Hvad er en Super Admin i HubSpot? Rettigheder og risici

Sådan virker Super Admin i HubSpot

Super Admin er hverken et produkt eller et seat. Det er et flag på brugeren, som du sætter under Indstillinger, Brugere og teams ved at vælge brugeren, åbne Handlinger og klikke Make Super Admin. Flaget tilsidesætter alt andet i brugerens tilladelsesskema.

Tilladelser er ellers organiseret i ni kategorier: CRM, Marketing, Sales, Service, Revenue, Data Management, Automation, Reporting og Account. En almindelig bruger får rettigheder kategori for kategori, og det er finkornet arbejde med snesevis af afkrydsninger. En Super Admin får dem alle på én gang. HubSpot beskriver selv forskellen skarpt i HubSpots guide til brugertilladelser: forskellen på en Super Admin og en bruger med samtlige tilladelser sat er, at en Super Admin kan gøre stort set hvad som helst i kontoen. Nogle steder er det bogstaveligt. Indekssiden for Communications kan kun tilgås af en Super Admin, og kun en Super Admin kan gøre en anden bruger til Super Admin.

Rollen og sædet er to forskellige regnestykker. Har I et betalt abonnement, skal en Super Admin have enten et Core, Sales eller Service seat. Men rollen køber ikke funktioner. En Super Admin uden Sales Seat får ikke adgang til de Sales Hub Professional-funktioner, som sædet betaler for, og det overrasker jævnligt nye administratorer, der regner med at Super Admin dækker alt. Den anden vej rundt kan et Developer Seat slet ikke kombineres med Super Admin, hvilket ifølge HubSpots dokumentation om seats er en bevidst adskillelse mellem udviklerplatformen og forretningsdata.

Rollen tilsidesætter også partitionering. Det er den mekanisme, hvor I begrænser adgangen til et aktiv, en liste, et workflow eller en pipeline, til bestemte teams eller brugere. HubSpot skriver eksplicit i dokumentationen om at begrænse adgang til aktiver, at Super Admins fortsat kan se aktiver, selv når adgangen er spærret for andre. Har I bygget en adskillelse mellem to brands eller to landeorganisationer, gælder den altså ikke for de brugere, der har flueben i Super Admin.

Selve partitioneringen er i øvrigt tiersafhængig. Templates, sequences, dokumenter og pipelines kan begrænses fra Professional. Kampagner, dashboards, rapporter, properties, blogindlæg, domæner, landingssider, e-mails, formularer, segmenter, workflows, annoncer og HubDB kan først begrænses på Enterprise. Sidder I på Starter eller Professional og tænker at I løser adgangsstyringen med partitionering, holder planen ikke.

Permission sets er den strukturerede måde at håndtere de øvrige brugere på. Et permission set er en skabelon af rettigheder, I definerer én gang og tildeler til mange, og HubSpot tillader op til 100 af dem pr. konto. De kræver Enterprise på mindst ét hub, og kun en Super Admin kan oprette og redigere dem. Super Admin kan i øvrigt selv sættes som en valgmulighed inde i et permission set, så rollen kan uddeles på to måder.

Der er en asymmetri, som er værd at kende, når I uddelegerer brugeradministration. En bruger med tilladelsen Add and edit users kan kun tildele de rettigheder, personen selv har. En Super Admin er ikke bundet af den regel. Det betyder i praksis, at en delvist bemyndiget administrator aldrig kan give sig selv eller andre mere, end vedkommende allerede har, mens en Super Admin kan alt. Lægger I brugeradministrationen ud til en koordinator, er det den forskel, I skal kende.

Ingen hård grænse for antallet. HubSpot sætter ikke noget loft over hvor mange Super Admins en konto må have. Det eneste loft er kontoens samlede brugerantal, som ligger på 2.500. I HubSpots eget community er den gennemgående anbefaling fra erfarne administratorer at holde tallet på en håndfuld, med det argument at en enkelt Super Admin på få sekunder kan rulle års opsætningsarbejde tilbage. Vi ser typisk to til fire i en dansk SMV med 20 til 60 brugere.

