Qué ha pasado: Google Admin amplía la protección para agencias
Google ha actualizado las funciones de administración en Google Admin, reforzando la protección para agencias y equipos que gestionan cuentas de clientes de Google Ads. Se trata de nuevas herramientas de control de acceso, capas adicionales de verificación y mecanismos mejorados de protección contra acciones no autorizadas dentro de las estructuras MCC.
Para los media buyers y los equipos de arbitraje, esto significa revisar cómo están estructurados los flujos de trabajo: quién obtiene acceso a qué cuentas, qué acciones se registran y qué tan rápido se puede reaccionar a la actividad sospechosa. Si gestionas decenas o cientos de cuentas a través de centros de administradores, estos cambios afectan directamente tu rutina diaria.
Por qué Google refuerza la seguridad de las agencias
Google Ads es una plataforma a través de la cual pasan miles de millones de dólares en presupuestos publicitarios diariamente. Las cuentas de agencia (MCC — My Client Center, ahora Manager Accounts) concentran el acceso a múltiples cuentas de clientes bajo un mismo techo, lo que las convierte en un objetivo atractivo para los atacantes y en un punto de riesgo ante errores de los empleados.
Las principales razones para el endurecimiento de la protección:
- Aumento de incidentes de robo de cuentas — phishing, ingeniería social, filtraciones de credenciales
- Presión regulatoria — requisitos de protección de datos de clientes en diferentes jurisdicciones
- Complejidad de las estructuras de agencia — grandes agencias con cientos de contratistas y freelancers
- Riesgos reputacionales de Google — cada cuenta robada socava la confianza en la plataforma
Google Admin ahora ofrece un control más granular: se pueden asignar roles con permisos específicos, rastrear las acciones de cada usuario y revocar el acceso rápidamente sin necesidad de cambiar contraseñas o recrear cuentas.
Qué cambia exactamente: actualizaciones clave
Roles y permisos granulares
Anteriormente, en las Manager Accounts, el acceso era relativamente binario: administrador, acceso estándar, acceso de solo lectura. El nuevo sistema se acerca al modelo IAM (Identity and Access Management), donde cada rol es un conjunto de permisos específicos.
Por ejemplo, se puede dar a un buyer acceso para crear campañas y grupos de anuncios, pero prohibirle cambiar los datos de pago o añadir nuevos usuarios. Para los equipos de arbitraje, donde una persona puede trabajar con campañas y otra con la facturación, esto es crítico.
Registro de auditoría de acciones
Google Admin ahora proporciona un registro ampliado de acciones: quién, cuándo y qué cambio realizó en la cuenta. Esto incluye:
- Cambio de pujas y presupuestos
- Creación y eliminación de campañas
- Cambio de configuración de segmentación
- Adición y eliminación de usuarios
- Cambio de métodos de pago
Para las agencias que son responsables ante los clientes por cada dólar gastado, dicho registro es una herramienta tanto de protección como de informes.
Autenticación de dos factores a nivel de organización
Google Admin permite a los administradores requerir 2FA para todos los usuarios de la organización, no solo para cuentas individuales. Esto cierra la brecha donde un empleado sin 2FA se convertía en un punto de entrada a toda la estructura.
Cómo afecta esto a los equipos de arbitraje
El arbitraje de tráfico es un segmento específico del media buying, donde los equipos a menudo trabajan con una gran cantidad de cuentas, usan proxies, navegadores antidetect y esquemas complejos de distribución de acceso. Las nuevas reglas de Google Admin afectan varios aspectos clave del trabajo.
Gestión del acceso de contratistas
En el arbitraje a menudo se involucran freelancers: creadores de creatividades, especialistas en segmentación, analistas. Antes se les daba acceso completo a la cuenta o se les pedía la contraseña; ahora Google Admin permite otorgar un acceso temporal y restringido con revocación automática.
Escenario práctico: contratas a un freelancer para configurar campañas en un nuevo GEO. Le otorgas un rol con permiso para editar campañas, pero sin acceso a la facturación ni para añadir usuarios. En una semana, el acceso expira automáticamente. Si necesitas extenderlo, lo haces manualmente.
