El panel de tu chatbot guarda cosas que merece la pena proteger: las conversaciones y los datos de contacto de tus clientes, los documentos que componen tu base de conocimiento, tu calendario de reservas y, si traes tu propia clave, el acceso a una cuenta de un proveedor de IA que puede disparar una factura. La cuenta que controla todo esto es tan segura como su inicio de sesión más débil. La mayoría de los compromisos reales de cuentas no son ataques ingeniosos: son contraseñas reutilizadas, inicios de sesión compartidos, antiguos empleados que aún tienen acceso y propietarios sin un segundo factor. Esta guía es una guía práctica de seguridad para los propietarios de un espacio de trabajo de chatbot: cómo asignar roles para que cada persona tenga solo el acceso que necesita, cómo funciona la autenticación en dos pasos y cómo activarla, cómo iniciar sesión con seguridad, cómo gestionar altas y bajas, cómo proteger las claves de API, cómo usar un registro de auditoría y una lista de comprobación que puedes completar en una tarde.
Qué está en juego
| Activo | Riesgo si alguien entra |
|---|---|
| Conversaciones y contactos | Datos personales de los clientes expuestos; consecuencias según la normativa de privacidad |
| Base de conocimiento | Contenido alterado para que el asistente diga cosas erróneas |
| Ajustes del asistente | Instrucciones cambiadas; asistente usado de forma indebida |
| Reservas y calendario | Citas eliminadas o inundadas de spam |
| Clave del proveedor de IA | Costes disparados en tu cuenta |
| Facturación | Cambios de plan o cancelación |
El impacto de una toma de control es mayor del que suelen suponer los propietarios, porque un chatbot está de cara a tus clientes.
Mínimo privilegio: da a cada persona solo lo que necesita
Los roles limitan lo que cada miembro del equipo puede ver y cambiar. El principio es el mínimo privilegio: empieza con lo mínimo y añade acceso cuando haya un motivo.
| Tipo de persona | Acceso sugerido |
|---|---|
| Propietario | Todo, incluidas facturación y seguridad; limítalo a una o dos personas |
| Administradores | Gestionan asistentes, conocimiento y ajustes; no la facturación ni la propiedad |
| Soporte o recepción | Ven conversaciones, contactos y reservas; gestionan los traspasos; no los ajustes ni las claves |
| Contratistas o agencias | Solo los asistentes y pestañas en los que trabajan, mientras trabajen |
| Facturación o finanzas | Solo planes y facturas |
- Revisa los roles cuando cambie el puesto de alguien.
- Evita dar a todos derechos de propietario por comodidad.
- Usa cuentas nominales para todos; nunca compartas un inicio de sesión.
- Limita quién puede ver las claves de IA y quién puede cambiar las instrucciones del asistente.
Los espacios de trabajo de Crescelo usan roles que limitan lo que los miembros del equipo pueden ver, editar o cambiar, y los propietarios pueden ver un registro de auditoría de las acciones importantes.
Autenticación en dos pasos (2FA)
Una contraseña por sí sola puede adivinarse, reutilizarse de otra filtración o robarse. Un segundo factor exige algo más: un código de una aplicación de autenticación en tu teléfono. Aunque se filtre tu contraseña, un atacante no puede entrar sin el código. Crescelo admite códigos de un solo uso basados en el tiempo de aplicaciones de autenticación, y las cuentas de equipo pueden exigirlos al iniciar sesión.
- Instala una aplicación de autenticación en tu teléfono.
- En los ajustes de seguridad del espacio de trabajo, inicia la configuración de la 2FA y escanea el código QR.
- Introduce el código de seis dígitos para confirmar.
- Guarda los códigos de recuperación en un lugar seguro y sin conexión; te permiten entrar si pierdes el teléfono.
- Prueba a cerrar sesión y volver a entrar con un código.
- Actívala primero para los propietarios y después para todos.
- Prefiere una aplicación de autenticación a los mensajes de texto, que pueden interceptarse.
- Guarda los códigos de recuperación en un gestor de contraseñas o en un cajón cerrado con llave, no en un correo.
- Cuando alguien se va, retira su acceso; no confíes en su 2FA.
Buenos hábitos de inicio de sesión
- Usa una contraseña única y larga de un gestor de contraseñas.
- Nunca reutilices contraseñas entre servicios.
- Si inicias sesión con Google, protege también esa cuenta de Google con 2FA.
- Cuidado con el phishing: comprueba la dirección antes de introducir las credenciales y no introduzcas un código que no esperabas.
- Cierra sesión en los dispositivos compartidos.
El panel de Crescelo comprueba una sesión en cada petición con el estado de tu cuenta, así que cambiar tu contraseña o eliminar a un miembro cierra sus sesiones existentes.
Altas, cambios de puesto y bajas
| Suceso | Acción |
|---|---|
| Nuevo miembro del equipo | Crea una cuenta nominal con el rol más pequeño que funcione; exige 2FA |
| Cambio de puesto | Ajusta el acceso el mismo día |
| Un contratista termina | Retira el acceso de inmediato |
| Un empleado se va | Elimina su cuenta y cambia todo lo que pudiera ver, como contraseñas compartidas y claves de API |
| Cambio de propietario | Transfiere la propiedad de forma deliberada y retira el acceso del antiguo propietario |
Anótalo como una lista breve. La baja del personal es donde empiezan la mayoría de los problemas de acceso.
