El pecat original: l’usuari compartit
En molts hotels tot l’equip entra al PMS, al correu i a les extranets amb les mateixes credencials. És còmode i surt car per tres vies:
- Sense traçabilitat no hi ha conversa possible. Qui va aplicar aquell descompte del 50 %? Qui va esborrar la reserva? Amb un usuari compartit, la resposta sempre és «algú», i això protegeix exactament qui no hauria de protegir.
- Ningú no canvia una contrasenya que fan servir sis persones. Així que sobreviu anys, apuntada en llocs cada cop més creatius.
- Quan algú marxa, s’emporta la clau. I a l’hostaleria la gent marxa sovint: la rotació del sector converteix aquest detall en la principal porta del darrere.
La solució no costa diners: un usuari per persona, amb els permisos del seu lloc de treball. El recepcionista de cap de setmana no necessita poder exportar la base de clients ni tocar les tarifes; la governanta necessita veure l’estat de les habitacions, no les targetes de crèdit. Un PMS seriós porta rols i registre d’activitat precisament per a això.
El dia que algú marxa
L’offboarding d’un empleat és un procediment de cinc minuts que gairebé ningú no té escrit. La llista completa:
- Desactivar el seu usuari del PMS (desactivar, no esborrar: l’historial del que va fer s’ha de conservar).
- Treure’l del correu de l’hotel i dels comptes compartits les contrasenyes dels quals coneixia — que es canvien aquell mateix dia.
- Revisar accessos a extranets d’OTA, TPV, banca, xarxes socials.
- Recollir claus mestres i desactivar els seus codis dels panys electrònics, si n’hi ha.
El punt 2 explica per què els comptes compartits són l’enemic: amb usuaris individuals, l’offboarding és prémer un botó; amb comptes compartits, és una tarda de canviar contrasenyes a vuit llocs — que per això mateix ningú no fa.
MFA: l’única millora que atura atacs reals
L’autenticació en dos passos (el codi del mòbil a més de la contrasenya) és la mesura amb millor relació esforç/protecció que existeix, perquè converteix una contrasenya robada en un problema petit en lloc d’una catàstrofe. On activar-la, per ordre d’urgència:
- El correu de l’hotel. Qui controla el correu pot restablir les contrasenyes de tota la resta. És la joia de la corona i on ataquen primer.
- Les extranets de les OTA. Un compte de Booking robat es fa servir per estafar els teus hostes en nom teu — és el frau de moda al sector i ho expliquem a l’article sobre phishing.
- El PMS i la banca, si ho permeten. A Hostelum el MFA és obligatori, no opcional, precisament perquè «opcional» a la pràctica vol dir «desactivat».
Contrasenyes: menys regles i més gestor
Les polítiques de contrasenyes complexes que caduquen cada mes produeixen exactament el que intenten evitar: la mateixa contrasenya amb un número que creix, apuntada al costat del teclat. El que funciona el 2026 és més simple:
- Una contrasenya llarga i única per servei, generada i recordada per un gestor de contrasenyes (el navegador ja en porta un de decent; els d’equip, millor).
- Sense caducitat programada — es canvia quan hi ha sospita de compromís, no per calendari.
- Les tres o quatre mestres (gestor, correu) sí que es memoritzen, i van amb MFA.
L’ordinador de recepció també compta
És un lloc públic, encès setze hores al dia, amb gent esperant al davant. Tres hàbits barats: bloquejar la sessió en aixecar-se (tecla Windows+L, dos segons), no navegar ni obrir adjunts personals allà, i mantenir el sistema actualitzat. Si el PMS és cloud, l’ordinador passa a ser reemplaçable: qualsevol navegador net serveix, i una màquina compromesa no s’emporta la base de dades amb ella.
La prova del cotó
Saps, ara mateix, quantes persones poden entrar al teu PMS i amb quins permisos? Si la resposta requereix investigació, aquesta és la primera tasca. La seguretat d’un hotel petit no va de firewalls: va de saber qui té claus de què, i de poder treure-les-hi en un minut.