diff --git a/docker-entrypoint.sh b/docker-entrypoint.sh
index 5b62671..e6afebe 100644
--- a/docker-entrypoint.sh
+++ b/docker-entrypoint.sh
@@ -29,7 +29,6 @@ write_env "DB_PASS" "${DB_PASS:-password}"
 # Aplicación
 write_env "SITE_URL" "${SITE_URL:-http://localhost}"
 write_env "TIMEZONE" "${TIMEZONE:-America/Mexico_City}"
-write_env "CAOS_BASE_URL" "${CAOS_BASE_URL}" # Soporte opcional legacy/custom
 
 # Sesión
 write_env "SESSION_NAME" "${SESSION_NAME:-ibiza_session}"
diff --git a/public/admin/usuarios.php b/public/admin/usuarios.php
index ff20431..4ef6a22 100644
--- a/public/admin/usuarios.php
+++ b/public/admin/usuarios.php
@@ -89,18 +89,26 @@ $users = $controller->index(); // Maneja POST internamente y retorna lista para
                                 </td>
                                 <td>
                                     <div class="flex">
-                                        <button onclick='editUser(<?= json_encode($u) ?>)' class="btn btn-sm btn-secondary">Editar</button>
+                                        <?php 
+                                        $canManage = $_SESSION['role'] === 'admin' || ($_SESSION['role'] === 'coordinador' && $u['role'] !== 'admin');
+                                        ?>
                                         
-                                        <form method="POST" style="display:inline;">
-                                            <input type="hidden" name="csrf_token" value="<?= csrfToken() ?>">
-                                            <input type="hidden" name="action" value="toggle">
-                                            <input type="hidden" name="id" value="<?= $u['id'] ?>">
-                                            <?php if ($u['active']): ?>
-                                                <button type="submit" class="btn btn-sm btn-danger">Desactivar</button>
-                                            <?php else: ?>
-                                                <button type="submit" class="btn btn-sm btn-success">Activar</button>
-                                            <?php endif; ?>
-                                        </form>
+                                        <?php if ($canManage): ?>
+                                            <button onclick='editUser(<?= json_encode($u) ?>)' class="btn btn-sm btn-secondary">Editar</button>
+                                            
+                                            <form method="POST" style="display:inline;">
+                                                <input type="hidden" name="csrf_token" value="<?= csrfToken() ?>">
+                                                <input type="hidden" name="action" value="toggle">
+                                                <input type="hidden" name="id" value="<?= $u['id'] ?>">
+                                                <?php if ($u['active']): ?>
+                                                    <button type="submit" class="btn btn-sm btn-danger">Desactivar</button>
+                                                <?php else: ?>
+                                                    <button type="submit" class="btn btn-sm btn-success">Activar</button>
+                                                <?php endif; ?>
+                                            </form>
+                                        <?php else: ?>
+                                            <span class="badge badge-secondary">Solo lectura</span>
+                                        <?php endif; ?>
                                     </div>
                                 </td>
                             </tr>
@@ -139,7 +147,9 @@ $users = $controller->index(); // Maneja POST internamente y retorna lista para
                     <select name="role" class="form-control">
                         <option value="ayudante">Ayudante</option>
                         <option value="coordinador">Coordinador</option>
-                        <option value="admin">Administrador</option>
+                        <?php if ($_SESSION['role'] === 'admin'): ?>
+                            <option value="admin">Administrador</option>
+                        <?php endif; ?>
                     </select>
                 </div>
                 
@@ -180,7 +190,9 @@ $users = $controller->index(); // Maneja POST internamente y retorna lista para
                     <select name="role" id="edit_role" class="form-control">
                         <option value="ayudante">Ayudante</option>
                         <option value="coordinador">Coordinador</option>
-                        <option value="admin">Administrador</option>
+                        <?php if ($_SESSION['role'] === 'admin'): ?>
+                            <option value="admin">Administrador</option>
+                        <?php endif; ?>
                     </select>
                 </div>
                 
diff --git a/public/partials/navbar.php b/public/partials/navbar.php
index a46e92d..2fae504 100644
--- a/public/partials/navbar.php
+++ b/public/partials/navbar.php
@@ -17,8 +17,10 @@ $user = $auth->getCurrentUser();
         <a href="<?= siteUrl('rotaciones.php') ?>" class="nav-link">Rotaciones</a>
         <a href="<?= siteUrl('horarios.php') ?>" class="nav-link">Horarios</a>
         
-        <?php if ($auth->isAdmin()): ?>
+        <?php if ($auth->hasRole(['admin', 'coordinador'])): ?>
             <a href="<?= siteUrl('admin/usuarios.php') ?>" class="nav-link">Usuarios</a>
+        <?php endif; ?>
+        <?php if ($auth->isAdmin()): ?>
             <a href="<?= siteUrl('admin/telegram.php') ?>" class="nav-link">Telegram</a>
         <?php endif; ?>
         
diff --git a/public/rotaciones.php b/public/rotaciones.php
index e487fe0..2a5e8fc 100644
--- a/public/rotaciones.php
+++ b/public/rotaciones.php
@@ -12,8 +12,8 @@ $auth = new AuthService();
 $controller = new AssignmentController();
 $assignments = $controller->index();
 
