Permisos unificados de Shopify: revisión de accesos para equipos de tienda

Shopify anunció el 11 de junio de 2026 que la gestión del personal de POS y de los usuarios administradores queda unificada en Configuración > Usuarios. El registro oficial de cambios de Shopify indica que desde ese espacio se pueden configurar usuarios de POS, asignar roles y gestionar códigos PIN. También señala que los usuarios, permisos y roles existentes se migraron automáticamente para mantener sus accesos.

La prioridad operativa es verificar ese estado, no reasignar roles de forma indiscriminada. Cada identidad activa debe vincularse con una tarea actual, un conjunto de tiendas, una combinación de roles y una persona responsable de la aprobación. Las cuentas estacionales, los perfiles multitienda y quienes administran roles merecen una revisión específica.

La unificación se refiere a la administración del personal en Shopify. El anuncio no atribuye cambios a Google Ads, Merchant Center, los catálogos de producto, la analítica, la atribución ni el rendimiento de las campañas. Si una operación publicitaria depende de una tarea realizada en Shopify, documenta la relación sin mezclar los permisos de ambas plataformas.

En organizaciones Shopify Plus, el personal de POS puede acceder a varias tiendas mediante un único perfil, sin duplicar perfiles para ese uso. Las cuentas de personal estacional se pueden suspender o desactivar sin eliminarlas. Cuando esas personas regresan, Shopify permite reactivarlas y conservar su historial.

La actualización también permite crear roles personalizados y asignar varios roles a una misma persona. Shopify presenta cuatro roles de alta confianza: POS Administrator, POS Device Setup, POS User Administrator y Organization POS Administrator.

La excepción relevante afecta a la administración de roles. Crear, editar o eliminar roles es ahora un permiso de ámbito organizativo, no limitado a una sola tienda, y Shopify no concedió automáticamente esa autoridad más amplia. Quien antes gestionaba roles en una tienda puede necesitar Organization POS Administrator si la empresa quiere que realice esa función para toda la organización.

La asignación de roles ya existentes sigue siendo posible con POS User Administrator. Shopify indica que ese rol se asignó a quienes ya disponían del permiso correspondiente y recomienda revisar y depurar las listas de usuarios y roles cuando sea necesario.

Un puesto de trabajo no basta para decidir permisos. Empieza por describir la acción que debe realizarse, la tienda afectada, el periodo durante el cual existe la necesidad y el responsable que acepta el alcance. Después contrasta esa definición con el estado que puede observar el administrador.

CreatikLab propone separar solicitud, aprobación, aplicación y verificación. La persona solicitante explica la necesidad. El responsable del proceso aprueba el alcance. El administrador realiza el cambio. Por último, otra revisión confirma que la tarea aprobada puede completarse sin añadir autoridad innecesaria. En equipos pequeños una persona puede asumir más de una función, pero el registro debe aclarar quién tomó cada decisión.

Cuando una identidad acumule varios roles, revisa el resultado conjunto. Shopify permite esa combinación, pero no determina qué mezcla es adecuada para cada comercio. La decisión debe basarse en la tarea y en el acceso observado, no en la aparente sencillez de las etiquetas.

• Identidad y estado — Anota la persona usuaria, su estado y los roles asignados. Relaciona cada cuenta activa con una finalidad actual y un responsable.
• Tiendas accesibles — Comprueba qué tiendas puede alcanzar cada perfil multitienda y compáralas con el ámbito de trabajo aprobado.
• Roles sensibles — Registra quién posee alguno de los roles de alta confianza enumerados por Shopify, qué tarea lo justifica y quién autorizó la asignación.
• Administración de roles — Identifica a quienes deben crear, editar o eliminar roles. Decide expresamente si necesitan autoridad para toda la organización.
• Ciclo estacional — Documenta el estado de la cuenta, el motivo de un posible regreso y quién decidirá su reactivación.
• Acumulación de roles — Evalúa el acceso derivado de todas las asignaciones de una persona y remite cualquier exceso al proceso interno de aprobación.
• Sistemas externos — Mantén inventarios independientes para Shopify, Google Ads y otras plataformas. Relaciónalos solo mediante tareas operativas claramente documentadas.

Esta ficha pertenece al método de CreatikLab. Shopify no prescribe estos campos, responsables ni pasos de aprobación. El comercio puede adaptarlos, pero una excepción debe incluir una evidencia revisable, una decisión, una acción y una persona encargada de cerrarla.

1. Delimita la población: personal activo, cuentas estacionales, proveedores externos y titulares de roles sensibles.
2. Registra el estado actual, los roles y las tiendas observadas antes de modificar nada. No copies ni compartas contraseñas o códigos PIN.
3. Asocia cada identidad con una tarea autorizada. Si no puede confirmarse una finalidad vigente, abre una decisión sobre su ciclo de vida.
4. En una organización Shopify Plus, contrasta el alcance multitienda con la responsabilidad operativa aprobada.
5. Localiza a quienes deban crear, editar o eliminar roles y confirma si la empresa desea concederles autoridad organizativa.
6. Prueba una tarea representativa con una cuenta adecuada que no sea la del propietario. Anota el resultado y cualquier excepción.
7. Aplica la corrección aprobada más limitada, vuelve a comprobar la cuenta y cierra el caso solo cuando existan evidencia y responsable.

