Decidi chi può vedere e modificare cosa con permessi CRUD per modulo. Gestisci l'accesso ai dati dall'alto verso il basso con una gerarchia dei reparti, così ogni utente vede solo il proprio ambito.
Permessi CRUD per modulo e gerarchia di reparti che definisce la visibilità.
Il controllo degli accessi ha due assi indipendenti: che cosa un ruolo può fare in ogni modulo, e le schede di chi una persona può vedere. Il primo è una matrice di quindici moduli × cinque azioni (accesso, vedi, crea, modifica, elimina), dove «accesso» è un interruttore generale che nasconde il modulo dal menu e blocca ogni URL dietro di esso. Il secondo è l'ambito dati — tutto, proprio, nessuno, o la gerarchia dei reparti — guidato da un organigramma con reparti annidati e più responsabili per reparto, così un responsabile vede tutto il suo sottoalbero e nient'altro. Attorno ci sono le funzioni di sicurezza che ogni spazio riceve: accesso a due fattori con codice via e-mail o app di autenticazione, blocco dopo cinque tentativi falliti, database isolato per spazio. Ruoli di base e 2FA sono in ogni piano; la matrice completa per modulo, i reparti e il registro attività partono da Growth.
Quasi tutti i CRM per piccole imprese offrono tre ruoli — admin, responsabile, utente — e una sola domanda: questo ruolo vede i lead di tutti o solo i propri? Questo schiaccia due decisioni diverse in una sola, ed è lì che iniziano i guai.
«Un commerciale può eliminare una trattativa?» è una domanda di capacità. «Il capo squadra di Milano può vedere i lead della squadra di Roma?» è una domanda di ambito. Un junior può avere il permesso di modificare ma non di eliminare, e vedere solo i propri; un capo squadra può fare tutto, ma solo nella sua squadra; una persona della contabilità può vedere il valore di ogni trattativa senza poter toccare un solo lead. Un menu a tendina non esprime nulla di tutto questo. Due assi sì, e le combinazioni sono il punto.
Un ruolo è una griglia. Le righe sono i moduli, le colonne le azioni, le celle caselle di spunta.
| Moduli (15) | Azioni (5) | Ruolo di esempio |
|---|---|---|
| Lead, trattative, attività, progetti, casella, telefono, entrate, uscite, provvigioni, campagne, moduli, automazioni, prodotti, report, ticket | Accesso · vedi · crea · modifica · elimina | Commerciale: lead/trattative/attività/casella/telefono completi tranne eliminazione; prodotti solo lettura; nessun accesso a entrate, uscite, provvigioni, automazioni |
| Contabilità: entrate/uscite/provvigioni completi; trattative in lettura; report in lettura; nessun accesso a casella, telefono, campagne | ||
| Operatore assistenza: ticket completi; lead vedi e modifica; casella completa; nient'altro |
Un ruolo salvato prima che un modulo esistesse non lo perde in silenzio: i moduli aggiunti in seguito sono consentiti per impostazione ai ruoli esistenti, e un amministratore li restringe se serve. Accanto alla matrice, il ruolo porta due piccoli interruttori che nelle squadre commerciali tornano di continuo — se i prezzi delle trattative sono visibili e se i prodotti delle trattative sono modificabili — e, da Growth in su, quale layout della scheda lead il ruolo vede.
La colonna più a sinistra, accesso, è un interruttore generale. Senza di esso il modulo sparisce dal menu e ogni azione su di esso è negata, anche se «vedi» risulta spuntato. Conta perché un menu che si limita a nascondere un collegamento non è sicurezza; chi ha l'URL entra comunque. Qui ogni elenco, pagina di dettaglio ed endpoint AJAX verifica la stessa regola centrale, e una richiesta negata riceve una pagina «Nessun accesso» pulita, non una schermata rotta.
Le sezioni del menu seguono i loro figli: se un ruolo non ha accesso a entrate, uscite o provvigioni, l'intera voce Finanze sparisce. L'area Impostazioni — utenti, ruoli, reparti, integrazioni — è visibile solo agli amministratori, a prescindere dal ruolo.
L'ambito si applica nella query, non nell'interfaccia: elenchi, lavagne kanban, dashboard, esportazioni, casella e report filtrano tutti sullo stesso insieme di responsabili. Le trattative seguono il responsabile del lead collegato, le attività l'assegnatario, le lavagne di progetto l'appartenenza.
La gerarchia non è un campo «responsabile» su ogni utente; è un albero di reparti. Un reparto radice contiene l'azienda; sotto annidi vendite, assistenza, regioni, squadre — profondo quanto vuoi. Ogni reparto ha membri, e qualsiasi membro può essere contrassegnato come responsabile. Un reparto può anche portare un ruolo predefinito, applicato ai membri che vi aggiungi.
Più responsabili per reparto sono normali — un direttore vendite e un vice coprono entrambi la squadra. Spostare un reparto sotto un altro sposta con sé la sua copertura; spostare una persona tra reparti cambia ciò che il suo responsabile vede nel momento in cui salvi. La copertura è in cache per richiesta e protetta dai cicli, così un albero sbagliato non può andare in loop.
