Guía para administradores: Ascripto y Google Workspace

Última revisión: 19 de octubre de 2026

Para el administrador o el administrador avanzado de Google Workspace a quien se ha pedido que autorice algo, y para cualquiera que esté evaluando a qué accede Ascripto. Primero el mecanismo, en los términos de Google.

Qué pide Ascripto y a quién

Autorización	Quién la concede	Dónde	Qué permite
Inicio de sesión	cada persona que usa Ascripto	el inicio de sesión de Google	`openid`, `email`, `profile`. La identidad se basa en el identificador estable (subject) y el dominio alojado de la cuenta de Google, nunca en la dirección de correo electrónico
Directorio, solo lectura	un administrador de Google Workspace	el consentimiento de OAuth al que se llega desde Ascripto (página de bienvenida o Configuración → Conexiones)	`admin.directory.user.readonly` y `admin.directory.domain.readonly`: los usuarios con su nombre, cargo, departamento, teléfonos, unidad organizativa y atributos personalizados; los dominios verificados de la organización. Los grupos no se leen
Firmas	un administrador avanzado	Consola de administración → Seguridad → Control de acceso y datos → Controles de API → Administrar la delegación de todo el dominio	www.googleapis.com/auth/gmail.settings.basic para la cuenta de servicio de Ascripto, cuyo ID de cliente se muestra en la página. Solo se usa para `users.settings.sendAs`

Ascripto nunca lee, envía ni elimina correo. Su uso de los datos de Google está sujeto a la Política de Datos del Usuario de los Servicios de las APIs de Google, incluidos los requisitos de uso limitado; la declaración figura en la política de privacidad, en ascripto.com/es/privacy/.

Por qué delegación de todo el dominio y no una instalación desde Marketplace

Por dos motivos, y ambos seguirían siendo válidos cuando exista la ficha en Marketplace:

Leer o escribir la firma de un alias (función “Enviar como”) en un buzón que no sea el de quien hace la llamada solo es posible para un cliente de cuenta de servicio con autoridad en todo el dominio. El consentimiento por usuario no lo permite.
Google no ofrece una variante de solo lectura de gmail.settings.basic. La auditoría solo lee, pero la autorización también permite, necesariamente, escribir.

Google verificó la aplicación OAuth de Ascripto (marca y permisos sensibles) el 17 de octubre de 2026, así que la pantalla de consentimiento para la autorización del directorio no muestra el aviso de “aplicación no verificada”. La entrada de delegación para las firmas se sigue creando a mano en la Consola de administración, y los permisos son los de la tabla anterior.

Frecuencia y funcionamiento

Actividad	Frecuencia	Mecanismo
Cambios en el directorio	en cuanto ocurren: Google avisa a Ascripto de cada cambio, y la persona se lee en ese momento, un minuto después y cinco minutos después	Admin SDK Directory API `users.watch`, un canal por tipo de cambio (alta, modificación, eliminación, restauración), renovado cada dos días y cerrado con `channels.stop`; `users.get` para la persona
Lectura del directorio	cada hora; cada 15 minutos mientras falte un canal de avisos; y al pulsar Leer ahora	Admin SDK Directory API `users.list`, `domains.list`
Auditoría	una vez al día y al pulsar Volver a comprobar	`sendAs.list` por persona; la firma de la dirección principal se compara con el registro del directorio
Implementación	en una implementación revisada; después, automáticamente para las incorporaciones y los registros modificados	`sendAs.patch` por persona, unas veinte escrituras por segundo. Cada buzón se lee primero y solo se escribe si es distinto, salvo que esté marcada la casilla Reescribir aunque esté al día
Importación	a petición	`sendAs.get` para la persona elegida; los valores se cotejan con su registro del directorio

Se usa sendAs.patch en lugar de sendAs.update, para que una implementación nunca borre el nombre visible, la dirección de respuesta ni los indicadores de alias de una persona.

Qué compara la auditoría

Por persona, la firma que Gmail usa en los mensajes nuevos frente al registro del directorio. Hallazgos:

Hallazgo	Comprobación
sin firma	la firma está vacía
falta el nombre	el nombre de la persona no aparece en el texto
falta el cargo	el cargo del directorio no aparece en el texto
falta el teléfono del trabajo	el teléfono del trabajo del directorio no aparece en el texto
sin logotipo	la firma no lleva ninguna imagen de logotipo
no se pudo leer	Google denegó el acceso al buzón; se cuenta aparte, nunca como conforme ni como no conforme a la marca

No se examinan, y así se indica junto a las cifras: la firma independiente que una persona puede elegir para respuestas y reenvíos (Gmail la guarda en la configuración web y ninguna API indica cuál está en uso), una Firma para móviles configurada en la aplicación Gmail (local en el dispositivo e invisible para cualquier API), las fuentes, los tamaños y los colores, y cualquier cosa que una persona añada aparte del contenido implementado.

