Acceso justo a tiempo y por tiempo limitado

Un privilegio permanente está siempre puesto: la cuenta es administradora a todas horas, esté haciendo una tarea de administración o leyendo el correo. Si alguien consigue esa cuenta, consigue el privilegio sin esperar a nada. El acceso justo a tiempo invierte la lógica: la cuenta normal no tiene el privilegio y lo recibe por un rato, con un motivo, una aprobación y un reloj. Al vencer el reloj, el privilegio se retira sin que nadie tenga que acordarse. El tiempo que una cuenta puede hacer daño se reduce de «siempre» a «lo que dure la elevación».

Lee permisos_permanentes: las cuentas que hoy pertenecen de forma fija a un grupo de administración y cuándo usaron ese permiso por última vez. La regla de Pagua dice que un permiso permanente sin uso en más de 90 días es candidato a retirarse. La revisión es del 2026-10-05, así que el corte es el 2026-07-07: ese día cumple justo 90 días y no cuenta, porque la regla dice «más de». Cuenta los que sí lo pasan.

De esas cuentas, una lleva con el permiso sin usar mucho más que las otras. Es la que más importa retirar primero, porque nadie notaría que la usan: un privilegio dormido con una cuenta que nadie mira es la combinación más cómoda para quien consiga entrar.

Una elevación justo a tiempo solo vale como control si la aprueba alguien distinto de quien la pide: si coinciden, no hay segundo par de ojos y el flujo es decoración. Lee elevaciones y compara la columna cuenta con la de aprobador en cada solicitud.

Pagua fija en 4 horas, o sea 240 minutos, el máximo de una elevación. Una de las solicitudes dura más. Mide los minutos entre su inicio y su fin y réstale el máximo: el resultado es el exceso. En una elevación el reloj es el control: si se alarga sin que nadie lo apruebe, el privilegio vuelve a ser casi permanente.