No começo, a loja é você. Depois entra um ajudante para embalar, uma pessoa para atender o chat, um freelancer para fazer anúncios. E a solução mais rápida é passar o login e a senha. É também uma das origens mais comuns de prejuízo: ninguém sabe quem mexeu em quê, e o acesso nunca é removido. Há um jeito organizado de fazer isso, sem burocracia.
O princípio do menor acesso
A regra é simples: cada pessoa tem acesso só ao que precisa para fazer seu trabalho. Isso protege em três situações:
- Erro: quem não tem acesso a algo não consegue apagá-lo por engano.
- Má-fé: limita o estrago que um funcionário descontente pode fazer.
- Invasão: se a conta de um colaborador é roubada, o invasor só alcança o que ele alcançava.
Passo 1: liste o que existe
Antes de definir permissões, faça um inventário. Anote, em uma planilha ou documento:
- Marketplaces, loja virtual e gateway de pagamento.
- ERP ou sistema de gestão e emissão de nota.
- E-mails da loja e domínio.
- Redes sociais, canal do YouTube e WhatsApp Business.
- Ferramentas de design, anúncios e armazenamento.
- Banco e maquininhas.
Para cada item, escreva quem usa, para quê e qual é o nível necessário.
Passo 2: separe funções
Funções típicas em uma pequena operação, com exemplos do que cada uma costuma precisar:
- Dono ou administrador: acesso total, incluindo dados bancários e permissões.
- Atendimento: responder mensagens e consultar pedidos; sem alterar dados de pagamento.
- Expedição: ver pedidos pagos e imprimir etiquetas; sem acesso a financeiro.
- Anúncios e catálogo: editar anúncios e preços; sem sacar saldo.
- Financeiro ou contador: ver relatórios e notas; sem editar anúncios.
Os nomes dos níveis variam entre plataformas e sistemas, e o ideal é ver o que cada uma oferece. Em um ERP, por exemplo, costuma ser possível criar usuários com perfis diferentes. Veja quando vale um sistema assim em ERP para e-commerce: quando contratar.
Passo 3: crie logins individuais
Sempre que a plataforma permitir, prefira:
- Contas de colaborador ou subcontas, com permissões específicas.
- Convite por e-mail do próprio funcionário, e não uma conta criada com o seu e-mail.
- Segundo fator ligado ao aparelho de cada pessoa.
Onde só existir uma conta compartilhada, use um gerenciador de senhas que permita compartilhar sem mostrar a senha, quando houver essa opção, e mantenha o segundo fator com você. Confira a política de senhas para equipes para regras complementares.
Passo 4: proteja o que é crítico
Alguns acessos merecem mais cuidado:
- Dados bancários e de recebimento: só o dono, de preferência.
- Alteração de e-mail e telefone da conta: só o dono.
- Domínio e DNS: só o dono, com registro em seu nome. Veja domínio, hospedagem e DNS: como funcionam.
- Exportação de clientes: só quem precisa, por causa da LGPD.
- Gerenciador de senhas: compartilhar apenas as senhas necessárias.
Passo 5: documente e revise
Mantenha a lista de acessos atualizada e revise com regularidade.
- Mensalmente, confira quem ainda tem acesso e se ainda precisa.
- Ao contratar, crie o acesso certo desde o primeiro dia.
- Ao mudar de função, ajuste as permissões.
- Ao desligar, remova tudo no mesmo dia. O passo a passo está em o que fazer com acessos quando alguém sai da equipe.
Também vale registrar as regras em um documento curto, que cada pessoa leia e assine, com orientações como: não compartilhar senhas, não clicar em links suspeitos e avisar de imediato qualquer anomalia.
Treine a equipe
Não adianta ter permissões perfeitas se a pessoa cai em um golpe. Uma conversa rápida, de dez minutos, já ajuda:
- Mostre exemplos de phishing.
- Combine que ninguém informa códigos, nem a quem diz ser do suporte.
- Defina a quem avisar se algo parecer estranho.
Comece com o inventário e um único passo: tire a sua senha de circulação nos sistemas mais importantes e crie logins individuais. O resto vem em seguida.