Un amministratore ignora la matrice: piena capacità, pieno ambito. Solo gli amministratori raggiungono le Impostazioni: utenti, ruoli, reparti, campi personalizzati, pipeline, integrazioni, registro attività. Qualsiasi utente può essere promosso ad amministratore o retrocesso con un pulsante — tranne te stesso, così uno spazio non può chiudersi fuori dal suo ultimo admin.
Poiché gli amministratori sono fuori dalla matrice, il consiglio pratico è averne due o tre e dare a tutti gli altri un ruolo vero, compreso il fondatore che «deve vedere tutto» — è a questo che serve l'ambito tutto su un ruolo normale.
| Funzione | Come funziona | Predefinito |
|---|---|---|
| Accesso a due fattori | Per utente: un codice inviato via e-mail, o un codice temporale da un'app di autenticazione (Google Authenticator, Authy, 1Password). Si attiva in Impostazioni → 2FA con un codice QR. | Disattivato; ogni utente lo attiva |
| Blocco anti forza bruta | Cinque tentativi falliti per la stessa e-mail dallo stesso indirizzo bloccano l'accesso per tre ore. Vale per il pannello principale, il pannello partner e il pannello master. | Sempre attivo |
| Reimpostazione password | Flusso con link via e-mail; i nuovi account ricevono una password generata invece di sceglierne una debole alla registrazione. | Sempre attivo |
| Campi sensibili nei registri | Password, token, segreti API, segreti SIP e 2FA sono mascherati prima di qualsiasi scrittura nel registro attività. | Sempre attivo |
| Sessione per spazio | Ogni spazio è un proprio sottodominio con una propria sessione; un utente di due spazi accede a ciascuno separatamente. | Sempre attivo |
Da Growth in su, lo spazio tiene un registro di chi ha fatto che cosa: accessi, modifiche alle impostazioni, modifiche a ruoli e utenti, assegnazioni della casella, modifiche ai prodotti, azioni sulle attività, cambi di stato dei ticket. Ogni voce ha la persona, l'ora, la scheda e — dove si applica — i valori prima/dopo. Si filtra, si pagina e si esporta in CSV.
Lo scopo è meno forense che pratico: «chi ha cambiato la fase di questa trattativa», «chi ha tolto il permesso di eliminazione al ruolo commerciale», «chi ha effettuato l'accesso alle 2 di domenica» sono domande che nascono in ogni squadra di dieci o più persone, e la risposta dovrebbe richiedere un minuto.
Ogni spazio ha il proprio database — non una tabella condivisa con una colonna tenant, ma uno schema separato. Una query in uno spazio non può fisicamente restituire le righe di un altro. L'hosting è nei Paesi Bassi (UE), l'interfaccia è disponibile in inglese, turco, arabo, francese e italiano, e ogni utente sceglie il proprio fuso di visualizzazione mentre l'archiviazione resta in UTC.
Ciò che non affermiamo: i backup giornalieri automatici del tuo spazio non fanno attualmente parte del servizio, e dovresti esportare ciò che devi conservare. Preferiamo dirlo qui che lasciartelo scoprire dopo.
| Sintomo | Causa più probabile | Rimedio |
|---|---|---|
| Un modulo manca dal menu di qualcuno | Il ruolo non ha accesso su di esso | Spuntare accesso; le altre azioni contano solo con l'accesso attivo |
| «Vedi» è spuntato ma la pagina dice Nessun accesso | Lo stesso — l'accesso è l'interruttore generale | Spuntare accesso |
| Un responsabile non vede i lead della sua squadra | Non contrassegnato come responsabile nel reparto, o ambito del ruolo = proprio | Contrassegnarlo responsabile; impostare l'ambito su gerarchia |
| Il responsabile vede i lead della squadra ma non può modificarli | Interruttore «modifica in gerarchia» disattivato sul ruolo | Attivare la modifica (ed eliminazione se voluta) |
| Un utente vede tutto | È un amministratore | Retrocedere e assegnare un ruolo con l'ambito giusto |
| Mancano trattative per una persona responsabile di lead | Le trattative seguono il responsabile del lead; i lead non hanno responsabile | Impostare i responsabili sui lead |
| Bloccato dopo errori di digitazione | Blocco anti forza bruta: 5 errori = 3 ore | Aspettare, o far reimpostare la password da un amministratore |
| Piano | 2FA, anti forza bruta, database isolato | Ruoli di base | Matrice completa per modulo + ambito dati | Reparti (organigramma) | Registro attività + esportazione |
|---|---|---|---|---|---|
| Starter | Inclusi | Inclusi | — | — | — |
| Growth | Inclusi | Inclusi | Inclusa | Inclusi | Incluso |
| Business | Inclusi | Inclusi | Inclusa | Inclusi | Incluso |
| Enterprise | Inclusi | Inclusi | Inclusa | Inclusi | Incluso |
Le basi della sicurezza — accesso a due fattori, protezione anti forza bruta, database isolato — sono in ogni piano, come i ruoli di base. La matrice completa con ambito dati, l'organigramma dei reparti e il registro attività arrivano insieme con Growth, il piano su cui finisce la maggior parte delle squadre sopra le cinque persone anche solo per questo motivo. Vedi la pagina dei prezzi per il confronto completo.
Configura il tuo workspace in meno di un minuto — gratis per 14 giorni.
Crea il tuo workspace