización se desactiva con un 403 que indica el derecho, para que la persona operadora sepa que debe restaurar el plan o cambiar a una clave Personal, en lugar de perseguir un bug fantasma de alcance de motor.
Consulta API Keys para crear y revocar claves.
Propiedad#
No existe un paso aparte para transferir la propiedad. Un Owner le transfiere la propiedad a otra persona eligiendo Owner para esa persona en Configuración → Team, y la organización siempre debe conservar al menos un Owner. Como una invitación no puede llevar el rol Owner, primero invita a la persona con otro rol y luego conviértela en Owner una vez que haya aceptado. Para dejar el cargo, asciende a otro miembro a Owner y luego reduce tu propio rol (con RBAC activado) o elimínate.