Nueve roles, un sistema: quién puede ver y hacer qué

La primera vez que un dueño le da una tablet a alguien recién contratado, suele hacer la misma pregunta: ¿qué puede ver esta persona?

Es la pregunta correcta, y la respuesta honesta tiene que ser concreta.

Nueve roles y para qué sirve cada uno

La cuestión no es que la gente sea poco fiable. Es que una pantalla llena de cosas sobre las que no puedes actuar es una pantalla que aprendes a ignorar, y a un cajero al que le enseñas tu margen de materia prima le has dado una distracción, no una herramienta.

El alcance por local se impone, no se pide

El fallo más común en multisucursal es un encargado que ve toda la cadena porque nadie limitó la consulta. Decirle a alguien «mira solo tu local» es una política. Impedirlo es un sistema.

Las peticiones de un encargado se comprueban contra el identificador de su propio local: en la ruta, en la consulta y en el cuerpo de lo que envía. Si pide los números de otro local, la respuesta es no, sin importar en qué pantalla encontró el botón.

Para qué sirve la pista de auditoría

Dos registros acompañan cada acción:

• El registro de actividad — una lista legible de lo que hizo el personal: este cajero anuló ese artículo, este encargado aprobó esa devolución, a esta hora.
• La pista de auditoría — el registro subyacente de lo que cambió, con valores antes y después, el usuario y la petición que lo llevó.

Ninguno interesa hasta el día en que un número está mal. Entonces son la diferencia entre una conversación sobre hechos y una conversación sobre recuerdos. Por eso también un asiento contabilizado se revierte en lugar de editarse: un historial editable no responde preguntas.

Las reglas que lo sostienen

Tres hábitos valen más que cualquier matriz de permisos:

1. Una persona, una cuenta. Un usuario compartido «cajero1» hace que cada anulación, devolución y descuento no sea de nadie. Si te llevas una sola idea, llévate esta.
2. Aprobación en lo que mueve dinero. Anulaciones, devoluciones y descuentos por encima de un umbral deberían requerir a un responsable. No porque el personal robe, sino porque un segundo par de ojos también caza los errores honestos.
3. Quita accesos el día que alguien se va. La salida no es solo devolver el uniforme.

Qué protege la cuenta en sí

Bajo los roles están las defensas de siempre: contraseñas cifradas con hash, bloqueo de la cuenta tras cinco intentos fallidos, sesiones revocables dispositivo a dispositivo y tokens de larga duración que rotan en vez de vivir para siempre. Los puntos sensibles tienen límite de peticiones para que un script no pueda machacar la pantalla de acceso.

Nada de esto se ve en un día normal, que es justo lo que se le pide.

Una configuración inicial razonable

Para un solo local: un Administrador (tú), una cuenta de Cajero por cajero, una de Cocina por pantalla — y, si tienes contable, un acceso de Contable para que deje de pedirte exportaciones.

Para una cadena: añade un Encargado por local y resiste la tentación de un segundo Administrador «por comodidad». Así es como una cadena acaba con cuatro personas capaces de cambiar precios y ninguna forma de saber quién lo hizo.