Permissões por papel na agência de mídia: operar sem a senha mestra

A senha mestra da agência costuma morar em três lugares: a cabeça do fundador, o gerenciador pessoal dele e o grupo “acessos” que ninguém admite que existe. Enquanto o time é pequeno, isso parece eficiência. Quando o terceiro gestor pede a BM pra publicar no sábado, a senha mestra vira o sistema operacional. Quem publica, quem convida e quem só lê relatório passam a ser a mesma pessoa com o mesmo segredo. Permissão por papel existe pra quebrar isso.

Operar sem a senha mestra não é desconfiança de gente. É desenho. A agência de mídia troca de pessoa o tempo todo. O anunciante não deveria trocar de identidade cada vez que o time troca de crachá. Este texto mapeia três papéis — ver, operar, admin — e o que cada um não vê. Isolamento de browser ajuda a não cruzar cliente. Não decide quem pode o quê. Perfil isolado não substitui papel.

Três papéis cabem na mesa. Dez não.

Toda taxonomia de permissão começa honesta e vira novela. Resistir à novela é o trabalho.

Ver. Abre o perfil ou o relatório. Lê campanha, audiência, criativo aprovado, gasto, alerta. Não publica. Não duplica. Não exporta cookie. Não convida. Não troca proxy. Não vê meio de pagamento. Cabe ao cliente, ao financeiro, ao analista júnior, ao head que só precisa do número na segunda.

Operar. Abre o perfil de produção. Publica, pausa, ajusta lance, troca criativo já aprovado, duplica campanha no mesmo anunciante. Não convida gente. Não revoga gente. Não troca proxy. Não exporta cookie. Não arquiva o perfil. Não vê a senha. Cabe ao gestor de tráfego no recorte dele.

Admin. Convite, revogação, proxy, geo, grupos de perfil, onboarding, arquivamento, export controlado, incidente. Vê o histórico. Não precisa publicar todo dia. Cabe ao ops de contas, ao head de mídia, a um backup nomeado. Não cabe a “quem estiver online”.

Fora desses três, quase tudo é vaidade. “Operar só Meta”, “operar só Google”, “ver sem gasto” podem ser recortes de cliente, não papéis novos. Recorte de cliente é inventário. Papel é poder. Misturar os dois infla a tabela e ninguém preenche.

A tentação do quarto papel é “operar com jeitinho de admin no fim de semana”. Esse jeitinho é senha mestra com outro nome. Se o plantão precisa convidar, o plantão tem admin de plantão — pessoa nomeada, não o grupo inteiro.

Senha mestra é o anti-papel

Senha mestra é o segredo que abre tudo: cofre, BM, MCC, Shopify, o e-mail compartilhado. Enquanto ela circula, papel é fantasia. O estagiário com a senha é admin. O freelancer com o print é admin. O ex-colaborador com o Notion é admin.

O modelo que substitui: a pessoa recebe o ambiente com o papel. Entra no perfil. Opera. Sai. Não leva o segredo. Desligamento vira remoção de assento, não caça a print. O desenho irmão está em organizar dezenas de contas.

Isso não elimina senha. Elimina senha compartilhada. A identidade ainda tem senha. Ela mora no cofre. O admin recupera. O operador não copia. O de ver nem sabe que existe.

O fundador que “precisa da mestra pro domingo” está dizendo que não há admin de backup. Há um herói. Herói não escala e não sai de férias. Nomeie o segundo admin. Treine o rito. A mestra sai do WhatsApp.

Isolamento não é permissão

Perfil isolado — storage próprio, proxy coerente, sessão que não conversa com a aba do lado — resolve um eixo: o cliente A não cola no cliente B. É higiene de identidade. Na operação da agência de publicidade, isso é pré-requisito.

Não resolve o outro eixo: o que a pessoa pode fazer dentro do perfil. Estagiário no perfil certo com poder de convidar continua perigoso. Analista no perfil certo com export de cookie continua perigoso. Freelancer de criativo no perfil certo com senha da BM continua absurdo.

