Ge konsult åtkomst utan att dela lösenord: steg för steg

Ge konsulten en egen inloggning i varje system, med så få rättigheter som jobbet kräver, och ta bort den när jobbet är klart. Det som inte går att ordna så delar du via en lösenordshanterares säkra delning. Lösenord skickar du aldrig i mejl eller sms.

Här går jag igenom Google Workspace, Microsoft 365, Fortnox, HubSpot, Zapier och WordPress. En egen inloggning går att begränsa och stänga av. Ett lösenord du lämnat ut kan du inte begränsa, och du vet aldrig vem som har det kvar. Menynamn kan skilja sig i din version.

Det här behöver du

Adminrättigheter i systemen du ska bjuda in i.
Konsultens e-postadress och en lista på vad jobbet kräver: bara läsa, eller ändra också?
En licens eller plats där det behövs (se aktuell prislista) och en lösenordshanterare som 1Password eller Bitwarden.

Aldrig lösenord i mejl eller sms. Ett lösenord i en mejltråd kan ligga kvar i båda postlådorna, i sökindex och i säkerhetskopior långt efter att jobbet är klart.

Steg för steg, system för system

Google Workspace

Dela bara det som behövs. Välj Dela på filen eller mappen, skriv konsultens egna Google-adress och välj Läsbehörig, Kommentator eller Redigerare. På arbets- och skolkonton kan du lägga till ett utgångsdatum.
Behöver hen e-post: delegera Gmail under Inställningar, Visa alla inställningar, Konton och import, Ge åtkomst till ditt konto. Delegaten kan läsa, skicka och radera mejl men inte byta ditt lösenord. På arbetskonton kan du bara delegera inom organisationen, så konsulten behöver en egen användare. Det kan ta upp till 24 timmar.
Egen användare: i Admin console, Katalog, Användare, lägg till användaren. Det kräver en licens. Skicka kontouppgifterna till personens egen adress. Mejlet har en länk där personen sätter eget lösenord, och den gäller i 48 timmar. Ge adminroll bara om det krävs.
Ta bort: ta bort delegeringen. För en egen användare: suspendera först, då finns data kvar men licensen debiteras fortfarande. Flytta data innan du raderar, för efter 20 dagar går den inte att få tillbaka.

Microsoft 365

Gäst i stället för användare. Bjud in konsulten som gäst via Microsoft Entra. Hen loggar in med sin egen identitet och du hanterar inga lösenord.
Egen användare vid behov. Users, Active users, Add a user. Låt Automatically create a password och Require this user to change their password when they first sign in vara ikryssade och dela det första lösenordet säkert, se längre ned.
Roller. Microsoft rekommenderar minsta möjliga rättigheter och så få Global Administrators som möjligt. Välj en snäv roll som User Administrator eller Exchange Administrator och kräv MFA för administratörer.
Ta bort: blockera inloggning, ta bort licensen och radera kontot, som kan återställas i ungefär 30 dagar.

Fortnox

Egen användare. Klicka på företagsnamnet, Administrera användare, Lägg till användare. Bara en systemadministratör kan göra det. Inbjudan gäller i 14 dagar.
Begränsa. Tilldela programmet och välj bort behörigheter personen inte behöver innan du klickar Tilldela. Rapporter och Register/Övrigt anpassar du separat. Det här är inte redovisnings- eller säkerhetsrådgivning, så stäm av med din redovisningskonsult.
Integrationer. De kräver en integrationslicens. Den som aktiverar loggar in i Fortnox och granskar behörigheterna innan Godkänn behörigheter. Under Administrera integrationer ser du vem som aktiverade vad och kan bryta kopplingen.
Ta bort: markera användaren och välj Ta bort användaren. Programmen avslutas inte av det, säg upp dem separat. Kolla först vilka integrationer personen har aktiverat.

HubSpot

Skapa användaren. Settings, Users & Teams, Add users, Create new. Ange e-post, seat och behörigheter. Det kräver Super Admin.
Begränsa. Välj att tilldela behörigheterna manuellt (i skrivande stund kan alternativet heta Start from scratch), inte alternativet som gör konsulten till Super Admin. Jag brukar låta en befintlig Super Admin göra det som kräver den nivån i stället för att bredda konsultens rättigheter.
Ta bort: Deactivate user först, då kan hen inte logga in, data finns kvar och användaren kan återaktiveras. Flytta ägarskap och välj sedan Remove from account, vilket enligt HubSpot inte går att ångra.

Zapier

Bjud in som Member på en Team- eller Enterprise-plan och dela bara den mapp jobbet gäller. Zapier rekommenderar inte delad inloggning. Hela proceduren, med borttagning, står i Dela Zapier-kontot med en konsult utan att dela ditt lösenord.