Qué escribe la implementación

El HTML generado para esa persona (las imágenes se alojan en img.ascripto.com, ya que una firma de Gmail es una cadena HTML y no puede incrustarlas) y el texto sin formato correspondiente. Gmail aplica la firma en la web y en las aplicaciones de Gmail. La implementación omite a las personas suspendidas en el directorio, a las que tienen una dirección fuera de los dominios de la organización y a las que no llega ninguna firma.

Salidas

Una persona eliminada del directorio pasa a la papelera de reciclaje de Ascripto (7 días de forma predeterminada, configurable hasta un año en Configuración → Conexiones) y deja de gestionarse. Ascripto no vuelve a escribir nunca en su buzón y no borra la firma que ya tiene. En los usuarios suspendidos no se escribe mientras dura la suspensión.

Firmas duplicadas

Si en la Consola de administración (Apps → Google Workspace → Gmail → Cumplimiento) está activada la opción Agregar pie de página (Append footer), Google añade ese pie de página debajo de la firma de cada usuario, incluida la que escribe Ascripto. Cuando Ascripto ya incluya el texto legal, desactiva el pie de página en todas las unidades organizativas donde esté configurado.

Modos de fallo, tal como los notifica el producto

Qué ha pasado	Qué muestra Ascripto	Solución
Falta la entrada de delegación o se ha eliminado	Google se negó a abrir los buzones. Puede que se haya retirado el acceso a las firmas en tu Consola de administración. La auditoría o la implementación se detiene; los recuentos se quedan donde llegaron	Vuelve a añadir el ID de cliente y el permiso de OAuth. Se detecta en el extremo de tokens (`unauthorized_client`), así que entretanto no se toca ningún buzón
Se revocó el consentimiento del directorio o el administrador que lo dio perdió el rol	Configuración → Conexiones: Se ha retirado la conexión. Vuelve a conectar para leer de nuevo el directorio.	Volver a conectar como administrador actual
Google tarda en aplicar una delegación nueva	Aún no está permitido, con una nueva comprobación cada 20 segundos	Espera; Google documenta hasta 24 horas, aunque suelen ser minutos
Falla una comprobación o una lectura por parte de Ascripto	se indica así y se reintenta	nada

Revocar el acceso de Ascripto

Firmas: Consola de administración → Seguridad → Control de acceso y datos → Controles de API → Administrar la delegación de todo el dominio → el cliente de Ascripto → Eliminar. Las auditorías y las implementaciones se detienen de inmediato.
Directorio: el administrador que dio el consentimiento quita Ascripto en su cuenta de Google → Aplicaciones vinculadas (myaccount.google.com/linkedapps) (o Configuración → Conexiones → la conexión aparece como retirada en cuanto Google rechaza la siguiente lectura).
Las firmas ya escritas se quedan en el Gmail de cada persona; Ascripto nunca las borra.

Tratamiento de datos

Se almacena: nombres, direcciones de correo electrónico y los campos del directorio que usan las firmas; los valores manuales de los administradores; diseños y versiones de firmas; imágenes de marca; hallazgos de auditoría; en los planes de pago, quién contó para la factura del mes y cuándo. Las imágenes se sirven públicamente desde img.ascripto.com porque los clientes de correo de los destinatarios tienen que cargarlas.
No se almacena: el correo, los asuntos, los encabezados ni los tokens de Google más allá de su uso. Las credenciales de acceso al directorio se guardan en Azure Key Vault.
Dónde: Microsoft Azure, Germany West Central (Fráncfort). El correo transaccional (códigos de inicio de sesión, invitaciones) se envía desde el servidor de correo propio de Ascripto en la UE. Los pagos los gestiona Stripe.
Conservación: los campos del directorio, mientras la persona esté en el directorio, más el tiempo en la papelera de reciclaje; la auditoría de las acciones de los administradores, 13 meses; el historial de cambios de firmas, 90 días; los recuentos de facturación, 70 días; los datos de una organización se eliminan en los 30 días siguientes al fin del contrato, tras un plazo de exportación de 30 días. La tabla completa está en la política de privacidad; el acuerdo de tratamiento de datos (DPA) de ascripto.com/es/dpa/ se ajusta al artículo 28 del RGPD y no hace falta firmarlo.
Acceso del personal: el personal de Ascripto no consulta los datos de los clientes. El equipo de soporte solo puede ver los datos de una organización mediante una autorización de soporte limitada en el tiempo, que indica un motivo, queda registrada y es visible para la organización. Todas las cuentas del personal usan autenticación multifactor.
Seguridad en el navegador: la aplicación nunca guarda un token de acceso en el navegador; un componente del lado del servidor los conserva en cookies httpOnly.

Licencias

En Google Workspace ocupa una licencia cualquier persona cuyo Gmail haya llevado tu firma actual en algún momento del mes, porque una implementación la escribió o porque una implementación o la auditoría la encontró todavía ahí. Una persona suspendida o eliminada durante todo el mes no cuenta. El recuento del mes hasta la fecha está en Configuración → Facturación.