Proteger las claves de API
- Usa una clave dedicada para cada asistente, con un límite de gasto en el proveedor.
- Nunca pegues claves en chats, correos ni código del sitio web.
- Limita quién puede ver o cambiar los ajustes de IA.
- Cambia las claves cuando se vaya una persona con acceso o se sospeche una filtración.
- Crescelo guarda las claves de los proveedores cifradas; consulta cómo funciona una caja fuerte de claves propias.
Usa el registro de auditoría
Un registro de auditoría anota quién hizo qué y cuándo: un ajuste cambiado, una fuente eliminada, un miembro añadido. Úsalo. Revísalo cada mes en busca de cambios inesperados y tras cualquier incidente. Los propietarios de Crescelo pueden ver un registro de auditoría de las acciones del espacio de trabajo. También ayuda en una disputa o una investigación, porque puedes ver qué ocurrió.
Otros fundamentos
- Mantén tus dispositivos actualizados y bloqueados.
- No uses wifi público para tareas de administración sin una conexión de confianza.
- Limita quién tiene acceso de administrador a tu dominio y a tu sitio web, ya que el chat está instalado ahí.
- Ten cuidado con las extensiones del navegador.
- Haz copias de seguridad del contenido importante, como tus documentos de conocimiento.
Si crees que una cuenta está comprometida
- Cambia la contraseña y cierra sesión en todas partes.
- Elimina a los miembros sospechosos y revoca las claves de API.
- Revisa el registro de auditoría para ver qué cambió.
- Revisa las conversaciones y contactos recientes en busca de actividad inusual.
- Restaura el contenido alterado a partir de tus originales.
- Informa a los clientes afectados si sus datos pueden haber quedado expuestos, como exigen tus obligaciones legales.
- Contacta con soporte y facilita los detalles.
Una lista de comprobación para una tarde
- Dos propietarios como máximo, ambos con 2FA.
- Cada miembro del equipo en una cuenta nominal con el rol más pequeño.
- Códigos de recuperación guardados de forma segura.
- Cuentas antiguas y compartidas eliminadas.
- Una clave de IA dedicada con límite de gasto.
- Registro de auditoría revisado.
- Una lista escrita de altas y bajas.
Errores comunes
- Hacer a todos propietarios porque es más fácil.
- Compartir un solo inicio de sesión en el equipo.
- Guardar los códigos de recuperación en la misma bandeja que el correo de restablecimiento de contraseña.
- Olvidar retirar a los contratistas cuando termina un proyecto.
- No mirar nunca el registro de auditoría.
- Dejar la clave de IA visible para personas que no la necesitan.
Corregir esto lleva una tarde y elimina la mayoría de las vías realistas por las que se compromete una cuenta. Pon en el calendario un recordatorio trimestral recurrente para revisar roles y accesos.
Preguntas frecuentes
¿Admite Crescelo la autenticación en dos pasos?
Sí. Las cuentas pueden usar códigos basados en el tiempo de una aplicación de autenticación, y las cuentas de equipo pueden exigirlos al iniciar sesión.
¿Qué es el mínimo privilegio?
Dar a cada persona solo el acceso que necesita, de modo que un error o un compromiso cause menos daño.
¿Qué pasa si pierdo el teléfono?
Usa los códigos de recuperación que guardaste al activar la 2FA y vuelve a configurarla en el teléfono nuevo.
¿Debo compartir un inicio de sesión con mi equipo?
No. Usa cuentas nominales para saber quién hizo qué y poder retirar el acceso de forma individual.
¿Cómo retiro el acceso de un antiguo empleado?
Elimina su cuenta, cambia las contraseñas compartidas y las claves de API que pudiera ver y revisa el registro de auditoría.
¿Dónde puedo ver quién cambió qué?
En el registro de auditoría, disponible para los propietarios del espacio de trabajo.
Consulta cómo se protegen tus datos y el anexo de tratamiento de datos, lee la lista del RGPD, consulta la protección SSRF para rastreadores web, la función de asistente de IA y empieza una prueba gratuita para configurar tu espacio de trabajo de forma segura.
Lecturas recomendadas
- OWASP Top 10 para aplicaciones de modelos de lenguaje de gran tamaño: Los principales riesgos de seguridad de los asistentes de IA, incluida la inyección de prompts.
- Google Search Central: crear contenido útil y pensado para las personas: Qué busca Google en las páginas útiles.
RESPONDE A CADA VISITANTE. RESERVA CITA A QUIEN ESTÁ LISTO.
Instala Crescelo en tu sitio web en 15 minutos
Entrena a tu asistente con tus listas de precios, documentos y condiciones de servicio. Activa respuestas basadas en tus fuentes las 24 horas y reservas de citas en el chat sin solapamientos.