Para dar de baja a un usuario de Salesforce de forma segura, primero quite su capacidad de iniciar sesión, segundo reasigne lo que posee y tercero desactive la cuenta. Salesforce no permite eliminar usuarios, así que la desactivación es el estado final. Seguir los pasos en el orden correcto mantiene funcionando los informes, las aprobaciones y las automatizaciones, y le deja un registro de que el acceso se quitó a tiempo.
A continuación está la lista de verificación que usamos como punto de partida, en el orden que evita sorpresas. Adáptela a su org y conserve una copia por cada salida.
Por qué falla la baja de usuarios
La mayoría de los problemas de baja tienen una sola causa: la solicitud llega tarde e informalmente. Un correo de Recursos Humanos dice que alguien se fue el viernes pasado, el administrador desactiva la cuenta el lunes y entonces fallan tres cosas. Un panel que se ejecutaba como esa persona deja de actualizarse. Un proceso de aprobación se detiene. Los registros quedan con un propietario inactivo.
El riesgo no es solo de orden. Un exempleado con un inicio de sesión que funciona es un problema de acceso, en especial cuando su org contiene datos de donantes o clientes. Los financiadores y auditores piden cada vez más pruebas de que el acceso se quitó a tiempo. Nuestra lista de verificación SOC 2 para Salesforce describe la evidencia que suelen esperar.
Antes del último día: planifique el traspaso
Haga esto mientras la persona todavía está y puede responder preguntas.
- Confirme la fecha y la hora en que debe terminar el acceso, y quién lo aprobó.
- Haga una lista de lo que posee el usuario. Registros, informes, paneles, vistas de lista, plantillas de correo, trabajos programados y flujos que creó o ejecuta.
- Decida quién se hace cargo de cada elemento, por User Id y no por nombre en su hoja de seguimiento.
- Revise los roles que dependen de la persona. ¿Es propietaria predeterminada de prospectos o casos, miembro de una cola, aprobadora o destinataria de alertas por correo?
- Pregunte qué está conectado a su inicio de sesión. Aplicación móvil, integración de correo, sincronización de calendario, tokens de API y aplicaciones conectadas.
El último día: corte el acceso
- Congele al usuario. En Setup, busque Users, abra el usuario y elija Freeze. Un usuario congelado no puede iniciar sesión, pero la licencia sigue en uso, y congelar es útil cuando necesita que el acceso desaparezca de inmediato pero la cuenta aún no se puede desactivar por dependencias. Consulte el artículo de ayuda de Salesforce sobre congelar y desactivar usuarios.
- Termine las sesiones activas. Abra la página de detalle del usuario, revise sus sesiones y termine las que sigan activas. Verifique que su edición muestre esta opción.
- Quite el acceso fuera del inicio de sesión de Salesforce. Revoque los tokens de aplicaciones conectadas y de OAuth, y elimine a la persona del proveedor de identidad (como Okta o Microsoft Entra ID) si usa inicio de sesión único. Si aprovisiona usuarios desde un proveedor de identidad, deshabilitarlos allí debería desaprovisionarlos en Salesforce. Consulte nuestro artículo sobre automatizar el aprovisionamiento de usuarios desde Workday o ADP.
- Quite de los grupos. Grupos públicos, colas, equipos de cuenta y de ventas, y cualquier uso compartido basado en distribución.
- Quite las asignaciones de conjuntos de permisos si la cuenta se conservará por un tiempo. Estas importan poco una vez desactivado el usuario, pero sí importan si la cuenta se reactiva alguna vez.
En pocos días: reasigne lo que poseía
Este es el paso que la gente omite, y es donde las cosas fallan después.
- Registros. Busque Mass Transfer Records en Quick Find de Setup, o use la transferencia basada en informes, o una actualización con data loader, para cambiar el propietario de prospectos, cuentas, contactos, casos y otros objetos. Decida si entregará todo a una persona o si lo distribuirá por territorio o programa.
- Informes y paneles. Si un panel se ejecuta como la persona que se va, cambie el usuario de ejecución a un usuario activo con los permisos adecuados antes de desactivar. De lo contrario, los componentes pueden dejar de funcionar. Vea esta lista de verificación para administradores sobre errores al desactivar que trata los usuarios de ejecución.