AdSafe é camuflagem e isolamento de perfil pra ads. Não é matriz de permissão. Não é toggle que transforma operador em visitante. Quem trata isolamento como RBAC vai descobrir no vazamento de convite, não no checker de fingerprint.

Os dois eixos se somam. Sem isolamento, papel fino ainda vaza sessão. Sem papel, isolamento fino ainda entrega a BM inteira ao primeiro clique. A mesa precisa dos dois. O briefing pro time precisa dizer os dois, com nomes diferentes, pra ninguém achar que “já isolamos, então pode tudo”.

Como o papel cai na plataforma — e onde a plataforma mente

A BM do Meta tem funções. A MCC do Google tem níveis. O TikTok Ads tem papéis. Nenhum deles é o papel da agência. São recortes da plataforma. A agência precisa dos dois mapas, senão o coordenador acha que “analista” na BM resolveu o browser.

Mapa 1: o que a plataforma enxerga. E-mail convidado, função, se vê faturamento, se publica.

Mapa 2: o que o browser da agência enxerga. Quem abre o perfil, com que papel interno, se pode exportar, se pode trocar proxy.

Só o mapa 1 devolve Chrome único com cinco pessoas no mesmo login. Só o mapa 2 devolve gente sem e-mail na BM. Os dois juntos: e-mail certo na plataforma, perfil certo no browser, poder mínimo nos dois.

Relatório não exige o mapa 1 completo. Looker, planilha, captura de painel com papel de ver. Cliente que “quer entrar na BM pra acompanhar” muitas vezes quer número. Número não precisa de admin.

Pagamento é recorte especial. Quem vê cartão, PIX, titular e fatura é um conjunto menor que quem publica. Operar campanha sem ver pagamento é possível na maior parte das plataformas. Se a sua mesa mistura os dois porque “é mais rápido”, o jurídico vai perguntar depois. A resposta “é mais rápido” não fecha.

Histórico de atividades: o papel que se prova

Papel sem log é combinado. Combinado dissolve no sábado.

O que o histórico precisa mostrar pra permissão fazer sentido: quem abriu qual perfil, quem convidou, quem revogou, quem trocou proxy, quem exportou. Sem isso, o admin não sabe se o papel de operar foi respeitado. Sabe o que a pessoa diz.

Não precisa gravar tela. Precisa de evento com pessoa, objeto e hora. O detalhe de o que registrar está em log de atividade em contas de anúncio. Aqui cabe a regra: permissão define o que é permitido; histórico mostra o que aconteceu. Auditoria é o encontro dos dois.

O uso adulto do histórico não é caçar clique. É responder o cliente, o jurídico e o próprio head. “O estagiário não viu o cartão” deixa de ser fé. “O gestor pausou às 22h” deixa de ser achismo. Cultura sem caça às bruxas continua possível. Polícia de Slack não é o destino obrigatório.

Recortes que a mesa pede o tempo todo

Estagiário. Ver, ou operar em sandbox. Nunca admin. Nunca senha mestra. Nunca faturamento. Produção só com recorte curto e dono ao lado.

Freelancer de criativo. Quase nunca o perfil de ads. Assets, preview, pasta. Se precisa ver o anúncio no ar, papel de ver no anunciante certo, por prazo. Não o cofre.

Gestor sênior com vários clientes. Operar em cada perfil do recorte. Não um Chrome com todos. Não admin global “porque é sênior”. Sênior sem disciplina de papel é sênior com blast radius maior.

Head de mídia. Ver em tudo. Admin no rito. Operar só no backup, não no dia a dia. Head que publica toda hora não está no papel de head. Está tapando buraco.

Cliente. Ver. Ponto. Se o contrato prevê o cliente publicando, o contrato prevê dois operadores e a disputa. Escreva. Não descubra no criativo errado.

Financeiro. Ver gasto. Sem publicar. Sem cookie. Sem proxy.