Når I ændrer tilladelser, sker det ikke øjeblikkeligt. HubSpot angiver op til fem minutters forsinkelse, og brugeren skal logge ud og ind igen, før ændringen slår igennem. Det er en klassisk fejlkilde i fejlsøgning: en kollega melder at rettigheden ikke virker, og problemet er kun, at browsersessionen er gammel.

Endelig er der sporingen. Under Brugere og teams findes en historik over tilladelsesændringer, der viser hvilken tilladelse der blev tilføjet eller fjernet, hvem der gjorde det, og hvornår. Ifølge HubSpots dokumentation om historik for brugertilladelser dækker den de seneste 90 dage, den kan eksporteres, og den kan kun ses af Super Admins. Skal I længere tilbage end 90 dage, kræver det audit log-API’et, som kun er tilgængeligt på Enterprise-konti.

Vi hjælper danske B2B-virksomheder med at få styr på hvem der må hvad i HubSpot: kortlægning af eksisterende Super Admins og sæder, opbygning af permission sets og teams, partitionering mellem brands eller lande, og en dokumenteret proces for onboarding, offboarding og GDPR-sletninger. Skal I igennem en audit, eller er portalen bare vokset uden at nogen holdt styr på adgangen, så tag fat i os, og lad os kigge på jeres opsætning sammen.

Hvad danske B2B-teams bruger Super Admin til

I praksis er Super Admin ikke en rolle, folk sidder og bruger hele dagen. Den bliver aktiveret i bestemte situationer, og de fleste af dem handler om adgang, data og ansvar frem for om salg og marketing. De seks nedenfor er dem, vi oftest støder på hos danske virksomheder.

Implementering og ejerskab
Ved en ny HubSpot-implementering er det Super Admin, der bygger datamodellen, opretter pipelines, definerer lifecycle stages og forbinder integrationerne. En dansk produktionsvirksomhed, der flytter fra regneark til HubSpot, har typisk én intern Super Admin og én hos implementeringspartneren i de første måneder. Når projektet lukker, fjernes partnerens adgang, og det er netop dét skridt, der glemmes oftest.

Onboarding og offboarding af medarbejdere
Kun en Super Admin kan oprette nye brugere og tildele sæder. Når en sælger stopper, skal sædet frigøres, ejerskabet på deals flyttes, og e-mailforbindelsen kobles fra, ellers betaler I for et sæde, ingen bruger, og sekvenser sender fra en adresse, der ikke længere findes. I en virksomhed med 40 HubSpot-brugere og en personaleomsætning på 15 procent er det seks sæder om året, der skal håndteres.

Adskillelse mellem brands og lande
Skal den danske og den svenske afdeling ikke se hinandens kontakter, sættes det op med teams og partitionering, og opsætningen kræver Super Admin. En nordisk B2B-koncern med tre landeselskaber i samme HubSpot-portal bruger typisk teams til ejerskab, partitionerede lister til marketing og separate pipelines pr. land. Husk at Super Admins selv ser på tværs af opdelingen.

Bureau- og konsulentadgang
Arbejder I med et HubSpot-partnerbureau, kan deres medarbejdere få et Partner Seat, som er gratis og giver adgang til funktionerne. Det er Super Admin, der tildeler og fjerner det. Vi anbefaler at give bureauet Super Admin i en tidsbegrænset periode og skrive slutdatoen i kalenderen, i stedet for at lade adgangen ligge og løbe efter projektet.

GDPR-anmodninger og permanent sletning
Når en person beder om at blive slettet, skal sletningen være reel. HubSpot har en særskilt tilladelse, Permanently delete contacts, som HubSpots vejledning om GDPR-sletning beskriver. Sletningen tager op til 30 dage, kan ikke fortrydes, og kan kun laves én kontakt ad gangen, altså ikke via en liste eller et workflow. En dansk virksomhed med 200 sletteanmodninger om året skal altså planlægge tid til det.

