Por qué funciona así

El permiso vive en el servidor, no en el menú

Ocultar un botón no protege nada: cualquiera puede teclear una dirección o llamar al sistema directo. Por eso cada operación exige su permiso en el servidor. El menú solo refleja esa realidad para no mostrar puertas que no abren.

Preparar y guardar, nunca a medias

Los cambios de roles y permisos se preparan y se guardan juntos desde la barra — igual que el resto del sistema, y con una ventaja de seguridad: un clic accidental en una ficha de rol no otorga nada por sí solo.

Una vez guardado, aplica al instante

Al guardar, la persona pierde (o gana) el permiso en su siguiente clic — sin cerrar sesión, sin esperar. Un acceso que "todavía funciona un rato" después de revocado es un riesgo, no una comodidad.

El cruce de portales no otorga nada

El botón para cambiar de ambiente solo cruza a quien ya tiene identidad del otro lado. Un contador externo del personal no tiene lado de residente: no ve el botón, y aunque lo pidiera directo, el servidor lo niega. Un vecino común, igual pero al revés.

Restablecer contraseña cierra todas las sesiones

Si alguien pidió restablecer porque sospecha que le entraron a su cuenta, lo que importa es sacar al intruso. Por eso el cambio de contraseña revoca todas las sesiones abiertas en ese momento, en todos los dispositivos.

Solo se suma, no se resta

Los permisos adicionales agregan sobre los roles; no existe "negar". Si alguien no debe poder hacer algo que su rol permite, se ajusta el rol o se le cambia el rol — así nunca hay que adivinar quién gana entre reglas contradictorias.

Todo deja huella

Asignar un rol, otorgar o retirar un permiso, cruzar de portal, vencerse un período: cada movimiento queda en la bitácora con quién, a quién, cuándo y por qué.