El empleado se fue hace ocho meses y su cuenta sigue activa

Llega la renovación anual de Google Workspace. Son quince licencias. Te sientas a revisarla, cuentas cabezas en la oficina y salen nueve.

Seis licencias pagadas por adelantado, por un año completo, para cuentas que nadie abre. Duele, pero es dinero y el dinero se recupera. El problema es lo otro: esas seis cuentas siguen existiendo. Tienen contraseña, tienen correo, tienen acceso a Drive y ninguna tiene dueño.

Nadie las está viendo. Eso es lo que esa factura te está tratando de avisar.

Las seis licencias que nadie abre

Empecemos por lo simple, porque tiene una trampa que casi nadie ve venir.

Cuando alguien deja la empresa, lo intuitivo es entrar a la consola y suspender la cuenta. Suena responsable: la persona ya no puede entrar, pero el correo no se pierde por si hace falta consultarlo.

El detalle es que una cuenta suspendida se sigue cobrando. Ocupa su licencia igual que una activa. Suspender protege el acceso, no el presupuesto. Y como la contratación anual se paga por adelantado, si te das cuenta en el mes tres, ese dinero ya no vuelve: se ajusta hasta la renovación.

Multiplícalo por los años que lleva la empresa rotando personal y el número deja de ser gracioso.

contacto@tuempresa.com no debería costarte una licencia

Antes de seguir con las personas, revisa las direcciones que no son de nadie.

Toda empresa tiene su contacto@, su ventas@, su facturacion@, su soporte@. Y en la enorme mayoría de los casos, esas direcciones se crearon como usuarios completos: su cuenta, su contraseña, su licencia pagada cada año.

No tienen por qué serlo. Google Workspace tiene dos figuras para eso y ninguna de las dos cuesta:

• Un grupo recibe el correo que llega a esa dirección y lo reparte entre las personas que elijas. Cada quien lo lee desde su propia cuenta.
• Un alias es una dirección adicional montada sobre un usuario que ya existe y ya pagas. Cada usuario admite decenas sin costo extra.

Cuenta cuántas direcciones así tiene tu empresa. Si cada una es un usuario con licencia, ahí hay dinero saliendo todos los años sin ninguna razón.

Pero lo caro no es lo caro. Si contacto@ es una cuenta, entonces alguien tiene su contraseña — y casi nunca es una sola persona. Está en un chat del equipo, o en una nota pegada al monitor, o la sabe "todo el mundo en ventas". Eso significa que:

• Nadie puede decir quién entró, cuándo, ni qué hizo. No hay a quién preguntarle.
• No tiene verificación en dos pasos, porque con varios usándola sería un lío diario.
• Cuando alguien deja la empresa, esa contraseña no se cambia, porque cambiarla obliga a avisarle a los demás. Así que se queda igual. Y esa persona todavía la sabe.

Con un grupo, nada de eso pasa: cada quien entra con su propia cuenta, queda registro de quién hizo qué, y dar de baja a alguien es sacarlo de una lista.

La cuenta del que se fue en marzo

Ahora la parte incómoda: la que nadie suspendió.

Siempre hay una. La salida fue rápida, o fue en buenos términos y nadie quiso hacer aspavientos, o simplemente no había un procedimiento y se le olvidó a todo el mundo. Ocho meses después, esa cuenta:

• Sigue recibiendo correo, incluido el de clientes que nunca se enteraron del cambio.
• Sigue teniendo acceso a todo lo que estaba compartido con ella en Drive.
• Sigue siendo un usuario válido de tu dominio, con contraseña activa.

Y hay una segunda trampa, del lado opuesto. Cuando por fin alguien decide limpiar y borra la cuenta sin más, se va con ella todo lo que esa persona tenía en su Drive: las cotizaciones, la base de contactos, el archivo que solo ella mantenía. Google te deja transferir esa información a otro usuario en el momento de eliminarla — pero es un paso que hay que saber dar, y solo se ofrece esa vez.

Entre pagar de más para siempre y borrar perdiendo datos, la mayoría de las empresas elige no hacer nada. Que es la tercera opción, y la peor.

¿Quién es administrador de tu Google Workspace?

Esta pregunta tiene una respuesta correcta y casi nadie la tiene a la mano. Piénsala antes de seguir leyendo: ¿quién puede hoy entrar a la consola de tu empresa y cambiar lo que quiera?

En la mayoría de las PyMEs con las que trabajamos, la lista real incluye a alguien inesperado. El proveedor que configuró el dominio hace cuatro años y nunca se le quitó el acceso. El sobrino que ayudó con la migración. La persona de sistemas que salió el año pasado. A veces una agencia que ya ni existe.

