Tu agencia te pide la contraseña. ¿Es normal?
Qué accesos necesita de verdad una agencia para trabajar, por qué entregar tu contraseña personal es un riesgo evitable y cómo dar permisos sin perder el control de tus cuentas.
Respuesta corta: necesitan acceso, no necesitan tu contraseña personal. Y la diferencia entre esas dos cosas es la diferencia entre poder despedirlos un martes o quedarte fuera de tu propia cuenta.
¿Prefieres que lo veamos contigo? Pide una evaluación gratuita — sin compromiso y sin pagar nada.
Es una de las dudas que más nos llegan, y casi siempre viene con una capa de vergüenza: "me la pidieron, se la di, y ahora no sé si hice mal". No hiciste mal por confiar. Vamos a ver qué se puede arreglar y cómo se hace bien a partir de ahora. Es también una de las comprobaciones antes de firmar con una agencia: lo que te pidan en los accesos dice mucho de cómo van a trabajar.
Por qué una agencia sí necesita accesos
Vamos a ser justos con el otro lado: para trabajar de verdad, una agencia necesita entrar en sitios. Alguien tiene que publicar los reels, programar las historias, responder los mensajes y sacar los números. Eso no se hace desde fuera.
El problema no es el acceso. El problema es cómo se da ese acceso, porque hay dos formas y una de ellas te deja vendida.
Las dos formas de dar acceso
La forma sana: permisos delegados
Casi todas las plataformas permiten dar acceso a otra persona sin entregar tu contraseña:
- Instagram y Facebook: se gestionan desde el Business Manager. Tú eres la propietaria de la cuenta y das a la agencia un rol de administrador o editor sobre el activo. Se lo quitas cuando quieras, en dos clics, sin cambiar nada tuyo.
- Herramientas de publicación: los programadores de contenido trabajan con la cuenta conectada por permisos, no con tu usuario y clave.
- Correo y almacenamiento: se comparten carpetas concretas, no la cuenta entera.
Cuando el acceso es delegado, quitarlo es un botón. Cuando el acceso es tu contraseña, quitarlo es una pelea.
Qué acceso necesita cada tarea
La forma más rápida de saber si te están pidiendo de más es mirar la tarea, no la cuenta. Cada trabajo necesita un acceso concreto:
| Tarea | Qué acceso hace falta | Cómo se da | Cómo se quita |
|---|---|---|---|
| Publicar y programar en Instagram o Facebook | Rol en tu página o cuenta profesional | Desde Meta Business Suite, añadiendo a la persona con acceso parcial | Quitándola de la lista de personas |
| Responder mensajes de Instagram | El mismo rol, con permiso de mensajes | Igual que el anterior | Igual que el anterior |
| Ver estadísticas | Rol de solo lectura, o informes que les mandas tú | Rol de análisis, o exportando los datos | Quitando el rol |
| Programar con una herramienta externa | Conectar la cuenta a la herramienta | Inicias sesión tú y autorizas la conexión | Desde los ajustes de apps conectadas de la red |
| Editar vídeos y fotos | Nada de tus cuentas | Una carpeta compartida con el material | Dejando de compartir la carpeta |
| Llevar la bandeja de la plataforma de suscripción | Acceso compartido (no hay otra vía) | Con las condiciones de la sección de abajo | Cambiando la contraseña y cerrando sesiones |
Fíjate en que solo la última fila necesita que alguien entre con tu sesión. Si te piden la contraseña de Instagram para publicar, te están pidiendo más de lo que la tarea necesita.
Cómo se hace en cada red
Los nombres de los menús cambian con cada actualización, así que aquí va el camino general, no el botón exacto:
- Instagram y Facebook. Pasa tu Instagram a cuenta profesional y vincúlalo a una página de Facebook. En Meta Business Suite, entra en la configuración, busca «Personas» y añade el correo de quien vaya a trabajar. Dale acceso parcial a las tareas que necesita (contenido, mensajes, estadísticas), no control total. Control total permite quitarte a ti.
- TikTok. Las cuentas personales no tienen permisos delegados. Si alguien va a publicar por ti, lo sano es una cuenta de empresa gestionada desde TikTok Business Center, donde se añaden miembros con su propio acceso. Si no, publica tú desde tu teléfono lo que te preparen.
- Correo. No se comparte nunca. Si hace falta un correo de trabajo, créate uno nuevo, a tu nombre, que no uses para nada más.
- Carpetas de material. Comparte la carpeta concreta con permiso de edición, no tu cuenta de almacenamiento entera.
Un apunte: quien añade a otros como administradores tiene que ser siempre tú, con tu propio usuario. Si la agencia te pide entrar en tu cuenta «para hacerlo ella», ya está usando tu contraseña.
La forma que te deja expuesta: tu usuario y tu clave
Si entregas la contraseña de tu cuenta personal, estás entregando cuatro cosas a la vez, y solo una de ellas es la que necesitaban:
- La capacidad de publicar (lo que sí necesitaban).
- La capacidad de cambiar la contraseña y dejarte fuera.
- Acceso a tus mensajes privados, incluidos los personales.
- Acceso a cualquier otra cosa vinculada a ese correo o ese teléfono.
