Equipos.

Cómo colaborar de forma segura en Vericto: roles, invitaciones, acceso granular y SSO empresarial para equipos de ingeniería.

Resumen

Un workspace en Vericto es el contenedor de todas las bases de datos, reglas, API keys y notificaciones de una organización. El equipo es el conjunto de personas con acceso a ese workspace, cada una con un rol que define exactamente qué puede ver y qué puede cambiar.

El modelo de permisos es sencillo: cuatro roles, jerarquía clara, sin excepciones. Los cambios en los permisos son efectivos de inmediato en toda la plataforma, sin necesidad de cerrar sesión.

Cada workspace tiene un único owner. El owner puede transferir el ownership a otro miembro desde el dashboard (ver Transferir el ownership). Todos los demás roles (admin, member, viewer) son asignables y revocables por el owner o por cualquier admin.

Roles y permisos

Vericto define cuatro roles. Cada rol tiene un conjunto fijo de permisos, sin permisos granulares que seleccionar de forma individual:

Rol Quién debería tenerlo Puede hacer No puede
Owner El fundador de la cuenta o el responsable técnico de la organización. Uno por workspace. Todo: cambiar el plan, gestionar el team completo, actuar sobre admins, transferir ownership. —
Admin Tech lead o DBA responsable de la configuración de seguridad. Gestionar bases de datos, reglas, API keys, notificaciones y members/viewers. Marcar las columnas sensibles de cada base (Team y Enterprise). Invitar nuevos miembros. Actuar sobre otros admins ni sobre el owner. Cambiar el plan de facturación.
Member Ingenieros del equipo que necesitan ver y gestionar el audit trail y las queries. Ver el dashboard, las queries, el audit trail, las reglas y exportar datos. Crear ni modificar reglas, bases de datos, columnas sensibles, API keys, ni gestionar el team.
Viewer Auditores externos, compliance officers o stakeholders no técnicos. Ver el dashboard y el audit trail. Solo lectura. Cualquier acción de escritura o configuración.

Los admins no pueden gestionar a otros admins. Para elevar o degradar a un admin, el owner debe hacerlo directamente. Esto evita escaladas de privilegios horizontales sin supervisión del owner.

Invitaciones

Owners y admins pueden invitar a personas nuevas al workspace. El proceso es:

  1. Ve a Dashboard → Team e introduce el email del invitado y el rol que tendrá.
  2. Vericto envía un email de invitación. Si el email no llega, copia el enlace de invitación directamente desde la UI y compártelo por Slack o email.
  3. El invitado acepta la invitación y elige (o crea) su contraseña. El enlace caduca en 48 horas.
  4. Una vez aceptada, el nuevo miembro aparece como Activo en la lista del equipo.

Invitaciones pendientes

Mientras una invitación está pendiente de aceptar, el miembro aparece con estado Pendiente. Puedes revocarla en cualquier momento desde la lista del team. Si el invitado no recibió el email, copia el enlace desde la misma fila y reenvíalo manualmente.

SSO empresarial (OIDC)

En el plan Enterprise, puedes configurar SSO con cualquier proveedor OIDC (Okta, Microsoft Entra, Google Workspace, etc.). Con SSO activo:

  • JIT provisioning: los usuarios de dominios verificados entran automáticamente al workspace con el rol por defecto que configures, sin invitación manual.
  • Enforce SSO: puedes requerir que todos los miembros inicien sesión exclusivamente vía SSO, deshabilitando el login con email/contraseña para los usuarios del workspace.

La configuración de SSO está en Dashboard → Ajustes → SSO empresarial. Solo el owner puede habilitarlo.

Transferir el ownership

El owner puede entregar el workspace a otro miembro desde Dashboard → Team → Zona de peligro → Transferir la propiedad. Nada cambia hasta que el nuevo owner acepta.

  1. Elige al nuevo owner entre los miembros que ya aceptaron su invitación (las invitaciones pendientes no cuentan) y qué pasas a ser tú: admin (por defecto), member o salir del workspace.
  2. Confirma con tu contraseña (o con un inicio de sesión de hace menos de 10 minutos si tu cuenta no tiene contraseña), tu código de dos pasos si lo tienes activo, y escribe el nombre del workspace.
  3. El nuevo owner recibe un email y un aviso en el dashboard, y acepta (confirmando su identidad de la misma forma) o rechaza. La solicitud vence a los 7 días, y puedes cancelarla antes.
  4. Al aceptar, el ownership cambia de inmediato. Los dos y los demás admins reciben un email, y cada paso queda en el Audit log.