Riesgos de bloqueos y rastros de acciones
El registro de auditoría ampliado es una herramienta de doble filo. Por un lado, ayuda a entender qué salió mal si la cuenta fue bloqueada. Por otro, Google ahora ve más detalles sobre las acciones dentro de la cuenta, lo que puede usarse para comprobaciones automáticas.
Para los arbitrajistas, esto significa:
- Cada cambio masivo de pujas se registra y puede activar algoritmos
- La creación de decenas de campañas en poco tiempo deja un rastro
- El cambio de método de pago ahora es más transparente para Google
- La transferencia de acceso entre usuarios queda registrada
Separación de roles en el equipo
El nuevo sistema de roles fomenta la separación de responsabilidades, lo que para los equipos de arbitraje puede ser útil e incómodo:
- Buyer — creación y configuración de campañas, gestión de pujas
- Analista — acceso de solo lectura, exportación de informes
- Gerente financiero — facturación, facturas, métodos de pago
- Administrador — gestión de usuarios y configuraciones de seguridad
En equipos pequeños, una persona puede combinar roles, pero Google Admin ahora registra explícitamente bajo qué rol se realizó cada acción.
Pasos prácticos: cómo prepararse
Auditoría de accesos actuales
Lo primero que hay que hacer es realizar una auditoría completa de quién tiene acceso a tus Manager Accounts. A menudo, en las listas de usuarios quedan ex empleados, freelancers con proyectos finalizados y cuentas de prueba.
Comprueba:
- La lista de todos los usuarios con acceso al MCC
- El nivel de permisos de cada usuario
- La fecha de la última actividad de cada usuario
- La presencia de 2FA en cada usuario
Configuración de roles según el principio de mínimos privilegios
Revisa los permisos de cada miembro del equipo. El principio es simple: una persona debe tener acceso solo a aquellas funciones que son necesarias para su trabajo. Si un buyer no necesita cambiar los métodos de pago, desactiva ese permiso. Si a un analista le basta con el acceso de solo lectura, no le des permiso de edición.
Activación de 2FA obligatoria
Si aún no has activado la autenticación de dos factores a nivel de organización, hazlo de inmediato. Google Admin ahora permite requerir 2FA para todos, y es una de las formas más efectivas de protegerse contra el robo de cuentas.
Revisión regular del registro de auditoría
Implementa la práctica de revisar el registro de acciones semanal o mensualmente. Presta atención a:
- Cambios atípicos en las pujas (aumentos o disminuciones bruscas)
- Creación de campañas fuera del horario laboral
- Cambios en la configuración de segmentación que no fueron acordados
- Adición de nuevos usuarios
Impacto en diferentes tipos de cuentas
Agencias legítimas
Para las agencias legítimas, las actualizaciones de Google Admin son una clara ventaja. El control granular, el registro de auditoría y la 2FA obligatoria aumentan la confianza de los clientes y reducen los riesgos. Los clientes exigen cada vez más pruebas de seguridad, y ahora las agencias tienen herramientas para ello.
Equipos de arbitraje
Para los arbitrajistas, la situación es más compleja. Por un lado, la seguridad es buena. Por otro, la mayor transparencia de las acciones significa que Google obtiene más datos sobre cómo se gestiona exactamente el trabajo con las cuentas. Esto puede ser un problema para los equipos que usan estrategias agresivas: clonación masiva de campañas, cambios frecuentes de creatividades, trabajo con ofertas de dudosa legalidad.
Freelancers y contratistas
Los freelancers que trabajan con varios clientes ahora tienen marcos más claros: su acceso está limitado a funciones específicas y puede revocarse en cualquier momento. Esto profesionaliza el mercado, pero requiere que los freelancers se adapten a las nuevas reglas.
Comparación con el sistema anterior
| Aspecto | Sistema antiguo | Nuevo Google Admin |
|---|---|---|
| Roles | 3-4 niveles básicos | Roles flexibles con permisos específicos |
| Registro | Registros básicos | Auditoría ampliada de cada acción |
| 2FA | A nivel de cuenta | A nivel de organización |
| Revocación de acceso | Manual, lenta | Rápida, automática por programación |
| Acceso temporal | No soportado | Función integrada |
Riesgos y trampas ocultas
A pesar de las ventajas obvias, las nuevas funciones también conllevan riesgos que vale la pena conocer.