No conviertas el proceso en una asignación masiva. La existencia de varios roles o de una función administrativa para toda la organización no justifica su concesión general. La secuencia recomendada es tarea, observación, decisión, cambio controlado y comprobación final.

El cuadro de seguimiento debe mostrar cuántas identidades forman parte de la revisión, cuáles tienen una finalidad confirmada, qué diferencias de alcance siguen abiertas, qué roles sensibles esperan aprobación y qué cuentas estacionales aún no tienen una decisión. También debe identificar las correcciones sin responsable.

Para cada excepción, registra la identidad afectada, el estado observado, el estado esperado, la decisión, la persona que ejecutará el cambio, quien lo aprueba y la situación actual. La revisión termina cuando cada caso se resuelve o queda aceptado de forma consciente por una persona responsable; una hoja rellenada no basta.

No presentes la reducción de excepciones como prueba de crecimiento comercial. Shopify no afirma que la actualización mejore ventas, aprobación de catálogos, calidad de oportunidades, atribución o retorno publicitario. Si la gobernanza de accesos ayuda a una campaña, sus resultados deben medirse con las definiciones comerciales aprobadas por la empresa.

• Dar por válidos todos los permisos históricos solo porque la migración fue automática.
• Deducir el alcance real de una cuenta a partir del nombre de un rol sin revisar tiendas y asignaciones.
• Suponer que un antiguo gestor de roles de tienda recibió automáticamente autoridad para toda la organización.
• Tratar suspensión, desactivación y eliminación como decisiones equivalentes sin aplicar las políticas internas del comercio.
• Interpretar una identidad de Shopify como prueba de acceso a Google Ads, Merchant Center, analítica, CRM o cuentas de agencia.
• Añadir supuestos sobre precios, despliegue, condiciones de plan o resultados que Shopify no comunicó.

Si participa un proveedor, solicita primero el formato del entregable. Una revisión útil debe producir inventario de identidades, mapa de roles y tiendas, registro de accesos sensibles, análisis de cuentas estacionales, lista de excepciones, responsables de corrección y constancia de validación. Evita servicios que sustituyan este trabajo por accesos amplios o promesas de rendimiento.

Si un flujo publicitario depende de tareas realizadas en Shopify, solicita un Registro de Dependencias de Acceso Retail como entregable concreto dentro de una auditoría de Google Ads. El registro debe relacionar las tareas aprobadas con las identidades de Shopify necesarias, las tiendas afectadas, la propiedad de las cuentas y las decisiones pendientes sobre roles sensibles.

El alcance sigue siendo la gobernanza de accesos necesaria para ese flujo; Shopify y Google Ads deben permanecer como dominios separados. Si el registro descubre una decisión de organización que no puede resolverse con una corrección puntual, la consultoría de Google Ads puede definir responsabilidades, controles y condiciones de entrega. La página de Expertos en Google Ads permite localizar la vía de revisión especializada.

Para iniciar el trabajo, abre Lia y pide un Registro de Dependencias de Acceso Retail. Indica las tiendas implicadas, los equipos que necesitan acceso, si regresará personal estacional y qué decisión concreta del flujo publicitario está bloqueada. No envíes credenciales, códigos PIN ni datos personales.

¿Dónde se administran los usuarios de Shopify POS?

Shopify indica que la gestión del personal de POS y de los usuarios administradores está unificada en Configuración > Usuarios. Allí se pueden configurar usuarios, asignar roles y gestionar códigos PIN.

¿La migración eliminó los permisos existentes?

Shopify señala que los usuarios, permisos y roles se migraron automáticamente para conservar el acceso. El comercio debe comprobar después si ese acceso histórico sigue siendo necesario.

¿Puede una persona acumular varios roles?

Sí. Shopify permite crear roles personalizados y asignar varios roles a una misma persona. CreatikLab recomienda revisar el acceso resultante de la combinación.

¿Por qué puede necesitarse Organization POS Administrator?

Crear, editar y eliminar roles es ahora una facultad de ámbito organizativo. Shopify no concedió automáticamente esa autoridad más amplia, por lo que requiere una decisión expresa cuando resulte necesaria.

¿Los permisos de Shopify incluyen Google Ads o los catálogos?

Shopify no afirma que la gestión unificada controle Google Ads, Merchant Center, catálogos, analítica o atribución. Cada sistema necesita una revisión independiente.

¿Qué debe entregar una revisión de gobernanza de accesos?

CreatikLab recomienda un inventario de identidades, mapa de roles y tiendas, registro de accesos sensibles, revisión de cuentas estacionales, lista de excepciones, responsables y validación documentada.