Los roles de acceso en GA4 determinan qué ve cada persona que entra en la cuenta de tu despacho: tu socio, tu responsable de marketing, la agencia que lleva la web y el freelance que revisa las campañas una vez al mes. Por defecto, Google no separa «ver visitas» de «ver ingresos»: si no tocas nada, cualquiera con el rol Editor puede cruzar el gasto en Google Ads con el valor de cada lead. Esto explica los cinco roles y las dos restricciones de datos que existen, y cuál conviene a cada perfil que entra en tu cuenta.
GA4 ofrece cinco roles —Administrador, Editor, Profesional del marketing, Analista y Lector— y dos restricciones aparte, sin acceso a métricas de coste y sin acceso a métricas de ingresos. Un Editor sin restricción ve el gasto en Ads y el valor de cada conversión; solo añadiendo la restricción se le oculta esa cifra sin quitarle el resto de permisos.
Roles de acceso en GA4, qué toca cada uno
Google documenta cinco roles y dos restricciones de datos independientes en su Centro de Ayuda. El Administrador gestiona usuarios y hereda todo lo del Editor. El Editor cambia la configuración de la propiedad pero no puede añadir ni quitar personas. El Profesional del marketing solo toca audiencias, eventos clave y la configuración de atribución. El Analista comparte exploraciones con el resto de la cuenta. El Lector ve informes y cambia qué se muestra en ellos, sin tocar la configuración. Ninguno de los cinco, por sí solo, oculta el coste ni los ingresos: eso depende de la restricción que se añada aparte.
Un rol de acceso en GA4 es el conjunto de permisos que decide qué puede ver y qué puede cambiar un usuario dentro de una cuenta o una propiedad, se conecte una vez al mes o todos los días.
| Rol | Ver informes | Editar configuración | Gestionar usuarios | Ver coste e ingresos |
|---|---|---|---|---|
| Administrador | Sí | Sí | Sí | Sí, salvo restricción |
| Editor | Sí | Sí | No | Sí, salvo restricción |
| Profesional del marketing | Sí | Solo audiencias y eventos clave | No | Sí, salvo restricción |
| Analista | Sí | No | No | Sí, salvo restricción |
| Lector | Sí | No | No | Sí, salvo restricción |
La columna que de verdad importa para un despacho es la última: sin marcar ninguna restricción, los tres primeros roles ven la factura de Ads y el valor de cada lead con la misma facilidad que ven el número de sesiones.
Qué esconden las restricciones de coste e ingresos
Las dos restricciones se aplican encima de cualquier rol, incluido el Administrador, y actúan en informes, exploraciones y alertas por igual: no ocultan una pantalla suelta, ocultan una categoría entera de métricas.
Sin acceso a métricas de coste, lo que deja de verse
La restricción sin coste bloquea el gasto en publicidad importado desde Google Ads o cualquier fuente de coste conectada, además de toda métrica personalizada marcada como coste y lo que se calcule a partir de ella, como el coste por lead. Quien la tiene sigue viendo sesiones, usuarios, eventos y conversiones con normalidad; lo único que desaparece es la parte de la ecuación que dice cuánto ha costado conseguirlas. Tiene sentido para una agencia que escribe contenido y trabaja el SEO pero no gestiona la inversión en Ads del despacho, porque no necesita saber cuánto se paga por clic para hacer su trabajo.
Sin acceso a métricas de ingresos, lo que deja de verse
La restricción sin ingresos oculta el valor económico de las conversiones: los ingresos por compra del ecommerce de GA4, cualquier métrica personalizada marcada como ingreso y, si el despacho mide el valor del lead como una métrica de ingreso, también esa cifra. La diferencia con la restricción de coste está en la dirección del dato: una oculta lo que se paga, la otra lo que se gana. Las dos se pueden asignar a la vez a un mismo usuario, y el resultado es alguien que ve tráfico y conversiones sin ninguna referencia económica, justo lo que conviene para un colaborador puntual que solo necesita comprobar que las campañas siguen activas.
