Por qué importa hacerlo el mismo día
El último día de alguien ya está en el calendario. El pastel está pedido. El mensaje de bienvenida para quien lo reemplaza está casi listo. Mientras tanto, el buzón compartido, el MFA del registrador de dominios, el acceso a QuickBooks y el CMS del sitio web siguen funcionando con la cuenta de la persona que se va.
Esa brecha no es solo un tema de RR. HH. Para un negocio pequeño en el sur de Texas —o en cualquier lugar donde TwoQM apoya a operadores— es un problema de control de accesos con poco tiempo. No necesita una plataforma empresarial de baja. Necesita una lista del mismo día que pueda completar en unos 30 minutos enfocados antes de que salgan los correos de despedida.
El acceso dura más que el empleo si nadie lo revoca. Fallos comunes:
El teléfono personal sigue recibiendo códigos MFA de Microsoft 365 o Google Workspace
Contraseñas compartidas quedaron en el perfil del navegador de una laptop que “se llevaron temporalmente”
Dominio, hosting y portales bancarios nunca se movieron de un correo personal
Nunca se eliminó la cuenta de personal de Canva, Meta Business Manager o Shopify de un contratista
Reglas de reenvío mandan correo de clientes a un Gmail personal “por cobertura”
Nada de eso requiere mala intención. Todo crea riesgo innecesario: revisión indebida del buzón, borrados accidentales, desvío de facturas o un dueño bloqueado que no puede restablecer una contraseña porque el MFA está en el dispositivo de otra persona.
Minutos 0–5: congelar la identidad
Empiece con el proveedor de identidad que realmente usa: Google Workspace, Microsoft 365 u otro que esté delante del correo y el SSO.
1. Suspenda o desactive la cuenta de usuario (aún no la borre). La suspensión detiene el inicio de sesión y conserva correo y archivos para exportar.
2. Restablezca la contraseña y elimine contraseñas de aplicaciones / autenticación heredada si su consola de administración lo permite.
3. Revogue sesiones y dispositivos con sesión iniciada. Cierre sesión en todas partes.
4. Reasigne o quite métodos MFA ligados a su teléfono o app autenticadora. Si la única recuperación era su número personal, corrija los contactos de recuperación de la cuenta admin a continuación.
5. Cambie el correo/teléfono de recuperación en cualquier cuenta de administrador de nivel propietario a la que pudieran acceder.
Si es un negocio de tres personas y quien se va también era el superadministrador de Workspace, pause el pastel. Recupere primero el acceso de administrador para no quedar atrapado fuera de la propia lista.
Minutos 5–12: correo, grupos y reenvíos silenciosos
El correo es donde se mueven la confianza y el dinero.
Tome posesión del buzón (o conviértalo en buzón compartido) y configure una respuesta automática que dirija a los clientes a una dirección activa.
Quítelo de grupos de distribución, buzones compartidos y recursos de calendario.
Busque reglas de correo con reenvíos, redirecciones y filtros que oculten o saquen mensajes.
Exporte o reasigne la propiedad de Drive/OneDrive en carpetas que el negocio aún necesita.
Confirme que los alias (info@, billing@, jobs@) no dependan solo de su inicio de sesión personal.
Anote quién es dueño ahora de cada buzón compartido. La ambigüedad aquí explica el “nadie vio la factura del proveedor” dos semanas después.
Minutos 12–20: dominios, hosting y administración del sitio
La presencia digital a menudo está repartida entre personas que “nada más lo manejaban”.
Confirme que el inicio de sesión del registrador de dominios sea una cuenta controlada por la empresa con MFA en un dispositivo que retiene el negocio. Si era de esa persona, cambie contraseña, actualice contactos y verifique renovación automática y bloqueo.
Confirme que los paneles de DNS / hosting / CDN ya no acepten sus credenciales.
Elimine su usuario del CMS o administración del sitio web. Borre cuentas de administrador sin uso mientras está ahí.
Rote cualquier clave de despliegue, token de Git o credencial FTP que usara.
Si gestionaba SSL, DNS de correo (SPF/DKIM) o etiquetas de analítica, capture pantallas de la configuración actual antes de cambiar nada.
Clientes de TwoQM a menudo descubren en la baja que el sitio “pertenece” a la cuenta personal de un diseñador anterior en el registrador. Corrija la propiedad cuando alguien se va —no en el próximo rediseño.
Minutos 20–27: SaaS, banca y rutas de dinero
Recorra un inventario vivo, no un CMDB perfecto. Lista típica de un negocio pequeño:
Contabilidad, nómina y relojes de asistencia
Portales bancarios y de comercio (y quién recibe los códigos MFA)
Redes y anuncios: Meta Business Manager, Google Ads, Canva, herramientas de programación
CRM y mesa de ayuda
Bóvedas de contraseñas: quite al usuario y audite bóvedas compartidas a las que podía entrar
Portales de proveedores (envíos, suministros, punto de venta)
En cada uno: quite al usuario, rote contraseñas compartidas que conocía y confirme que el MFA llegue a un teléfono de la empresa o una llave de hardware. Si un portal bancario solo permitía su celular personal para OTP, llame al banco el mismo día y actualice usuarios autorizados: los bancos se mueven más lento que los interruptores de SaaS.
Minutos 27–30: hardware, evidencia y luego anuncios
Recoja laptop, teléfono, llaves, gafete y llaves MFA de hardware. Entregue un recibo por escrito.
Borre o reinstale la imagen de los dispositivos antes de reasignarlos; no “nada más borre el perfil”.
Guarde una nota de baja: fecha, quién hizo cada paso, cuentas tocadas y qué quedó pendiente.
Después envíe el mensaje interno de bienvenida o cambio de rol. Primero el acceso; después los anuncios.
Conserve una plantilla de una página
Identidad — suspender, restablecer contraseña, revocar sesiones, reasignar MFA Correo y archivos — propiedad del buzón, reglas, grupos, propiedad de drive Stack web — registrador, DNS, hosting, CMS, secretos de despliegue Dinero y SaaS — banco/nómina/contabilidad, anuncios, CRM, bóvedas Físico — dispositivos, gafetes, llaves Cierre — iniciales del responsable y fecha
Úsela con empleados y con contratistas de largo plazo. El título en la puerta no cambia si su inicio de sesión sigue abriendo la facturación.
En resumen
Una buena baja es aburrida. A la mañana siguiente fallan los intentos de acceso, los códigos MFA no llegan a un teléfono personal, los clientes siguen llegando a un buzón monitoreado y nadie adivina la contraseña del registrador en un chat grupal.
Si quiere una segunda mirada sobre dominios, correo, hosting y administración del sitio como parte de una revisión del stack, TwoQM ayuda a que esos controles queden con el operador —no con quien configuró todo hace años. La lista es suya para ejecutar hoy.
Dedique treinta minutos disciplinados a identidad, correo, controles web, SaaS y dispositivos antes del hilo de despedida. El pastel puede esperar. Las sesiones abiertas, no.