WordPress

Skapa användaren. Users, Add New. Ange användarnamn, e-post och roll. WordPress mejlar kontouppgifterna till personens egen adress, i nyare versioner med en länk där personen väljer eget lösenord. Det är något annat än att du mejlar ditt.
Roll. En Editor kan hantera inlägg men inte installera plugin eller teman. Det kan bara en Administrator på en vanlig webbplats. Ge Administrator bara när det behövs, på ett namngivet konto.
Tjänster som ansluter. Application Passwords, sedan WordPress 5.6, skapas på profilsidan, kan återkallas var för sig och duger inte för inloggning i wp-admin.
Ta bort: Users, Delete, och flytta innehållet till en annan användare så att det inte raderas.

Det som ändå måste delas

Vissa system har bara en inloggning. Då delar du den via lösenordshanteraren.

1Password: välj objektet och Share. Bestäm när länken går ut och om vem som helst eller bara vissa e-postadresser får öppna den. Det du delar är en kopia, så senare ändringar följer inte med. Återkalla via View Sharing History och Delete Link.
Bitwarden Send: tillfälliga krypterade länkar. Sätt en Deletion date (högst 31 dagar), en gräns för antal öppningar och gärna ett lösenord som du ger på annat sätt. Mottagaren behöver inget Bitwarden-konto.

Byt det delade lösenordet när jobbet är klart. Dela aldrig tvåfaktorkoder, sitt hellre tillsammans på skärmen när en kod behövs.

Så vet du att det fungerar

Be konsulten logga in med sitt eget konto och öppna det hen ska arbeta med, och kontrollera att hen inte ser mer. Efter avslutet ska konsultens inloggning nekas och dina flöden fortsätta köra.

Avslutsrutin

Gå igenom din anteckning över vad som delades.
Flytta ägarskap först: Zapier-kopplingar, Fortnox-integrationer, HubSpot-poster, WordPress-innehåll.
Ta bort användare, gäster och delegeringar i varje system enligt ovan.
Radera delningslänkar, byt delade lösenord och återkalla Application Passwords och API-nycklar.
Testa att flödena fortfarande körs.
Be konsulten bekräfta att inga exporter eller nycklar ligger kvar hos hen.
Skriv ner datum och vad som togs bort.

Ska flöden som konsulten byggt leva vidare efter avslutet, gå igenom överlämningen till förvaltning innan du stänger kontona.

Vanliga fel

Konsulten får högsta rollen för att det är enklast. Global Administrator, Super Admin och Administrator är ofta onödiga.
Allt hänger på konsultens användare. Integrationer och kopplingar kan pausas när kontot tas bort.
Ingen avslutsrutin. Konton ligger kvar i åratal.
Lösenordet byts aldrig efter delning.

Begränsningar

Alla system har inte separata användare. Då är lösenordshanteraren och ett byte efteråt det bästa alternativet, eller skärmdelning.
En konsult som behandlar personuppgifter åt dig är normalt ett personuppgiftsbiträde, och IMY beskriver att det ska regleras i ett skriftligt avtal. Det här är inte juridisk rådgivning.

Källor

Vanliga frågor

Är det okej att mejla ett lösenord om jag byter det efteråt?

Nej, det rekommenderar jag inte. Mejlet blir kvar och lösenordet har ändå varit exponerat. Ge en egen inloggning eller dela via lösenordshanterarens säkra delning.

Vad är skillnaden mellan en gäst och en användare i Microsoft 365?

En gäst loggar in med sin egen identitet och når bara det du delar. En användare är ett konto i din organisation.

Hur delar jag ett lösenord säkert med Bitwarden Send?

Skapa en Send med deletion date och en gräns för antal öppningar och skicka länken. Mottagaren behöver inget konto.

Måste en konsult ha en egen licens?

En egen användare i Google Workspace, Fortnox, HubSpot eller Microsoft 365 hör ihop med en licens eller plats. Att dela en fil med konsultens eget Google-konto gör det inte. Se aktuell prislista.

Fastnar du?

Att sätta upp åtkomst och gå igenom vad som delats är något jag gör åt enmansföretag och små team, ofta på en eller två timmar tillsammans på skärmen. Har du fastnat på ett steg, eller vill du hellre att jag guidar dig, mejla mig med rubriken "Fastnat: Åtkomst för konsult". Skriv vilka verktyg du använder och var det tog stopp, så svarar jag med vad jag tror det tar. Jag sitter i Stockholm och jobbar med hela Sverige på distans. Så här arbetar jag finns beskrivet under arbetssätt. Vill du först se om flödet alls är värt att automatisera finns Automationskollen.

Så ger du en konsult åtkomst till dina system utan att mejla lösenord