Roles, usuarios y permisos

Verificado en este sistema

Los cuatro usuarios y los cinco grupos existen. La tabla de permisos de abajo no está copiada de la configuración: se comprobó entrando con cada usuario y abriendo cada pantalla, una por una.

🎬 Quién puede qué, y el flujo de facturas

Los usuarios de prueba

Se crearon cuatro usuarios genéricos, uno por rol, para probar los permisos antes de dárselos a las personas:

Usuario	Grupo	Para qué
produccion	Producción	Recetas, órdenes, consumo y producción
almacen	Almacen	Stock, movimientos, inventarios, recepción
calidad	Calidad	Revisar y liberar entre almacenes
contador	Contador	Contabilidad, impuestos, validar facturas

Todos con la misma contraseña temporal: Incadex2026*.

Las personas

Los cuatro de arriba son plantillas de permisos, no cuentas para usar a diario. Cada persona lleva la suya:

Persona	Usuario	Grupo
Nehemías Santa Cruz	nsantacruz	Almacen

Cómo se agrega a alguien

1. Configuración → Usuarios y grupos → Nuevo usuario: nombre, apellido, login y contraseña
2. En su ficha, pestaña Grupos, se lo mete en el grupo que le corresponde
3. Listo. No se le tocan los permisos

Nunca darle permisos sueltos a una persona

Dolibarr deja hacerlo, y es la forma más rápida de que en seis meses nadie sepa por qué fulano puede algo que mengano no. Cuando entre alguien nuevo habría que reconstruir esa lista a mano, comparando persona por persona.

Si a alguien le falta un permiso, se le agrega al grupo — y entonces lo tienen todos los que hacen ese trabajo, que es justamente lo que corresponde. Si a una sola persona le tiene que faltar algo, eso no es un permiso: es un rol distinto, y va en su propio grupo.

Cómo comprobar que quedó bien

No alcanza con mirar la configuración. Entrá con el usuario nuevo y abrí las pantallas que debería y las que no. Con Nehemías se compararon 21 pantallas contra el usuario almacen: mismo menú, mismos accesos, cero diferencias.

Cambiar la contraseña antes de usarlos con gente

Son usuarios de prueba con una contraseña conocida. Antes de que alguien los use en serio hay que cambiarla, y lo correcto a mediano plazo es una cuenta por persona, no una por rol: todo asiento y todo movimiento queda firmado con el usuario que lo hizo, y con cuentas compartidas eso no sirve para nada.

Qué hace cada uno

Cada rol tiene su propia página, con su día a día, a qué entra y qué no le corresponde. Es lo que conviene entregarle a cada persona:

Rol	En una frase
Producción	Define las recetas y registra lo que se fabricó de verdad
Almacén	Es el dueño del stock: lo que entra, lo que sale y lo que hay
Calidad	Libera o retiene. El rol más acotado de todos
Contabilidad	Lleva los libros y valida lo que carga planta

Resumen de lo que puede cada uno, comprobado entrando con cada usuario:

	Recetas	Órdenes	Mover stock	Cargar factura	Validar factura	Contabilidad
produccion	✅ crear	✅ crear	✅	✅	❌	❌
almacen	👁 ver	👁 ver	✅	✅	❌	❌
calidad	👁 ver	👁 ver	✅	❌	❌	❌
contador	👁 ver	👁 ver	👁 ver	✅	✅	✅

Ninguno de los cuatro entra a la configuración del sistema. Eso queda en admin.

Se auditó punto por punto

Se probaron 22 pantallas contra cada uno de los 4 roles: 88 comprobaciones, entrando con cada usuario y abriendo cada pantalla. Resultado: 0 diferencias con lo que se esperaba. La auditoría encontró y corrigió que almacén podía crear y borrar recetas y órdenes.

El flujo de facturas: planta carga, contabilidad valida

Es el motivo por el que planta necesita acceso, y está montado sobre dos permisos distintos que Dolibarr ya separa:

Permiso	Quién lo tiene
Crear factura de proveedor	Producción, Almacén, Contador
Validar factura de proveedor	Solo Contador

  Llega la factura con la mercadería
            │
            ▼
  Planta la carga  ──►  queda en BORRADOR  ──►  Contabilidad la revisa
  (almacén o producción)                              │
                                          ┌───────────┴───────────┐
                                       valida                  corrige
                                          │                       │
                              entra a los libros          vuelve a planta

Una factura en borrador no está en la contabilidad. No suma al gasto, no genera crédito fiscal y no aparece en el Libro Mayor hasta que el contador la valida. Por eso planta puede cargar sin riesgo: lo peor que puede pasar es que cargue algo mal y el contador lo corrija antes de validar.

Por qué carga planta y no contabilidad

Porque planta tiene la factura en la mano cuando llega la mercadería, y sabe qué se recibió. Contabilidad la recibe días después, sin poder verificar si lo que dice el papel es lo que entró. Cargar en el momento y validar después reparte el trabajo donde está la información.

Cómo se carga: Cargar una factura de compra. Cómo se paga después: Pagar a un proveedor.

Los permisos se dan al grupo, nunca a la persona

Dolibarr deja dar permisos directamente a un usuario. No lo hagas. Si cada persona tiene los suyos, en seis meses nadie sabe por qué fulano puede algo que mengano no, y al entrar alguien nuevo hay que reconstruir la lista a mano.

Con grupos: se crea la persona, se la mete en el grupo que corresponde, y listo.

Dónde: Configuración → Usuarios y grupos

Cada rol ve solo sus pestañas

Comprobado entrando con cada usuario:

Rol	Pestañas del menú de arriba
produccion	Terceros · Productos · MRP · Financiera · Utilidades
almacen	Terceros · Productos · MRP · Comercial · Financiera · Utilidades
calidad	Terceros · Productos · MRP · Utilidades
contador	las nueve

Producción no ve Contabilidad, ni Bancos, ni Proyectos. Sí ve Financiera, porque ahí están las facturas de proveedor que carga.

Esto no se programó: venía apagado

Dolibarr trae la opción MAIN_MENU_HIDE_UNAUTHORIZED, que esconde del menú lo que el usuario no puede usar. Estaba desactivada, y por eso todos veían todo. Se activó en Configuración → Otras configuraciones el 8/9/2026, resolviendo la observación que había hecho planta.

Con qué se relaciona

• Dónde entrar y con qué → Accesos y direcciones
• Qué hace producción → Órdenes de producción
• Quién libera la mercadería → Control de calidad