Reglas

  • Un workspace en el que solo está el owner no se puede transferir: invita a un miembro primero.
  • Hay una sola transferencia pendiente por workspace. Para elegir a otra persona, cancela la actual.
  • Si el nuevo owner deja de ser miembro antes de aceptar, la transferencia se cancela.
  • En un workspace que exige SSO, el email del nuevo owner tiene que estar en sus dominios verificados.
  • Tus API keys y conexiones MCP siguen ligadas a ti y funcionando dentro de tu nuevo rol. Como member, tus conexiones MCP pierden config:write. Si sales del workspace, tus API keys se revocan, igual que en una baja.

Facturación y contratos Enterprise

La suscripción no cambia nunca con una transferencia. Los recibos siguen llegando al owner anterior salvo que marques que el nuevo owner pase a ser el contacto de facturación. En un workspace con contrato Enterprise, la transferencia no cambia el firmante del contrato: escribe a enterprise@vericto.com para actualizarlo.

Mejores prácticas para empresas

Principio de mínimo privilegio

Asigna el rol más restrictivo que cumpla las necesidades del usuario. La mayoría de los ingenieros necesitan solo Member para revisar el audit trail y las queries bloqueadas. Admin debe reservarse para quien configure reglas, bases de datos o gestione el team. Viewer es ideal para auditores externos o management que necesita visibilidad sin capacidad de cambio.

El owner es la cuenta de la organización

Usa una cuenta de email corporativa (ej. infra@empresa.com), no la personal del fundador, para el ownership del workspace. Antes de que el owner deje la empresa, transfiere el ownership desde Dashboard → Team: si la cuenta queda sin acceso, recuperarla requiere verificar la identidad con soporte. Una cuenta compartida del equipo de plataforma evita esa fricción.

Rotación de API keys

Las API keys de CI/CD tienen permisos propios y no están ligadas a un usuario específico. Cuando alguien del equipo de plataforma deja la empresa, rota las API keys activas desde Dashboard → API Keys → Rotar. Esto no requiere cambios en el resto del equipo.

Los cambios en el equipo quedan registrados

Vericto registra los eventos de gestión del equipo: invitaciones enviadas, aceptadas y revocadas, cambios de rol, bajas de miembros y transferencias de ownership, con quién hizo cada cambio y cuándo. El owner y los admins los ven en Dashboard → Settings → Audit log. Ese registro todavía no se puede exportar: el export de Dashboard → Audit Trail cubre las queries evaluadas.

Revisiones periódicas de acceso

Programa revisiones trimestrales del equipo en tu workspace para detectar accesos innecesarios. Un proceso sugerido:

  1. Revisa la lista de miembros en Dashboard → Team.
  2. Identifica cuentas con estado Pendiente más de 48 horas: probablemente nunca se aceptaron.
  3. Revoca accesos de personas que ya no están en el equipo.
  4. Degrada a Viewer a quienes tengan Member sin actividad reciente en el dashboard.

Preguntas frecuentes

¿Cuántos miembros puede tener un workspace?

No hay límite en el número de miembros en ningún plan. El límite aplica a las bases de datos conectadas (1 en Free, 3 en Builder, 10 en Team y a medida en Enterprise, según el contrato).

¿Puedo tener múltiples workspaces?

Sí. Puedes crear y pertenecer a múltiples workspaces con la misma cuenta. Usa el workspace switcher en la barra lateral del dashboard para cambiar entre ellos. Cada workspace tiene su propio equipo, plan y facturación.

¿Qué pasa cuando un miembro acepta una invitación pero ya tiene cuenta en Vericto?

La invitación se asocia con su cuenta existente. El miembro simplemente gana acceso al nuevo workspace, sin crear una cuenta duplicada. Sus otros workspaces no se ven afectados.

¿Puedo reasignar el rol Owner a otro miembro?

Sí. El owner lo hace desde Dashboard → Team → Zona de peligro, confirmando su identidad, y el otro miembro tiene que aceptar. Ver Transferir el ownership.

¿Los miembros con rol Viewer pueden ver el texto de las queries?

Sí. Los Viewers tienen acceso de lectura al audit trail, que incluye los metadatos de las queries (regla aplicada, status, latencia) pero no el texto completo de la query si el workspace tiene el modo de telemetría en Sanitized. Si está en Raw, el texto sí es visible. Configúralo en Ajustes → Privacidad de telemetría.