Copiar para IA

Equipo, permisos y seguridad

Separa la seguridad personal de cada usuario de las reglas compartidas por toda la organización.

Cord tiene tres capas distintas de acceso:

1. Tu cuenta protege la identidad personal: contraseña, 2FA, passkeys, sesiones y la cuenta de Google conectada.
2. Equipo y permisos decide qué puede hacer cada miembro dentro de una organización.
3. Seguridad de la organización aplica requisitos como 2FA, cierre por inactividad y dominios permitidos para invitaciones.

Planes y asientos

Invitar equipo y usar roles personalizados empieza en Profesional. La cuota incluida actual es:

Plan	Usuarios incluidos	Usuarios adicionales
Gratis	1	No disponible
Starter	1	No disponible
Profesional	5	Con cargo mensual por usuario
Scale	15	Con cargo mensual por usuario
Developer	Ilimitados	Incluidos

Una invitación vigente ya reserva asiento aunque todavía no haya sido aceptada. Si el indicador está lleno, revoca una invitación que ya no usarás o revisa el plan. Las tarifas de usuario adicional están en Tu suscripción.

Invitar a una persona

La invitación vence en 7 días. Cord intenta enviarla por correo y también devuelve un enlace copiable como respaldo. Reenviar rota el token anterior y crea otro con siete días de vigencia; el enlace viejo deja de servir.

Si la organización limita dominios, el correo debe terminar exactamente en uno de los dominios configurados en Ajustes › Equipo y permisos › Seguridad. La regla también cubre la invitación solo por enlace: se revisa al aceptarla, contra el correo de la cuenta con la que la persona inicia sesión, así que una cuenta de otro dominio no puede unirse aunque tenga el enlace. Cada enlace sirve una sola vez.

Roles y permisos

Los roles son presets editables, no una sustitución de los permisos efectivos:

• Administrador: casi todo, incluido equipo; reembolsar no viene activado.
• Vendedor: cotizaciones, clientes, productos e informes; no ajustes ni aprobaciones.
• Solo lectura: entra a la app sin permisos de modificación.
• Personalizado: combinación guardada específicamente para ese miembro.
• Súper administrador: quien creó la cuenta (el dueño). Acceso total por definición; no se puede degradar ni revocar desde Equipo.

Los permisos independientes son Cotizaciones, Aprobaciones, Cobranza, Clientes, Productos, Informes, Ajustes, Configurar cobros, Reembolsos y Equipo.

Quién puede dar qué:

• El dueño puede dar cualquier permiso.
• Cualquier otra persona con permiso Equipo solo da los permisos que ella misma tiene, ya sea al invitar, al editar a un miembro o al elegir un rol. Lo que el miembro ya tenía se conserva aunque quien edita no lo tenga, y quitar permisos siempre se puede.
• Reembolsos solo lo da el dueño.
• Nadie puede cambiar sus propios permisos ni su rol: pídeselo a otra persona que administre el equipo.
• Solo revocas a quien tiene permisos que tú puedes dar. Para quitar del equipo a alguien con más permisos que tú, o con Reembolsos, pídeselo al dueño.
• Reenviar una invitación solo por enlace que da permisos que tú no puedes dar le corresponde al dueño, porque el enlace nuevo te llega a ti.

Estados de membresía

• Activo: aceptó la invitación y conserva acceso.
• Invitado: el enlace sigue pendiente; puede estar vigente o vencido.
• Revocado: ya no entra a la organización. El registro se conserva para mostrar historial y puede volver a invitarse.

La pantalla muestra última sesión, cotizaciones recientes y última acción cuando hay datos. Revocar desvincula el acceso; no reasigna ni borra automáticamente documentos que esa persona creó.

Exigir verificación en dos pasos

En Ajustes › Equipo y permisos › Seguridad, activa Exigir verificación en dos pasos (2FA) para la organización. Un miembro que todavía no tenga TOTP configurado será dirigido a Ajustes › Tu cuenta para terminar la activación antes de continuar usando las secciones protegidas.