Plantão. Operar no recorte do dono temporário. Admin só se a pessoa do plantão for o admin de backup nomeado. Grupo de plantão com a mestra não é plantão. É senha no WhatsApp com horário nobre.

Como implantar sem parar a operação

Não comece redigindo política de 20 páginas. Comece no próximo convite.

Toda pessoa nova entra com um dos três papéis, escrito no inventário. Toda identidade de cliente tem um admin da agência e um operador. O fundador deixa de ser o atalho default.

No ciclo seguinte, recorte os antigos. Quem hoje tem a mestra e só publica perde a mestra, ganha operar. Dói um dia. Depois o sábado funciona sem o sócio.

No ciclo seguinte, tire faturamento de quem não precisa. A plataforma às vezes exige clique extra. O clique extra é mais barato que o cartão no print.

Não faça big bang de RBAC em 40 contas na sexta. Faça por squad, por cliente, por semana. O critério de pronto: dá pro gestor publicar sem conhecer a senha da BM. Se não dá, o papel ainda é fantasia.

Ferramenta ajuda. Combinado no Slack não ajuda. Se o browser não tem papel, o ops simula no processo: quem pede export pede ao admin; o admin executa; o log registra. Processo manual é frágil. É melhor que a mestra no grupo.

Falhas clássicas quando todo mundo é admin

O papel existe no slide e morre no clique. Os padrões se repetem.

O fundador é admin “temporário” em tudo. Temporário vira três anos. Desligamento dele não existe. O resto do time pede a mestra porque o fundador é o gargalo.

O gestor sênior ganha admin porque “já sabe o que faz”. Saber mídia não é saber convite. O sênior convida o freelancer no atalho. O freelancer herda o grafo.

O plantão ganha admin na sexta porque o 2FA está no celular do titular. Segunda ninguém tira. Admin de fim de semana vira admin de carreira.

O cliente pede “acesso de editor pra acompanhar”. Recebe admin. Publica. A agência descobre no criativo que não passou por QA.

O estagiário herda o login do gestor “só pra ver”. Ver no login de operar é operar. O log mostra o gestor. A pessoa é outra.

Correção curta: cada identidade tem no máximo dois admins da agência, nomeados, revisados no trimestre. O resto opera ou vê. Revisão é reunião de quinze minutos, não auditoria teatral. Quem não usou admin no trimestre perde admin. Quem precisou pede de novo, com motivo.

Contratação: o papel no primeiro dia

Pessoa nova não herda o Chrome do antecessor. Herda o recorte escrito.

No primeiro dia: assento próprio, um dos três papéis, os perfis do recorte, sem mestra. Se o recorte ainda não está claro, o papel é ver até o coordenador escrever o recorte. Pressa de “já publicar amanhã” sem recorte é como publicar sem URL conferida.

No primeiro job: o aprovador existe. O histórico mostra quem abriu. Se a pessoa pedir a senha da BM, a resposta é o perfil, não o print.

No trigésimo dia: revisão. Ainda opera só o recorte? Ganhou admin informal no Slack? O informal é o que o trimestre vai cobrar. Corte no trigésimo custa um constrangimento. Corte no desligamento custa rotação.

Freelancer entra como pessoa nova. Três semanas. Mesmo rito. Data de fim no convite. Sem data, o job vira residência.

O que o papel não resolve

Papel não impede criativo reprovado. Papel não impede política de pagamento. Papel não impede o cliente de anunciar o que a plataforma veta. Papel não substitui checklist de QA.

Papel não substitui isolamento. Já foi dito. Vale repetir no treinamento, porque o time mistura os eixos.

Papel não substitui contrato. Cliente admin na BM da agência é risco jurídico, não só operacional. Fornecedor com admin na BM do cliente é o mesmo risco invertido. O comercial precisa saber disso antes da entrada do cliente.

A senha mestra some quando o papel existe, o cofre existe e o histórico existe. Falta um dos três, e a mestra volta no privado. O privado sempre ganha do processo que não foi escrito. Escreva o papel. Nomeie as pessoas. Revogue o resto.