-// Si se envia formulario de generación (Solo Admin)
-if (isPost() && $auth->isAdmin()) {
+// Si se envia formulario de generación (Admin o Coordinador)
+if (isPost() && ($auth->isAdmin() || $auth->isCoordinador())) {
     $controller->generate();
 }
 ?>
@@ -42,10 +42,10 @@ if (isPost() && $auth->isAdmin()) {
             <div class="alert alert-error"><?= e($msg) ?></div>
         <?php endif; ?>
 
-        <!-- Panel de Administración (Solo Admin) -->
-        <?php if ($auth->isAdmin()): ?>
+        <!-- Panel de Administración (Admin y Coordinador) -->
+        <?php if ($auth->isAdmin() || $auth->isCoordinador()): ?>
             <div class="card" style="border: 1px solid #cbd5e1; background: #f8fafc;">
-                <h3 class="card-title" style="font-size: 1rem; margin-bottom: 1rem;">⚙️ Panel de Generación (Solo Administrador)</h3>
+                <h3 class="card-title" style="font-size: 1rem; margin-bottom: 1rem;">⚙️ Panel de Generación</h3>
                 <form method="POST" onsubmit="return confirm('¿Estás seguro de generar nuevas rotaciones?')">
                     <input type="hidden" name="csrf_token" value="<?= csrfToken() ?>">
                     <div style="display: flex; gap: 1rem; align-items: center;">
diff --git a/src/Controllers/AssignmentController.php b/src/Controllers/AssignmentController.php
index 02d2ce9..71f1d5c 100644
--- a/src/Controllers/AssignmentController.php
+++ b/src/Controllers/AssignmentController.php
@@ -34,8 +34,8 @@ class AssignmentController
     
     public function generate()
     {
-        // Solo Admin
-        RoleMiddleware::admin();
+        // Permitir a Administradores y Coordinadores
+        RoleMiddleware::coordinador();
         
         if (isPost()) {
             if (!verifyCsrfToken(post('csrf_token'))) {
diff --git a/src/Controllers/UserController.php b/src/Controllers/UserController.php
index 6b559c0..f117064 100644
--- a/src/Controllers/UserController.php
+++ b/src/Controllers/UserController.php
@@ -11,8 +11,8 @@ class UserController
     
     public function __construct()
     {
-        // Solo administradores pueden gestionar usuarios
-        RoleMiddleware::admin();
+        // Permitir a administradores y coordinadores
+        RoleMiddleware::coordinador();
         $this->userModel = new User();
     }
     
@@ -59,6 +59,11 @@ class UserController
             'active' => 1
         ];
         
+        if ($_SESSION['role'] === 'coordinador' && post('role') === 'admin') {
+            flash('error', 'No tienes permiso para crear administradores');
+            redirect(siteUrl('admin/usuarios.php'));
+        }
+
         if ($this->userModel->create($data)) {
             flash('success', 'Usuario creado correctamente');
         } else {
@@ -93,6 +98,19 @@ class UserController
             $data['password'] = post('password');
         }
         
+        $targetUser = $this->userModel->findById($id);
+        if (!$targetUser) {
+            flash('error', 'Usuario no encontrado');
+            redirect(siteUrl('admin/usuarios.php'));
+        }
+
+        if ($_SESSION['role'] === 'coordinador') {
+            if ($targetUser['role'] === 'admin' || post('role') === 'admin') {
+                flash('error', 'No tienes permiso para modificar administradores');
+                redirect(siteUrl('admin/usuarios.php'));
+            }
+        }
+        
         if ($this->userModel->update($id, $data)) {
             flash('success', 'Usuario actualizado correctamente');
         } else {
@@ -111,8 +129,13 @@ class UserController
         if ($id == $_SESSION['user_id']) {
             flash('error', 'No puedes desactivar tu propia cuenta');
         } else {
-            $this->userModel->toggleActive($id);
-            flash('success', 'Estado del usuario actualizado');
+            $targetUser = $this->userModel->findById($id);
+            if ($_SESSION['role'] === 'coordinador' && $targetUser && $targetUser['role'] === 'admin') {
+                flash('error', 'No tienes permiso para desactivar administradores');
+            } else {
+                $this->userModel->toggleActive($id);
+                flash('success', 'Estado del usuario actualizado');
+            }
         }
         
         redirect(siteUrl('admin/usuarios.php'));
@@ -130,10 +153,13 @@ class UserController
         if ($id == $_SESSION['user_id']) {
             flash('error', 'No puedes eliminar tu propia cuenta');
         } else {
-            // Nota: User::delete no está implementado en el ejemplo anterior si no se usó BaseModel, 
-            // pero BaseModel tiene delete(). Verificar herencia.
-            $this->userModel->delete($id);
-            flash('success', 'Usuario eliminado');
+            $targetUser = $this->userModel->findById($id);
+            if ($_SESSION['role'] === 'coordinador' && $targetUser && $targetUser['role'] === 'admin') {
+                flash('error', 'No tienes permiso para eliminar administradores');
+            } else {
+                $this->userModel->delete($id);
+                flash('success', 'Usuario eliminado');
+            }
         }
         
         redirect(siteUrl('admin/usuarios.php'));