La activación personal se hace en Ajustes › Tu cuenta: escanea el código QR con tu app autenticadora, confirma el código y guarda los diez códigos de respaldo de un solo uso que se muestran al activarlo. Guarda esos códigos fuera de Cord. Regenerarlos invalida el conjunto anterior. Para desactivar 2FA o regenerar los códigos de respaldo se piden tu contraseña y un código de tu app autenticadora; si tu cuenta no tiene contraseña, solo el código.

Al iniciar sesión, cada código de la app autenticadora sirve una sola vez y cada código de respaldo se gasta al usarlo. Desde el tercer código fallido en un día, Cord te manda el correo Intento de acceso con tu contraseña (uno por hora como máximo): quien lo intentó escribió tu contraseña correcta, así que cámbiala si no fuiste tú. Con diez códigos fallidos en 24 horas, el segundo paso se pausa salvo desde una red donde ya tienes una sesión abierta; restablecer tu contraseña lo libera.

Cuando la organización exige 2FA, la protección aplica también a las solicitudes del panel, no solo a la pantalla visible. Se conservan las acciones necesarias para configurar 2FA, confirmar tu identidad o cerrar sesión.

Si una acción sensible pide verificar tu identidad de nuevo, complétala antes de reintentar. Los permisos del equipo siguen siendo necesarios; tener 2FA no concede permiso para reembolsar o administrar el negocio.

Las acciones sensibles, como cambiar la cuenta de depósito, agregar a una persona a la verificación de Cord Payments, crear una llave de API, activar el código de verificación o poner la primera contraseña a una cuenta creada con OAuth, piden confirmar tu identidad si iniciaste sesión hace más de diez minutos. Se confirma con lo mismo que pide tu inicio de sesión:

Tu cuenta	Cómo confirmas
Tiene una passkey	Confirmar con passkey, con tu huella, tu rostro o el PIN del dispositivo. Basta sola.
Contraseña y 2FA	Tu contraseña y un código de tu app autenticadora o de respaldo.
Contraseña sin 2FA	Tu contraseña.
Sin contraseña, con 2FA	Un código de tu app autenticadora o de respaldo.
Entras con Google o Apple, sin contraseña ni 2FA	Continuar con Google o Continuar con Apple: se abre una ventana para volver a entrar y, al terminar, la acción sigue.
Entras solo con SSO	Cierra sesión y vuelve a entrar.

Eliminar tu cuenta o la organización y desactivar el SSO por una hora piden lo mismo en su propia ventana.

Passkeys y contraseña

En Ajustes › Tu cuenta cada persona puede:

• crear o cambiar su contraseña;
• registrar varias passkeys compatibles con el dispositivo o administrador de llaves;
• eliminar una passkey que ya no reconoce;
• conectar o desconectar Google. Apple aparece como Próximamente: todavía no está disponible.

Una cuenta creada con OAuth puede establecer contraseña después. Antes de desconectar el último método útil, confirma que conservas otra forma de acceso.

Toda contraseña nueva, al registrarte, al recuperarla o al cambiarla, debe tener al menos 10 caracteres, no puede contener tu correo y no puede aparecer en filtraciones de datos públicas. Si tu contraseña actual es de antes de esta regla, sigue funcionando para entrar; la regla aplica la próxima vez que la cambies.

Sesiones activas

La lista de sesiones muestra dispositivo, IP conocida, última actividad y cuál es la sesión actual. Puedes cerrar una sesión individual o todas las demás.

La organización también puede configurar cierre por inactividad en Ajustes › Equipo y permisos › Seguridad: sin límite, 1, 4, 8 o 24 horas. Esta regla es distinta de cerrar manualmente sesiones personales.

El plazo se comprueba al entrar a la aplicación, a facturación y a las API internas protegidas, y también al registrar una passkey. Cuando vence, la operación se detiene y debes iniciar sesión otra vez. La actividad se mide por solicitudes autenticadas a esas superficies, no por mover el mouse; las consultas automáticas de la app también pueden contar. Visitar una página pública o usar las rutas de recuperación de 2FA no reinicia el plazo. “Sin límite” desactiva el cierre por inactividad, pero conserva la expiración máxima de la sesión, las revocaciones y la suspensión de cuenta.