Falsa sensación de seguridad
Activar la 2FA y los roles granulares no es una panacea. La ingeniería social, el phishing y los ataques a la cadena de suministro siguen funcionando. El equipo necesita formación en seguridad de la información, no solo configuraciones técnicas.
Complejidad de gestión
Para equipos pequeños de 2-3 personas, el nuevo sistema de roles puede ser excesivo. Configurar permisos granulares lleva tiempo, y con pocas personas es más sencillo dar acceso completo a todos. Sin embargo, Google puede exigir gradualmente el cumplimiento de los nuevos estándares de seguridad, por lo que es mejor prepararse con anticipación.
Compatibilidad con herramientas de terceros
Muchos equipos de arbitraje utilizan herramientas de terceros para gestionar campañas: gestores de pujas, rastreadores, plataformas de automatización. No todas funcionan correctamente con los nuevos roles de Google Admin. Antes de actualizar los permisos, comprueba que tus herramientas seguirán funcionando.
Checklist: preparación para las nuevas reglas de Google Admin
- Realiza una auditoría completa de usuarios en cada Manager Account y elimina a los inactivos
- Configura roles según el principio de mínimos privilegios para cada miembro del equipo
- Activa la autenticación de dos factores obligatoria a nivel de organización
- Implementa una revisión semanal del registro de auditoría de acciones
- Comprueba la compatibilidad de herramientas de terceros con los nuevos roles de acceso
- Crea un protocolo de revocación de acceso para empleados y freelancers despedidos
Qué esperar a continuación
Google continuará reforzando la seguridad de las cuentas de agencia; esto es parte de una estrategia más amplia. Direcciones de desarrollo esperadas:
- Integración con sistemas SSO — inicio de sesión único a través de proveedores de identidad corporativos
- Detección automática de anomalías — Google advertirá sobre acciones atípicas en tiempo real
- Informes ampliados para clientes — los clientes podrán ver quién y qué hizo en su cuenta
- Estandarización para socios — los requisitos de seguridad se convertirán en parte de la certificación de Google Partners
Para los media buyers, esto significa que la seguridad de las cuentas deja de ser una cuestión ‘para más tarde’ y se convierte en parte del flujo de trabajo diario. Los equipos que se adapten antes obtendrán una ventaja: menos bloqueos, más confianza por parte de clientes y socios, y un trabajo más predecible con Google Ads.
FAQ
¿Son obligatorias las nuevas funciones de Google Admin para todas las agencias?
Algunas funciones, como el registro de auditoría ampliado, están disponibles para todos los usuarios de Manager Accounts. La 2FA obligatoria a nivel de organización la activa manualmente el administrador, pero Google podría hacerla obligatoria para las cuentas de socios en el futuro.
¿Afectarán las nuevas reglas a la frecuencia de bloqueos de cuentas en el arbitraje?
No hay una conexión directa, pero el registro de auditoría ampliado le da a Google más datos sobre las acciones en la cuenta. Si tu estrategia incluye cambios masivos o patrones de comportamiento atípicos, esto podría atraer la atención adicional de los algoritmos.
¿Se puede seguir trabajando con freelancers sin roles granulares?
Técnicamente sí, pero esto aumenta los riesgos. Dar acceso completo a un freelancer significa que puede cambiar los datos de pago, añadir usuarios o eliminar campañas. Los roles granulares te protegen a ti y al cliente.
¿Qué hacer si un gestor de pujas de terceros dejó de funcionar después de actualizar los roles?
Comprueba qué permisos requiere tu herramienta; lo más probable es que necesite acceso de nivel ‘estándar’ o ‘administrador’. Crea un rol de servicio separado con los permisos necesarios o contacta al desarrollador de la herramienta para una actualización.
¿Cuánto tiempo se guarda el registro de auditoría en Google Admin?
Google conserva los datos del registro de acciones durante un largo período, generalmente hasta 18 meses para la mayoría de los eventos. Los plazos exactos dependen del tipo de acción y del nivel de suscripción. Se recomienda exportar regularmente los registros críticos a tu propio almacenamiento.