El caso especial: la plataforma de contenido
Aquí hay un matiz honesto que conviene decir. Las plataformas de suscripción no tienen, hoy, un sistema de permisos delegados tan limpio como el de Instagram: no hay un "rol de editor" perfecto para que un tercero gestione tu bandeja sin entrar con tu sesión.
Eso significa que si acuerdas que alguien lleve tus mensajes, sí va a existir un acceso compartido. Lo que puedes exigir es que ese acceso esté acotado y documentado:
- Que el correo de registro y el teléfono asociado sean tuyos, no de la agencia. Esa es la llave maestra: mientras el correo sea tuyo, puedes recuperar la cuenta.
- Que el pago esté configurado contra tu cuenta bancaria, a tu nombre.
- Que exista un documento de límites: quién entra, para qué, qué puede escribir y qué no.
- Que ese acceso figure en el contrato, con la obligación de retirarlo al terminar la relación.
- Que se active la verificación en dos pasos con tu teléfono.
Si el correo de registro es de la agencia y el cobro pasa por su cuenta, no estás delegando: estás cediendo el negocio.
Señales de alarma
Hay peticiones que no admiten interpretación amable:
- Te piden la contraseña antes de firmar nada, "para valorar tu perfil".
- Quieren cambiar el correo de registro por uno suyo.
- Piden acceso a tu WhatsApp personal o a tu Instagram privado.
- Se niegan a usar permisos delegados en Instagram "porque es más cómodo así".
- Te piden el código de verificación que te llegó por SMS.
Esa última es directamente el patrón de un robo de cuenta. Ninguna empresa legítima necesita el código de un SMS que llegó a tu teléfono. Y si te lo piden en el primer contacto, antes de haber firmado nada, probablemente ni siquiera es una agencia: mira cómo detectar una agencia falsa.
Ya di mi contraseña. ¿Qué hago?
No cunda el pánico, pero hazlo hoy:
- Cambia la contraseña de esa cuenta y de cualquier otra donde usaras la misma.
- Revisa las sesiones abiertas. Instagram, Facebook y el correo tienen una sección de "dispositivos" o "sesiones activas": cierra todas las que no reconozcas.
- Activa la verificación en dos pasos con tu número, no con el de nadie más.
- Comprueba el correo de recuperación de cada cuenta: tiene que ser un correo tuyo al que solo tú entres.
- Revisa los administradores en el Business Manager y quita a quien no deba estar.
- Si sospechas que alguien más tiene acceso al correo principal, empieza por ahí: quien controla el correo controla todo lo demás.
Para blindar el resto de tu vida digital, separar lo personal de lo profesional y que nadie te encuentre, sigue con cómo proteger tus redes personales. Y si el problema es que quieres irte y la agencia tiene tus accesos, los pasos están en cómo salir de tu agencia actual.
Cómo debería plantearse en una relación sana
Cuando el reparto está bien hecho, la conversación suena así: la agencia te dice exactamente a qué necesita entrar y para qué, te propone la vía de permisos delegados donde exista, deja por escrito los accesos compartidos donde no exista alternativa, y acepta sin discutir que el correo, el teléfono y la cuenta bancaria sean tuyos.
Todo eso debería estar también en el contrato: qué revisar está en las 12 cláusulas antes de firmar.
Y sobre todo: acepta que puedas revocarlo todo. Una agencia que trabaja bien no necesita retenerte por la vía de tener tus llaves. Te retiene porque le va bien contigo.
Si quieres ver cómo lo planteamos nosotros antes de hablar con nadie, está detallado en cómo trabajamos y en las preguntas frecuentes.
Preguntas frecuentes
¿Puede una agencia trabajar sin mi contraseña?
En Instagram y Facebook, sí y sin ninguna dificultad: el Business Manager permite darle a la agencia un rol de administrador o editor sobre la cuenta, sin que nadie conozca tu clave, y quitárselo cuando quieras. Las herramientas de publicación funcionan igual, con la cuenta conectada por permisos. El único terreno donde hoy no hay una alternativa limpia es la bandeja de las plataformas de suscripción.
¿Y en la plataforma de suscripción, cómo lo hago?
Ahí el acceso va a ser compartido, así que lo que se acota es todo lo demás: que el correo de registro y el teléfono sean tuyos —esa es la llave maestra para recuperar la cuenta—, que el cobro vaya a tu cuenta bancaria a tu nombre, que exista un documento de límites sobre qué se puede escribir y qué no, y que el contrato obligue a retirar ese acceso cuando termine la relación.
Me piden el código de verificación que llegó a mi móvil. ¿Es normal?
No. Ninguna empresa legítima necesita un código de un solo uso enviado a tu teléfono; ese código existe precisamente para que nadie que no seas tú entre en la cuenta. Pedirlo es el patrón clásico del robo de cuentas, incluso cuando quien lo pide es alguien con quien ya trabajas.
Ya di mi contraseña. ¿Qué hago hoy?
Cambia la contraseña de esa cuenta y de cualquier otra donde usaras la misma. Entra en la sección de sesiones o dispositivos y cierra todas las que no reconozcas. Activa la verificación en dos pasos con tu número. Comprueba que el correo de recuperación es tuyo y que solo tú entras en él. Y revisa los administradores del Business Manager para quitar a quien no deba estar. Si sospechas que alguien tiene acceso al correo principal, empieza por ahí.