SSO empresarial

Las conexiones SAML 2.0 se administran en Ajustes › Equipo y permisos › SSO y requieren plan Scale o Developer y permiso Equipo. Una configuración guardada no garantiza acceso después de perder ese plan. La configuración técnica de la conexión (Entity ID, URL de inicio, certificado, dominios, aprovisionamiento y mapeo de roles) está en SSO y SAML.

Los miembros gestionados por SSO aparecen identificados en Equipo y sus permisos los gestiona tu proveedor de identidad.

Exigir SSO

Cuando ya tienes una conexión funcionando, puedes obligar a tu equipo a entrar solo por SSO.

Con la opción activa, Cord bloquea la contraseña, Google, Apple y las passkeys para todos los miembros excepto el dueño de la cuenta, que siempre conserva su contraseña como respaldo.

Acceso de emergencia

Si tu proveedor de identidad está caído y tu equipo no puede entrar, el dueño puede desactivar temporalmente el requisito:

Durante esa hora el equipo puede volver a usar sus otros métodos de acceso, y la pantalla muestra SSO desactivado temporalmente hasta la fecha y hora de vencimiento. Al cumplirse, el requisito vuelve solo. Solo el dueño puede usar esta opción, y la acción queda registrada en la auditoría de la organización.

Eliminar una cuenta personal

La zona de peligro en Tu cuenta elimina permanentemente la identidad personal, sesiones, passkeys y cuentas conectadas. Exige credencial y escribir el correo para confirmar. Sin organizaciones propias, la cuenta se elimina al momento. Si esa persona es la única dueña de una organización con más miembros, primero debe reasignar la propiedad; si no hay nadie más, la eliminación de esa organización se programa a 30 días y la cuenta se borra con ella, con tiempo para descargar los documentos fiscales y cancelar. Detalle en Datos y eliminación.

Problemas frecuentes

No puedo invitar. Revisa permiso Equipo, plan Profesional o superior, asiento disponible y dominio permitido.

El enlace venció. Usa Reenviar; no intentes recuperar el token anterior.

No puedo dar un permiso. Solo das los permisos que tú tienes, y Reembolsos solo lo da el dueño.

La persona no puede aceptar el enlace. Si la organización limita dominios, debe iniciar sesión con una cuenta de uno de esos dominios.

La persona entra pero no puede modificar. Revisa los permisos efectivos, no solo el nombre del rol.

La organización exige 2FA. La persona debe completar TOTP en su propia cuenta; un administrador no puede generar los códigos por ella.

“Demasiados intentos” al iniciar sesión. Diez contraseñas fallidas desde el mismo dispositivo en 15 minutos pausan ese dispositivo durante ese lapso. Si los intentos vienen de muchos lados (30 en una hora), la cuenta solo deja entrar desde una red donde ya tienes una sesión abierta. En los dos casos, restablecer la contraseña con ¿No recuerdas la contraseña? quita la pausa. Cord no dice en pantalla si un correo tiene cuenta.

Me llegó “Intento de acceso con tu contraseña”. Alguien escribió tu contraseña y falló el código de verificación. Si no fuiste tú, cámbiala en Ajustes › Tu cuenta y cierra las sesiones que no reconozcas.

Al abrir mi organización me pide entrar con SSO otra vez. Tu organización exige SSO y la sesión no se abrió con su proveedor de identidad (por ejemplo, entraste con el SSO de otra organización a la que también perteneces). Entra con el de esta.

No puedo activar Exigir SSO. Necesitas una conexión activa con al menos un dominio verificado.

El proveedor de identidad está caído. El dueño puede entrar con su contraseña y usar Desactivar por 1 hora.

Páginas relacionadas

• SSO y SAML
• Tu suscripción a Cord: asientos incluidos y usuarios adicionales.
• Mapa de Ajustes
• Crea tu cuenta