- Automatizaciones. Flujos, procesos de aprobación, reglas de asignación y trabajos programados que nombran al usuario. Los procesos de aprobación que incluyen al usuario como aprobador nombrado se detendrán. Los trabajos programados que posee pueden necesitar reasignarse o recrearse.
- Valores predeterminados. Si el usuario es propietario o creador predeterminado (por ejemplo de prospectos o casos, o el usuario predeterminado de flujos de trabajo), Salesforce no le permitirá desactivarlo hasta que elija a otra persona. Revise Lead Settings, Case Settings y Process Automation Settings en Setup.
- Plantillas de correo, vistas de lista, grupos de Chatter. Traspase la propiedad de todo lo que el equipo siga usando.
- Tareas y eventos abiertos. Reasígnelos al nuevo propietario para no perder seguimientos.
Desactive
Una vez hechas las reasignaciones, abra el usuario en Setup y desmarque Active. Desactivar libera la licencia para que pueda reutilizarse, lo cual importa cuando las licencias son un costo real para una organización pequeña. Salesforce mostrará un error si algo todavía depende del usuario, como alguno de los valores predeterminados de arriba. Corríjalo e intente de nuevo.
Deje el registro desactivado tal como está. Permanece en Salesforce, que es lo que usted quiere para las pistas de auditoría y para los registros que todavía lo muestran como creador.
Después: demuéstrelo y conserve un registro
Conserve un registro breve por cada salida. Como mínimo:
- User Id
- Fecha en que llegó la solicitud y fecha en que terminó el acceso
- Quién aprobó
- Qué se reasignó y a quién (por Id)
- Quién completó la lista de verificación
Ese registro responde la pregunta de un auditor en un minuto. Luego haga una revisión periódica de brechas. Esta consulta cuenta los usuarios activos que no han iniciado sesión en 90 días, lo cual suele detectar a alguien que se fue sin que nadie le avisara:
SELECT COUNT() FROM User WHERE IsActive = true AND LastLoginDate < LAST_N_DAYS:90
Nuestra guía para encontrar usuarios con exceso de permisos usa esta y otras consultas para una revisión más completa.
Cómo hacer que la baja sea automática
Una lista de verificación funciona cuando alguien recuerda iniciarla. Para que sea confiable, vincúlela a su sistema de Recursos Humanos o a su proceso de tickets, de modo que un evento de terminación inicie el trabajo automáticamente. Las opciones incluyen aprovisionar desde su proveedor de identidad, un flujo de Salesforce que cree una tarea por cada paso, o un proceso administrado.
Onboard360 de Troppus está creado para este tipo de automatización del ciclo de vida del usuario en Salesforce, con plantillas de aprovisionamiento por rol, eventos del ciclo de vida como nueva contratación, cambio de rol, licencia y terminación, y una pista de auditoría.
Preguntas frecuentes
¿Debo congelar o desactivar a un usuario que se va?
Congele primero si necesita un corte inmediato y aún le queda limpieza por hacer. Desactive cuando la limpieza esté lista. Un usuario congelado sigue usando una licencia.
¿Puedo eliminar un usuario de Salesforce?
No mediante la configuración estándar. Los usuarios se desactivan, no se eliminan. La desactivación conserva el historial de los registros que crearon o poseían.
¿Qué pasa con los registros que posee un usuario desactivado?
Siguen siendo de ese usuario hasta que usted los transfiera. El uso compartido basado en la propiedad o en la jerarquía de roles puede comportarse de otra manera, así que reasigne la propiedad sin demora.
¿Qué tan rápido debe quitarse el acceso?
Lo más cerca posible del fin del empleo. Fije su propia meta, como el mismo día, y escríbala en su política.
¿Y los contratistas y voluntarios?
Trátelos de la misma manera. Dé a los contratistas una fecha de término desde el principio, y considere un conjunto de permisos con fecha de expiración para el acceso de corto plazo.
¿Necesita ayuda para afinar el proceso?
Podemos revisar en una sesión breve su proceso actual de baja, sus propietarios predeterminados y sus automatizaciones dependientes. Reserve una revisión gratuita de Salesforce y salga con una lista de correcciones.