Permissões da BM: papéis, acessos e o erro que custou a conta de muito gestor

Mapa completo dos papéis na Business Manager (admin, employee, finanças, analista), o que cada um pode fazer e como evitar perder a BM por dar acesso master a quem não devia.

:::tldr A BM tem 3 níveis (Pessoas, Parceiros, Contas conectadas) e papéis específicos em cada um. Dar admin master a freela ou agência é o erro #1 que faz dono perder a própria empresa em 24h. Use papéis mínimos + 2FA + auditoria semanal. :::

A história se repete: dono contrata agência → dá admin master → agência sai → não tira → ou pior, agência tira o dono. Tudo previsível, tudo evitável com 5 minutos de configuração correta.

Os 3 níveis de acesso

1. Pessoas (dentro da BM)

Admin master: tudo, inclusive remover outros admins.
Employee: opera contas e páginas, não muda configurações.

2. Parceiros (BMs externas)

Você compartilha um ativo (página, pixel, conta) com outra BM.
A BM parceira não vê seus outros ativos.

3. Acessos específicos por ativo

Conta de anúncio: Gerente, Anunciante, Analista.
Página: Admin, Editor, Moderador, Anunciante, Analista.
Pixel: Admin, Analista.

Matriz: quem precisa de quê

| Papel real | Conta anúncio | Página | Pixel | BM (Pessoas) | |---|---|---|---|---| | Dono | Gerente | Admin | Admin | Admin master | | Gestor sênior | Gerente | Admin | Admin | Admin master | | Analista de mídia | Anunciante | Anunciante | Analista | Employee | | Designer | – | Editor | – | Employee | | Agência externa | Gerente | Anunciante | Analista | Parceiro (não Pessoa) | | Financeiro | Analista + Cobrança | – | – | Employee |

Quero auditoria de acessos da minha BM esta semana

Regras de ouro

Toda agência entra como Parceiro, nunca como Pessoa.
2 admins masters, no mínimo (single point of failure).
2FA obrigatório em todos os admins (guia).
E-mails admin corporativos (não @gmail pessoal).
Auditoria mensal: quem ainda está aqui?

:::callout type=warning Nunca dê admin master a freela "por praticidade". Ele pode te remover, mudar e-mail de recovery e te trancar fora da sua própria BM em 5 minutos. :::

Saídas seguras

Quando alguém sai do time:

Remover do Pessoas imediatamente.
Remover do 2FA backup (se compartilharam códigos).
Trocar senhas de contas de e-mail corporativo.
Revisar logs em Atividade comercial nos últimos 30 dias.
Se era admin master, mudar o e-mail de recuperação da BM.

Quando o problema já aconteceu

Você ainda tem admin master? Remova o invasor.
Não tem mais? Use Account Recovery com documento + comprovante de domínio.
Sem domínio verificado? O appeal fica pesado — peça ajuda profissional.

> Faça também o checklist completo de auditoria.

Este artigo faz parte do pilar Business Manager

Veja o guia completo em Business Manager Meta: Guia Completo para Anunciantes e Agências. Consulte também Ver BMs disponíveis.