Administradores, roles y permisos
Quién puede iniciar sesión en el panel, los dos roles de la carga inicial, cada permiso que comprueba la API y cómo dar a un miembro del equipo exactamente lo que necesita.
Para el paquete Full Stack
Cómo funciona el acceso
- Solo los administradores inician sesión, en el panel. El sitio web no tiene cuentas: un huésped encuentra una reserva con su referencia y su correo electrónico.
- Un administrador tiene uno o más roles, y un rol es un conjunto de permisos con el nombre
<area>.<action>, comobookings.edit. Un administrador tiene todos los permisos de todos los roles que posee. - La API comprueba un permiso en cada ruta del panel, sea cual sea lo que muestre la pantalla. El panel oculta los elementos de la barra lateral, las pestañas y los botones que los roles de un administrador no incluyen, y una página abierta por su dirección dice "No tienes acceso a esta página."
- Un cambio en los roles de un administrador, o en los permisos de un rol, le llega a ese administrador mientras tiene la sesión iniciada.
Los roles y cuentas de la carga inicial
| Rol | Permisos | Cuenta de la carga inicial |
|---|---|---|
| Super Admin | Los 32 | admin@hollina.example |
| Manager | overview.view, stays.*, calendar.*, bookings.*, inquiries.*, reviews.*, destinations.view, ai_chat.*: alojamientos, calendario, reservas, consultas, reseñas y el asistente, sin administradores, roles ni ajustes de la empresa | manager@hollina.example |
La carga inicial deja los dos roles exactamente con estas listas cada vez que se ejecuta, y nunca restablece una contraseña existente. Los Ajustes de un Manager muestran solo Perfil y Seguridad. Cambia ambas contraseñas, o elimina las cuentas de la carga inicial, antes de que el panel sea accesible desde internet. La guía de instalación lista los datos de acceso de la demostración.
Todos los permisos
| Área | Permisos |
|---|---|
| Resumen | overview.view |
| Alojamientos | stays.view, stays.create, stays.edit, stays.publish, stays.delete |
| Calendario | calendar.view, calendar.block |
| Reservas | bookings.view, bookings.edit |
| Consultas | inquiries.view, inquiries.edit |
| Reseñas | reviews.view, reviews.moderate |
| Destinos | destinations.view, destinations.create, destinations.edit, destinations.delete |
| Administradores | admins.view, admins.create, admins.edit, admins.delete, admins.assign_roles |
| Roles | roles.view, roles.create, roles.edit, roles.delete, roles.assign_permissions |
| Ajustes de la empresa | settings.view, settings.edit |
| Asistente de IA | ai_chat.use, ai_chat.view_models |
La lista se define una sola vez, en back-end/src/database/seeders/permission.seeder.ts; la carga inicial añade los nombres nuevos y quita los que la API ya no comprueba. Las preguntas de la página de inicio se editan con settings.view y settings.edit.
Gestión de administradores
/en/dashboard/admins-managementlista el equipo, diez por página, con búsqueda por correo, nombre y teléfono, y añade, edita y elimina cuentas (admins.view,admins.create,admins.edit,admins.delete).- Un administrador nuevo necesita nombre y apellido, un correo y una contraseña de al menos seis caracteres, escrita dos veces; el teléfono es opcional.
- La página de cada administrador asigna sus roles (
admins.assign_roles). - Cada administrador, sea cual sea su rol, edita su propia foto, nombre, correo y teléfono en Ajustes, Perfil, y cambia su propia contraseña en Ajustes, Seguridad, con la actual. Ninguna de las dos necesita un permiso.
Roles de administrador
/en/dashboard/admins-roles crea, renombra y elimina roles (roles.create, roles.edit, roles.delete), y concede sus permisos desde una cuadrícula agrupada por área (roles.assign_permissions). Para dar a un miembro del equipo menos que el rol Manager, como una persona de limpieza que solo necesita el calendario, crea un rol con solo los permisos que necesita y asígnaselo en su lugar.
A qué puede llegar el asistente
ai_chat.use abre el asistente de IA y no concede nada más. El asistente lee y cambia solo lo que permiten los demás permisos del administrador, los mismos que comprueban las páginas del panel: sin settings.edit no puede cambiar un ajuste, y sin bookings.edit no puede cancelar una reserva. Vuelve a comprobarlo antes de cada acción, así que un permiso retirado durante una conversación se aplica a la siguiente.