Gmail permite delegar el acceso a la bandeja de entrada a otra persona sin compartir la contraseña, pensado para gestionar correos compartidos en proyectos o equipos. El problema es que ese permiso no aparece en la Comprobación de seguridad de Google, no caduca por sí solo y sigue activo aunque cambiemos la contraseña o activemos la verificación en dos pasos. Os explicamos cómo comprobar quién tiene ese acceso y cómo eliminarlo desde el ordenador.
A diferencia de una aplicación conectada o de un inicio de sesión con contraseña robada, la delegación de Gmail da acceso directo y completo a la bandeja de entrada. La persona delegada entra desde su propio perfil de Google, sin necesidad de conocer ninguna clave, y desde ahí puede leer todo el historial de conversaciones, redactar correos que aparentan salir de vuestra cuenta y eliminar mensajes. Google permite hasta diez delegados por cuenta personal, un límite que suele pasar desapercibido porque el acceso no genera ninguna alerta posterior.
Qué es la delegación de Gmail y por qué esquiva la contraseña
La delegación es una función nativa de Gmail que concede a otra persona acceso directo a vuestra bandeja de entrada desde su propio perfil de Google. No hace falta compartir ninguna contraseña: el delegado cambia de cuenta desde el menú de su perfil y entra en vuestro correo como si fuera el suyo. Desde ahí puede leer los correos ya recibidos, los archivados y los antiguos, además de escribir mensajes que salen con vuestra dirección como remitente.
Este mecanismo nació para facilitar la gestión de bandejas compartidas, por ejemplo, cuando varias personas llevan las comunicaciones de un proyecto desde una única cuenta. El acceso se activa desde los ajustes de escritorio de Gmail y, salvo que alguien entre a revisarlo, puede quedar olvidado durante años sin que nadie repare en que sigue abierto. Conviene tratarlo como cualquier otro permiso que hay que auditar de vez en cuando, igual que hacéis con las aplicaciones conectadas a vuestra cuenta.
Requisitos y riesgos antes de empezar
Esta gestión solo funciona desde un navegador de escritorio, en Windows, macOS o Linux: la aplicación móvil de Gmail no incluye ninguna opción para consultar ni modificar delegados. Necesitaréis únicamente tener la sesión iniciada en la cuenta de Gmail que queráis revisar.
El riesgo principal es la extensión del permiso: un delegado puede leer todo el historial de la bandeja, redactar correos que aparentan venir de nosotros y borrar mensajes, sin que quede ningún aviso visible para el titular de la cuenta. Valorad si realmente necesitáis conceder ese nivel de acceso o si os basta con una alternativa más limitada, como el reenvío automático. Y tened en cuenta que la revocación es inmediata: no hay margen de error una vez pulsáis eliminar.
Por qué el cambio de contraseña o el 2FA no la revoca
Las contraseñas y la verificación en dos pasos controlan quién inicia sesión directamente en nuestra cuenta de Google. La delegación funciona en un plano distinto: el permiso queda asociado a la identidad del delegado, no a nuestras credenciales. Por eso, aunque cambiemos la contraseña, activemos el segundo factor o sustituyamos el teléfono donde recibimos los códigos, el acceso del delegado no se ve afectado en absoluto.
Google tampoco envía ningún aviso cuando un delegado abre vuestra bandeja de entrada, ni existe una fecha de caducidad automática para este permiso. La Comprobación de seguridad, esa revisión periódica que muestra los dispositivos conectados y las aplicaciones con acceso a vuestros datos, no incluye esta configuración entre sus alertas. El resultado es que un permiso concedido hace tiempo puede seguir activo de forma indefinida hasta que alguien entre a eliminarlo manualmente.
Cómo revisar y eliminar permisos desde el ordenador
Esta gestión solo está disponible en la versión web de Gmail. Para comprobar quién tiene acceso a vuestra cuenta, seguid estos pasos desde un navegador de escritorio:
- Abrid Gmail y haced clic en el icono del engranaje, arriba a la derecha.
- Seleccionad «Ver todos los ajustes».
- Id a la pestaña «Cuentas e importación» y bajad hasta «Conceder acceso a tu cuenta».
- Pulsad «eliminar» junto a cualquier dirección que no reconozcáis o que ya no necesite ese acceso.
La revocación es inmediata: en cuanto eliminéis un delegado, pierde el acceso al instante. En esa misma sección conviene revisar dos casillas adicionales: una determina si los correos que abre un delegado se marcan como leídos en vuestra bandeja de entrada, y otra decide si los mensajes enviados por él muestran su nombre en la línea del remitente. Si la primera opción está activada, alguien podría estar leyendo vuestros correos sin que se note, porque no aparecerán como pendientes.
Límites de la auditoría en cuentas personales
El registro de «Última actividad de la cuenta», visible al pie de la interfaz web de Gmail, solo recoge los inicios de sesión directos y las conexiones de aplicaciones que usan vuestra contraseña o un token de acceso. Las sesiones que abre un delegado desde su propio perfil no quedan reflejadas ahí, así que ese historial no sirve para detectar si alguien ha entrado en vuestro correo por esta vía.
En una cuenta personal no existe ninguna forma de comprobar si un delegado ha leído vuestros mensajes: no hay registro de auditoría accesible para el usuario. Esa trazabilidad, sesión por sesión, solo está disponible para las personas administradoras de Google Workspace, pensada para entornos corporativos donde varias personas comparten buzones de forma oficial. Si gestionáis una cuenta de este tipo, es la persona administradora quien puede consultar ese historial, no vosotros desde vuestra bandeja.
Reenvío automático y grupos de Google como alternativa
Si lo único que necesitáis es que otra persona reciba una copia de los correos que llegan, el reenvío automático de Gmail resulta más seguro que la delegación. El destinatario ve los mensajes nuevos en su propia bandeja, pero no puede acceder al historial de conversaciones anteriores ni responder haciéndose pasar por vuestra cuenta.
Para proyectos donde varias personas deben responder desde una misma dirección, los grupos de Google o las direcciones compartidas de Workspace ofrecen un control más ajustado que la delegación directa, porque centralizan la gestión de permisos y permiten a una persona administradora supervisar el acceso de cada miembro.
Qué hacer si algo no funciona en la seguridad de Gmail
Si al entrar en «Cuentas e importación» no veis la sección «Conceder acceso a tu cuenta», comprobad primero que estáis navegando desde un ordenador, porque en la app móvil esta opción no existe. Si ya estáis en el escritorio y sigue sin aparecer, es posible que la cuenta pertenezca a una organización de Google Workspace: en ese caso, la persona administradora podría haber restringido la función a nivel corporativo, y no habría forma de activarla desde vuestra propia configuración.
Si eliminasteis un delegado y su nombre sigue apareciendo, recargad la página de ajustes, porque la interfaz tarda unos segundos en reflejar el cambio. Y si queréis añadir uno nuevo y la opción está bloqueada, revisad que no hayáis llegado ya al límite de diez direcciones que permite Google en cuentas personales.