Un superadministrador no es "alguien con permisos avanzados". Puede crear y borrar usuarios, leer y reasignar el Drive de cualquiera, cambiar contraseñas, configurar reenvíos, y sacar a los demás administradores. Es la llave maestra del negocio.

Si no puedes nombrar de memoria quién la tiene, ya sabes el resultado de la revisión.

El filtro que nadie recuerda haber puesto

Aquí es donde esto deja de ser desorden administrativo.

Existe un fraude que en México es rutinario, no exótico. Alguien obtiene acceso a un buzón corporativo — una contraseña reutilizada, una cuenta vieja sin verificación en dos pasos, un correo de phishing que alguien abrió. No cambia nada visible. No borra nada. Configura una regla de reenvío automático hacia una dirección propia y se sale.

A partir de ahí lee tu correspondencia durante semanas. Aprende cómo escribes, con quién tratas, cuánto facturas y cuándo pagas. Y espera.

El día que sale una transferencia importante, tu cliente recibe un correo que parece tuyo — mismo hilo, mismo tono, misma firma— avisando que cambiaron los datos bancarios. El cliente paga a la cuenta equivocada. Y quien tiene que explicarlo, además de perder el dinero, eres tú.

La pieza que lo hizo posible no fue sofisticada: fue una cuenta sin dueño y un buzón que nadie revisaba.

El día que todo se cobra junto

Ninguno de estos problemas se siente urgente por separado. Unas licencias de más, un exempleado que sigue en la lista, un administrador que nadie recuerda, un buzón que nadie abre. Cada uno, solo, es un pendiente menor.

Se cobran todos el mismo día. El día del fraude, el de la auditoría, el de la salida que no fue en buenos términos, o el día en que la única persona que sabía la contraseña de la cuenta del dominio ya no contesta el teléfono.

Y ese día la pregunta no es cuánto costó Google Workspace. Es quién se estaba haciendo cargo.

La buena noticia: se revisa en una tarde

Nada de esto necesita comprar software. Con acceso de administrador y un par de horas, cualquiera puede revisar lo siguiente:

1. Cuántas licencias pagas contra cuántas personas trabajan aquí. Si no coinciden, ya sabes qué preguntar en la renovación.
2. La lista completa de usuarios, leída en voz alta contra la nómina. Los nombres que nadie reconozca son la tarea.
3. Las direcciones que no son de una persona (contacto@, ventas@, facturacion@). Las que sean usuarios con licencia casi siempre pueden ser un grupo o un alias, sin costo — y de paso se acaba la contraseña compartida.
4. Quiénes son superadministradores. Deben ser pocos, todos activos, todos identificables por nombre y todos con verificación en dos pasos.
5. Verificación en dos pasos en toda la organización, no solo en las cuentas de la dirección.
6. Reglas de reenvío automático hacia dominios externos. Cualquiera que nadie pueda explicar se investiga hoy, no mañana.
7. La autenticación de tu dominio (SPF, DKIM y DMARC). Si están mal, tu correo legítimo se va a spam y cualquiera puede mandar mensajes que aparenten venir de tu empresa. Puedes revisar esta parte en dos minutos con nuestro evaluador gratuito.

Hazlo. En serio: te vas a encontrar por lo menos una cosa de esta lista, y las siete se revisan sin ayuda de nadie.

Y luego, ¿quién lo revisa la próxima vez?

Ese es el problema de verdad, y es la razón por la que estos casos se repiten idénticos de empresa en empresa.

La revisión de una tarde funciona una tarde. Al mes siguiente entra alguien nuevo, sale alguien más, se comparte una carpeta de prisa y se le dan permisos temporales a un proveedor que se quedan permanentes. La consola de Google no se desordena por estar mal hecha: se desordena porque está viva y nadie tiene esa responsabilidad asignada.

En una empresa grande esa persona existe y se llama administrador de sistemas. En una PyME de veinte personas no hay presupuesto para una plaza dedicada a eso, y termina siendo "el que le sabe" — que casi siempre es alguien con otro trabajo de tiempo completo.

Ahí es donde entra un partner. No a venderte licencias: a ser quien se hace cargo. En Alletz lo llamamos Workspace Gestionado — nosotros administramos usuarios, permisos, seguridad y altas y bajas, para que la lista de usuarios de tu empresa siempre corresponda con la gente que trabaja ahí.

Y si prefieres hacerlo tú, hazlo tú. La lista de arriba es completa a propósito y no te estamos escondiendo nada. Lo único que no funciona es la tercera opción, que es la que casi todos eligen: dejarlo para después.

---

¿Quieres que revisemos tu consola contigo antes de decidir cualquier cosa? Escríbenos y te decimos qué encontramos, sin compromiso — aunque la conclusión sea que lo tienes todo en orden.