Checklist de permisos antes de que Claude Code edite un sitio de cliente

En una agencia, las tareas pequeñas llegan todos los días: CTA de una landing, título principal, fecha de campaña, intro de un caso. Claude Code puede editarlas rápido, pero en un sitio de cliente el límite importa antes que la velocidad.

Esta checklist sirve para agencias web, marketing y consultores que mantienen WordPress, Astro, Next.js, landings estáticas y páginas con formularios.

Ideas clave

• Antes de editar, separa archivos en lectura, editables y prohibidos.
• Delega diff, build, enlaces y móvil. Aprobación del cliente y publicación son humanas.
• Protege datos de cliente, tags de anuncios, formularios, analytics, pagos y legal.
• Empieza con PDF gratis; estandariza con setup guide; usa consultoría para equipos.

Tres niveles de permiso

Muchos accidentes de agencia son accidentes de alcance. “Cambia este botón” termina tocando un header compartido o un pixel.

Nivel	Significado	Ejemplo
Solo lectura	Se puede mirar, no editar	LP actual, referencia, CTA anterior
Editable	Permitido en esta tarea	Página objetivo, copy, texto de prueba
Prohibido	No abrir si no hace falta; nunca editar	.env, clientes, pixels, pagos

Escribir este límite vuelve más estable el trabajo con Claude Code.

Qué hace Claude Code

Claude Code prepara el diff, cambia texto, conserva enlaces, ejecuta build y revisa móvil.

La persona decide tono de marca, claims legales, promesa de campaña y publicación.

Instrucción lista

Cambia solo el copy del CTA en esta landing de cliente.

Editable:
- site/src/pages/campaign.astro
- site/src/content/campaign-copy.ts

Solo lectura:
- site/src/layouts/BaseLayout.astro
- site/src/components/Header.astro

No tocar:
- .env*
- destino del formulario
- analytics / ads / pixel
- precios, contratos, legal, privacidad

Tarea:
1. Acortar el titular CTA
2. Cambiar el botón a "Reservar consulta gratis"
3. Mantener el enlace /training/
4. Ejecutar npm run build
5. Informar diff y verificación

Leer contexto no equivale a tener permiso de edición.

Script de protección

const diff = process.env.DIFF_TEXT || "";
const forbidden = [".env", "gtag(", "fbq(", "stripe", "customer_email"];

const hits = forbidden.filter((word) => diff.includes(word));
if (hits.length) {
  console.error("posible diff prohibido:", hits.join(", "));
  process.exit(1);
}

console.log("check de prohibidos OK");

Pasa git diff en DIFF_TEXT. No es perfecto, pero detecta errores comunes.

Tres casos

1. Botón en landing
Solo página objetivo. Formulario, tags y precios son prohibidos. Revisa móvil.

2. Intro de caso de éxito
Casos anteriores en lectura, artículo actual editable. Nombres y cifras se aprueban.

3. Fecha de campaña
Una fecha afecta OGP, datos estructurados, CTA y deadline del formulario. Claude Code lista impacto; la cuenta aprueba.

Errores

Error 1: “mejóralo”
Invita cambios amplios. Lista archivos.

Error 2: no hay lista prohibida
.env, ads, pagos y formularios deben aparecer.

Error 3: publicar solo por build
Comprueba URL pública, h1, enlace y móvil.

Error 4: claims fuertes sin aprobación
“Garantizado” o “No. 1” requieren prueba.

CTA: siguiente paso

Si aprendes solo, usa el cheatsheet gratis. Para reglas de CLAUDE.md, permisos, hooks y setup, el setup guide es el siguiente paso.

Para trabajo de cliente con varias personas, usa consultoría y diseña zonas reales de lectura, edición y prohibición. Lee también la guía de permisos y el registro de riesgos de rollout.

Revisar permisos junto con ingresos

En una agencia, la checklist de permisos no debe quedarse solo en seguridad técnica. Cambiar un CTA, añadir un botón de PDF gratuito, enlazar un producto de Gumroad o enviar tráfico a una consulta afecta directamente la medición comercial del cliente.

Por eso la instrucción para Claude Code debe incluir lo que puede tocar y lo que no puede romper: evento del formulario, URL de gracias, parámetros de campaña, enlace de producto y correo de contacto. La revisión publicada no termina cuando la página responde 200; termina cuando una persona puede avanzar al siguiente paso sin fricción.

Después de cada entrega, deje una línea con cliente, responsable, URL pública, CTA principal y forma de rollback. Esa nota simple evita volver a discutir el mismo límite en la siguiente campaña.

Resultado al probarlo

Apliqué la checklist a un cambio de CTA. Limité dos archivos editables, prohibí formulario y tracking, y verifiqué build y móvil.

La mejora fue separar lectura de edición. Claude Code tuvo contexto sin ampliar el diff. En agencia, el límite escrito define la calidad.