Revision før audit
Skal I ISO 27001-certificeres eller igennem en kundes leverandørvurdering, bliver I spurgt om hvem der har administrativ adgang, og hvordan det dokumenteres. Historikken over tilladelsesændringer dækker 90 dage og kan eksporteres, og det rækker til de fleste spørgsmål. Skal I dokumentere længere tilbage, skal I selv gemme eksporterne løbende eller trække på Enterprise-loggen.

Fællestrækket ved de seks er, at de sjældent står i nogens jobbeskrivelse. Super Admin ender ofte hos den person, der var først inde i systemet, og bliver liggende der i årevis. Det fungerer, indtil personen skifter job.

Alternativer, priser og begrænsninger

Super Admin er ikke et produkt, I køber, så alternativerne findes på to niveauer. Enten vælger I en anden måde at styre adgang på inde i HubSpot, eller også sammenligner I HubSpots adgangsmodel med et andet CRM. Begge dele er relevante, hvis I står med et krav om rollebaseret adgangsstyring, som HubSpot ikke helt kan opfylde.

Permission sets i HubSpot
Den nærmeste erstatning for at uddele Super Admin er at bygge permission sets, der giver folk præcis det, de skal bruge. Det kræver Enterprise på mindst ét hub, og I kan lave op til 100 sæt. Fordelen er, at rettigheder bliver til en skabelon i stedet for et håndværk pr. bruger. Ulempen er, at ingen kombination af tilladelser giver adgang til alt det, Super Admin giver, så I kan ikke helt skrive rollen ud af organisationen.

Salesforce Sales Cloud
Salesforce har den mest finkornede adgangsmodel i feltet, med profiler, permission sets, permission set groups, rollehierarki og sharing rules, og en System Administrator-profil der svarer til Super Admin. Modellen kan stort set alt, men den kræver også en administrator, der kan den. Pr. september 2026 koster Sales Cloud fra 25 EUR pr. bruger pr. måned for Starter Suite og 195 EUR for Core-udgaven, hvor de fleste B2B-virksomheder lander, hvis de vil have rigtig adgangsstyring.

Microsoft Dynamics 365 Sales
Dynamics bygger på sikkerhedsroller i Dataverse med adgang pr. entitet, pr. felt og pr. forretningsenhed, og brugerne styres via Entra ID sammen med resten af Microsoft-miljøet. Er I allerede på Microsoft 365 og har en IT-afdeling, der administrerer identiteter centralt, er det en reel fordel. Pr. september 2026 koster Sales Professional 65 USD, Sales Enterprise 105 USD og Sales Premium 150 USD pr. bruger pr. måned ved årlig betaling.

Pipedrive
Pipedrive er det oplagte valg, hvis modellen skal være simpel. Der er admin-brugere, permission sets og visibility groups, og der er ikke ret meget mere at forstå. Pr. september 2026 koster Lite 14 USD, Growth 39 USD, Premium 59 USD og Ultimate 79 USD pr. bruger pr. måned, og den fleksible adgangsstyring på gruppe- og brugerniveau ligger fra Premium. Til gengæld får I hverken marketing automation, service eller CMS i samme portal.

HubSpot vinder på, at rollen er let at forstå og hurtig at tildele, og på at partitionering, teams og permission sets ligger i den samme grænseflade som resten af arbejdet. Platformen taber, når kravet er ægte rollebaseret adgangsstyring med feltniveau og forretningsenheder. HubSpot har ikke et rollehierarki i Salesforce-forstand, og Super Admin kan ikke begrænses. Har jeres complianceafdeling skrevet i politikken, at ingen enkeltbruger må kunne se alt, kan HubSpot ikke opfylde det krav med standardfunktionalitet.

