Cuenta, equipo y accesos

Todo lo que tiene que ver con quién entra a Shara y con qué permisos: la activación de la empresa, la doble verificación, las invitaciones y la retirada de accesos. Es la parte que conviene dejar bien puesta el primer día, porque es la que decide quién puede aprobar un pago.

La activación se hace una sola vez y la hace una persona, que queda como CEO de la empresa dentro de Shara.

1. Entra en app.sharasaas.com y elige Activar cuenta.
2. Pega la clave de activación que recibiste al contratar, con formato SHARA-XXXX-XXXX-XXXX-XXXX.
3. Completa los datos de la empresa: nombre comercial, sector, tamaño del equipo y horario laboral. Ese horario no es decorativo: fuera de él los agentes bajan de modelo automáticamente para gastar menos.
4. Verifica el correo del administrador y fija la zona horaria (por defecto Europe/Madrid).
5. Monta la doble verificación. No es opcional para ti.

El rol de CEO es único por empresa y no se cambia desde el panel. Es el único que llega a todo.

La doble verificación por código temporal (TOTP) es obligatoria para el CEO y para los administradores. No es una recomendación: si el rol la exige y la cuenta no tiene segundo factor configurado, el acceso queda cortado hasta que se configure. Las únicas pantallas accesibles mientras tanto son las del propio enrolamiento, para que nadie pueda quedarse fuera del todo.

Cómo se monta: escaneas el código QR con cualquier app de autenticación estándar (Google Authenticator, Authy, 1Password) e introduces el código de seis dígitos. Al terminar recibes un juego de códigos de recuperación de un solo uso. Guárdalos en un gestor de contraseñas el mismo día: son la vía de entrada si pierdes el móvil.

Exigirla a toda la plantilla. Desde Ajustes → Seguridad la empresa puede activar que la doble verificación sea obligatoria para todos sus miembros, no solo para los cargos. Con ese ajuste puesto, las superficies sensibles la piden a cualquiera: claves de API, administración, alta de la empresa, cambio de contraseña y retirada del propio segundo factor.

Retirar tu 2FA exige tener la sesión ya validada con el segundo factor. Es deliberado: alguien que te robe la contraseña no puede quitarte el 2FA con ella.

Desde Ajustes → Equipo → Invitar: escribes el correo, eliges el rol y los departamentos, y envías. La persona recibe un enlace, entra con su cuenta y queda dentro con exactamente los permisos que le asignaste.

• La invitación caduca a los 7 días. Pasado ese plazo hay que emitir otra.
• Se puede revocar en cualquier momento antes de que la acepten.
• El registro está cerrado: nadie entra por su cuenta. O hay contratación, o hay invitación.

Los seis roles y qué alcanza cada uno están en Seguridad y cumplimiento. La regla práctica: empieza por el rol más bajo que permita a esa persona trabajar. Subir permisos es fácil; recuperar lo que alguien hizo con permisos de más, no.

Superficie	Quién
Panel web (app.sharasaas.com/panel)	CEO y Administrador. Es donde se gestiona equipo, facturación y configuración.
App de escritorio	Todo el mundo, cada uno en su superficie: el director resuelve su bandeja, el operador trabaja con su agente.
Vista de salud técnica	El rol de IT: integraciones, servicios y claves, sin permisos de negocio.

El rol se lee en el momento de cada petición, no cuando empezó la sesión. Si degradas a alguien, pierde el acceso en su siguiente clic; no hace falta esperar a que caduque nada.

Retira el acceso desde Ajustes → Equipo el mismo día que la persona se va. El efecto es inmediato. Lo que hizo mientras estaba dentro sigue en el registro de auditoría, que es lo que quieres: la baja retira el acceso, no borra el rastro.

En Ajustes → Seguridad tienes la lista de sesiones activas de tu cuenta, con el dispositivo, la dirección IP y la ciudad aproximada de cada una, y el histórico de accesos. Desde ahí puedes cerrar todas las demás sesiones de golpe y quedarte solo con la que estás usando.

Si ves un acceso que no reconoces: cierra las demás sesiones, cambia la contraseña y revisa el registro de auditoría de ese periodo.

• Invitar a todo el mundo como administrador. El administrador aprueba pagos. Casi nadie necesita eso.
• Guardar los códigos de recuperación «para luego». No hay luego: la pantalla que los muestra no vuelve.
• Dejar el horario laboral por defecto. Si no coincide con tu jornada real, el modo de bajo gasto se activa cuando no toca, o no se activa cuando debería.
• Dejar cuentas de gente que ya no está. Es la vía de entrada más barata que existe.

Más sobre permisos, cifrado y auditoría en Seguridad y cumplimiento. Para instalar la aplicación, App de escritorio y agente.