Herencia de permisos entre cuenta y propiedad
GA4 organiza las cuentas en cuenta y propiedad, y el permiso que se asigna arriba se hereda abajo por defecto. Si tu despacho da a la agencia el rol Editor a nivel de cuenta, la agencia tiene Editor en todas las propiedades que existan bajo esa cuenta, incluida una propiedad de pruebas que se cree el año que viene sin que nadie se acuerde de revisar quién entra en ella. El permiso efectivo de un usuario es siempre el más permisivo de los que tenga asignados en cualquier nivel: si alguien es Lector a nivel de cuenta pero un compañero le sube a Editor solo en una propiedad, ese usuario queda con Editor ahí y Lector en el resto, nunca al revés. Las restricciones de datos siguen la misma lógica hacia abajo: una restricción puesta en la cuenta se aplica en toda propiedad, y no hay forma de quitarla a nivel de propiedad aunque el usuario tenga ahí un rol más alto. Por eso conviene decidir la restricción arriba, en la cuenta, y no propiedad por propiedad.
El rol que debería tener tu agencia de marketing
El criterio que aplica aquí no es exclusivo de GA4: el principio de mínimo privilegio que describe INCIBE consiste en dar a cada persona solo el acceso que necesita para su trabajo, ni uno más. Trasladado a una cuenta de Analytics, la pregunta no es si confías en esa agencia, sino qué necesita ver para hacer lo que le pagas.
- Agencia que solo escribe contenido y hace SEO: Analista, con restricción de coste e ingresos.
- Agencia que gestiona también la inversión en Google Ads: Editor, sin restricción de coste, con restricción de ingresos si no toca el ecommerce del despacho.
- Freelance que revisa el rendimiento una vez al mes: Lector, con las dos restricciones activas.
- Responsable de marketing interno del despacho: Editor o Administrador, sin restricciones, porque necesita ver el retorno completo para decidir presupuesto.
Ninguno de estos perfiles necesita el rol Administrador salvo quien vaya a dar de alta o quitar a otras personas: es el error más común, y el que más tarda en notarse porque no rompe nada, solo deja una puerta abierta de más. Encaja con el resto de revisiones de seguridad web que conviene hacer al despacho al menos una vez al año.
Cómo auditar quién tiene acceso a tu cuenta
Dentro de Administración, en la columna de la propiedad, hay un apartado de gestión de accesos donde se ve cada usuario con su rol y sus restricciones; solo puede entrar ahí quien ya tiene el rol Administrador, según explica Google en su documentación sobre añadir y quitar usuarios. Conviene revisar esa lista con la misma frecuencia con la que se revisan las consultas de Search Console que traen leads al despacho: son dos paneles que casi nadie mira hasta que algo falla.
Qué hacer con un acceso que ya no toca
Cuando termina el contrato con una agencia o se va un empleado, el acceso a GA4 rara vez está en la lista de cosas que se cancelan: se cancela el dominio, el correo corporativo y la nómina, pero la cuenta de Analytics sigue teniendo a esa persona como Editor porque nadie entra a quitarla. La revisión no cuesta más de cinco minutos: basta con filtrar por correo en el listado de accesos y quitar a quien ya no tiene relación con el despacho. Es también el momento de comprobar si esa persona tenía acceso además a la cuenta de Google Ads vinculada o si alguna fila desaparece por el umbral de datos en GA4 solo para según qué usuario, porque los accesos cruzados se olvidan con la misma facilidad.
Preguntas frecuentes sobre roles de acceso en GA4
¿Qué rol necesito para dar de alta a un usuario nuevo?
Necesitas el rol Administrador, a nivel de cuenta o de propiedad. Con Editor puedes ver quién tiene acceso a la propiedad, pero no puedes añadir, quitar ni cambiar el rol de nadie: esa gestión queda reservada al Administrador, según la documentación oficial de Google Analytics.
¿Se puede aplicar la restricción de ingresos a un solo informe?
No. La restricción se asigna a un usuario dentro de una cuenta o una propiedad completa, y afecta a informes, exploraciones, audiencias y alertas por igual. Si necesitas que alguien vea ingresos en un informe puntual, la única vía es quitarle la restricción y volver a ponérsela después.
¿El rol Lector puede exportar los datos a una hoja de cálculo?
Sí. El Lector ve la configuración y los datos, cambia qué se muestra en un informe y puede exportarlo, además de crear y compartir sus propias exploraciones. Lo único que no puede hacer es tocar la configuración de la propiedad ni gestionar usuarios.
¿Qué pasa si no le quito el acceso a una agencia con la que ya no trabajo?
Sigue viendo tus datos, incluido el coste y los ingresos si nunca se le restringieron, hasta que alguien con rol Administrador entre y la borre de la lista. GA4 no revoca accesos por inactividad ni por el fin de un contrato: hay que hacerlo a mano.