Prismæssigt er selve rollen gratis. Der er ingen tillægspris for at gøre en bruger til Super Admin, og rollen findes også på den gratis version af CRM’et. Regningen kommer fra sædet og fra abonnementet. Pr. september 2026 koster Sales Hub Starter fra 7 USD pr. sæde pr. måned ved årlig betaling og 20 USD ved månedlig, Sales Hub Professional fra 90 USD og Sales Hub Enterprise fra 150 USD pr. sæde pr. måned ifølge HubSpots prisside for Sales Hub. Oveni ligger et engangsgebyr for onboarding på 1.500 USD på Professional og 3.500 USD på Enterprise.

På marketingsiden ser det anderledes ud, fordi sæderne følger med pakken. Pr. september 2026 starter Marketing Hub Professional på 800 USD om måneden med tre Core Seats og 2.000 marketing contacts inkluderet, og ekstra Core Seats koster fra 45 USD stykket. Marketing Hub Enterprise starter på 3.600 USD om måneden med fem Core Seats og 10.000 marketing contacts, og ekstra Core Seats koster fra 75 USD. Onboarding er 3.000 USD henholdsvis 7.000 USD som engangsbeløb.

Sædemodellen er der, det gør ondt, hvis I regner forkert. En Super Admin skal have et Core, Sales eller Service seat på en betalt konto, så I kan ikke parkere administratoren på et gratis sæde. View-Only Seats er til gengæld gratis og ubegrænsede på Starter, Professional og Enterprise, og til kolleger der kun skal se rapporter, er det den rigtige løsning frem for at købe et Core Seat.

Af hårde grænser er der få, men de betyder noget. En konto kan have op til 2.500 brugere, og der er ingen øvre grænse for hvor mange af dem der er Super Admins. Permission sets topper ved 100 pr. konto. Historikken over tilladelsesændringer går 90 dage tilbage. Login-aktivitet via API’et dækker ligeledes 90 dage, og selve audit log-endepunktet er forbeholdt Enterprise-konti og kræver scopet account-info.security.read.

Adgangsstyringen hænger tæt sammen med login. SSO er tilgængeligt fra Professional og Enterprise på tværs af hubs, og når I har sat det op, er kravet om at alle skal logge ind via SSO slået til som standard. HubSpot lægger automatisk den bruger, der slår kontakten til, på undtagelseslisten, og HubSpots vejledning til opsætning af SSO anbefaler at holde mindst én Super Admin udenfor, så I ikke er låst ude af jeres eget CRM, hvis identity provider’en er nede. Det råd er billigt at følge og dyrt at springe over.

Den danske og europæiske kontekst handler først og fremmest om, hvor data ligger, og hvem der kan flytte dem. HubSpot kører på AWS i USA øst og vest, Canada, Australien og EU, hvor EU-regionen ligger i Tyskland, og ifølge HubSpots FAQ om cloud-infrastruktur og datahosting kan konti med Starter, Professional eller Enterprise skifte datacenter. Nye konti tildeles et datacenter ud fra IP-adressen ved oprettelsen, hvilket for en dansk virksomhed normalt giver EU, men det er værd at tjekke frem for at antage.

GDPR-delen har to praktiske konsekvenser for rollen. Den ene er, at permanent sletning kræver en særskilt tilladelse, tager op til 30 dage og ikke kan fortrydes, så den bør ligge hos få og velbeskrevne personer. Den anden er sensitive data properties, som lader jer mærke felter med særligt følsomme oplysninger. De kræver Enterprise, og kun en Super Admin kan oprette og konfigurere dem. Har I helbredsdata eller lignende i CRM’et på Professional, findes funktionen ikke hos jer.

Der er to situationer, hvor arbejdet ikke kan betale sig. Har I under fem brugere, så hold det simpelt: to Super Admins og ellers almindelige tilladelser, uden partitionering og uden permission sets. Har I omvendt et reguleret miljø, hvor adgang skal kunne dokumenteres på feltniveau og ingen enkeltperson må kunne se alt, skal I regne på Salesforce eller Dynamics i stedet for at købe HubSpot Enterprise alene for adgangsstyringens skyld. Skal I have styr på rollefordelingen i en portal, I allerede har, hjælper vi gerne med at kortlægge den. Se vores arbejde med HubSpot for hvordan vi griber det an.