El otro día me llamó un cliente que tiene una casa de electrodomésticos. Le habían entrado a la cuenta de Mercado Pago del negocio un sábado a la noche. Cuando le pregunté cómo manejaban las claves, me dijo una frase que escuché mil veces: «la tenemos todos, es más fácil». La clave era la misma para el mail, para el sistema de facturación y para la billetera. Y era el nombre del local con un 2023 al final.
Mirá, no hace falta un manual de 40 páginas para ordenar esto. Una política de contraseñas para tu equipo es un papel de una carilla. Con cuatro reglas claras y un par de pasos concretos. Te lo simplifico.
Qué es una política de contraseñas (y qué no)
No es un documento legal que firmás y guardás en un cajón. Es un acuerdo simple de cómo se manejan las claves en tu negocio. Quién tiene cuál, cómo se guardan, qué se hace cuando alguien se va.
La seguridad de una pyme no es cara, es ordenada. Y el orden empieza por acá.
Lo que tiene que tener tu política, en criollo:
- Una regla de cómo se arma una clave (largo, sin datos obvios).
- La prohibición de compartir claves por WhatsApp o papel.
- El uso obligatorio del doble factor en las cuentas importantes.
- Qué pasa cuando alguien entra o sale del equipo.
Con eso ya estás mejor que el 80% de las pymes que veo.
El error que veo siempre: la clave compartida
Te lo cuento con un caso real. Una panadería que asesoré tenía la clave del mail del negocio en un Excel compartido en Drive. Sin contraseña. Cualquiera con el link entraba. Cuando se fue un empleado, nadie se acordó de cambiar nada.
El problema no es la persona. El problema es que si todos usan la misma clave, no sabés quién hizo qué. Y si un día hay un problema, no podés rastrear nada.
La solución es simple: cada persona tiene su propia cuenta. Suena a más trabajo, pero es lo que te salva. Si querés profundizar, acá te explico cómo armar cuentas separadas para tu equipo.
Los 5 básicos de mi política (los que le doy a cada pyme)
Esto es lo que pego en la plantilla que le dejo a cada cliente. Copialo y adaptalo.
- Largo antes que complicado. Una frase de cuatro palabras separadas por guiones es más fuerte que «P@ssw0rd!». Mínimo 12 caracteres.
- Nada de datos obvios. Sin nombre del negocio, sin cumpleaños, sin 1234 al final. Lo vi mil veces.
- Una clave distinta por cuenta. Si te filtran una, no te tiran todas. Esto es clave.
- Doble factor en todo lo importante. Mail, banca, Mercado Pago, redes. El doble factor es el cinturón de seguridad del negocio.
- Gestor de contraseñas. Gratis o barato. Guarda todo cifrado y no dependés de tu memoria. Soy fanática desde que vi el desastre del Excel compartido.
Si querés dejar de compartir claves por WhatsApp, en esta nota te dejo el paso a paso.
Cómo armarla en 20 minutos (paso a paso)
No necesitás reunión de equipo ni consultora. Sentate con un papel y hacé esto:
- Listá las cuentas críticas. Mail del negocio, banca, Mercado Pago, redes, sistema de facturación. No más de 8 o 10.
- Anotá quién tiene acceso a cada una. Si hay alguien que no debería, sacalo hoy.
- Activá el doble factor en cada una. Una por una. Sin excepción.
- Armá una clave nueva para cada cuenta. Larga, distinta, sin datos obvios.
- Guardalas en un gestor. Uno solo, compartido con quien corresponda.
- Escribí la política en una carilla. Las 4 reglas de arriba, adaptadas a tu negocio.
- Comunicá al equipo. Un mensaje claro, sin vueltas. Explicá el por qué, no solo el qué.
Eso es todo. En 20 minutos tenés política y acción.
Qué hacer cuando alguien entra o sale del equipo
Este es el punto que más se olvida. Y el que más caro sale.
Cuando entra alguien: cuenta propia, clave propia, doble factor propio. Nunca le pasás tu clave.
Cuando sale alguien: cambiás las claves de todo lo que tenía acceso. El mismo día. No esperás a fin de mes.
Si no hacés esto, estás dejando la puerta abierta. Y no sabés quién puede entrar.
Las excusas que escucho (y por qué no sirven)
«A mí no me va a pasar». Cada vez que un cliente me dice eso, anoto la fecha. Siempre vuelven.
«Es muy complicado para mi equipo». No lo es. Un gestor de contraseñas se aprende en 10 minutos. El doble factor es un código que llega al celular.
«No tengo plata para eso». El doble factor es gratis. Los gestores tienen versión gratuita. La seguridad de una pyme no es cara, es ordenada.
«Ya tenemos una clave fuerte». Una sola, compartida por todos. Eso no es fuerte, es frágil.
El dato del cliente es prestado, no tuyo
Esto lo tengo pegado en el escritorio. Y aplica directo a este tema. Si manejás mal las claves, estás poniendo en riesgo los datos de tus clientes. Sus mails, sus teléfonos, sus compras.
Eso no es tuyo. Te lo prestaron. Y si lo perdés por desorden, la responsabilidad es tuya.
Una política de contraseñas no es burocracia. Es la forma más simple de cuidar lo que te confiaron.
¿Qué tiene que tener una política de contraseñas para una pyme?
Cuatro reglas básicas: cómo se arma una clave (larga, sin datos obvios), prohibición de compartir claves, doble factor obligatorio en cuentas críticas, y un protocolo claro para cuando alguien entra o sale del equipo. Con eso ya estás cubierto.
¿Cuántas cuentas debería incluir en la política?
Solo las críticas. Mail del negocio, banca, Mercado Pago, redes sociales y sistema de facturación. No más de 8 o 10. Si intentás cubrir todo, no cumplís nada.
¿Es obligatorio usar un gestor de contraseñas?
Obligatorio no, pero es la forma más práctica de cumplir la política. Guarda todo cifrado, no dependés de la memoria y podés compartir accesos sin pasar la clave. Hay versiones gratuitas que alcanzan para una pyme.
¿Qué hago si un empleado se va del negocio?
El mismo día cambiás las claves de todas las cuentas a las que tenía acceso. No esperás. Si tenía doble factor con su celular, lo desactivás y lo volvés a activar con el tuyo. Es el punto que más se olvida y el que más caro sale.
¿El doble factor es realmente necesario?
Sí. Es la barrera más efectiva contra el robo de cuentas. Aunque alguien consiga tu clave, sin el segundo factor no entra. Es gratis y toma 2 minutos activarlo. El doble factor es el cinturón de seguridad del negocio.
¿Cómo hago cumplir la política sin que sea un caos?
Explicá el por qué, no solo el qué. Un mensaje claro al equipo, un gestor compartido y una revisión cada tanto. Si la política es simple, se cumple. Si es un manual de 40 páginas, nadie la lee.
Esta semana, sentate 20 minutos y hacé esto: listá las 5 cuentas más importantes de tu negocio, activá el doble factor en cada una y armá una clave nueva, larga y distinta para cada una. Guardalas en un gestor. Después escribí la política en una carilla y mandala al equipo. Con eso ya estás protegido. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
