Модул 3 · 3.3
Потребители и роли @@OMSCHRИПИС@@
Модул 3: Адрес, https и потребители · Време за четене: 8 минути
Учебна цел: След този урок ще можете да разпределяте роли и права така, че всеки да може само това, което му е нужно за работата.
Ключови понятия: роля, capability (право), беheerder (администратор), redacteur (редактор), auteur (автор), schrijver (сътрудник), abonnee (абонат), минимум права, един акаунт на човек, публично име и потребителско име, applicatiewachtwoord (парола за приложение), изтриване на потребител и прехвърляне на съдържание
Роли и права
Всеки, който влиза в системата на Вашия уебсайт с WordPress, има роля. Ролята е пакет от права (на езика на WordPress: capabilities): може ли този човек да пише публикации, да редактира чужди публикации, да инсталира разширения, да създава потребители? WordPress има пет стандартни роли (имената, както се показват в интерфейса):
| Роля | Какво може тази роля | Типично за |
|---|---|---|
| Administrator (Беheerder) | Всичко: теми, разширения, потребители, настройки, цялото съдържание | Един или двама души, които технически управляват сайта |
| Editor (Redacteur) | Да създава, редактира, публикува и изтрива всички публикации и страници, включително на други; управление на коментари | Който поддържа съдържанието на целия сайт |
| Author (Auteur) | Да пише собствени публикации, да качва изображения и да публикува | Постоянен автор |
| Contributor (Schrijver) | Да пише собствени публикации, но не може да публикува и качва файлове | Гост автор, чиито текстове се преглеждат |
| Subscriber (Abonnee) | Може да управлява само собствения си профил | Членове, които трябва да влязат в системата, за да прочетат нещо |
При мрежа от сайтове (multisite) съществува и ролята суперадминистратор. Разширенията понякога добавят собствени роли, като Winkelmanager (Shop Manager) и Klant (Customer) при WooCommerce, или роля за управление на SEO.
Обърнете внимание на разликата между автор и редактор: авторът може да работи само по собствените си публикации, редакторът по всичко. А редакторът не може да инсталира разширения или да променя настройки. Точно това е целта.
Принципът: толкова права, колкото е необходимо
Всеки акаунт е потенциална входна точка за нападател. Изтекла парола на абонат причинява малко вреда. Изтекла парола на администратор дава пълен контрол: нападателят може да качи разширение със злонамерен код и по този начин да получи достъп до всички файлове и базата данни на Вашия сайт.
Затова давайте на всеки най-ниската роля, с която той може да изпълнява работата си:
- Колегата от маркетинга, който пише блогове: автор или редактор, не администратор.
- Стажантът, който подава новини: сътрудник (schrijver); друг публикува.
- Разработчикът, който идва да свърши нещо еднократно: временен администраторски акаунт, който изтривате или понижавате след това.
- Самите Вие: обмислете два акаунта, администратор за поддръжка и редактор за ежедневното писане. Ако влезете като администратор в заразена страница или кликнете на фалшив линк, рискът е по-голям, отколкото при редактор.
Няколко правила, които вървят с това:
- Един акаунт на човек. Никога споделен акаунт "офис" или "редакция". Иначе не знаете кой какво е направил, не можете да отнемете достъпа на конкретен човек, а паролата се разпространява чрез имейли и бележки.
- Разчиствайте редовно. Когато някой напусне, изтрийте акаунта или го понижете до абонат. Проверявайте всяко тримесечие кои администратори има (урок 9.4). Непознат администратор е един от най-ясните признаци на хакване (урок 7.5).
- Никакви акаунти за приложения, които не се нуждаят от тях. Ако дадена връзка (приложение, друга система) трябва да има достъп в WordPress, използвайте парола за приложение (вижте по долу).
Потребителско име и публично име
Всеки акаунт има потребителско име (с което влизате в системата, не може да се променя) и публично име (което се показва при публикациите Ви, например "Лиза Иванова"). Изберете публичното име в профила, под "Показвай публично като".
Тайно ли е Вашето потребителско име? Не съвсем. WordPress показва на няколко места производно име: в адреса на архива на автора (/author/lisa/) и в REST входа на сайта (/wp-json/wp/v2/users), за всеки, който е публикувал материал. Това име (slug) често съвпада с потребителското име. Така нападателят вече разполага с половината от нужната му информация. Истинската защита се крие в силна парола и двуфакторно удостоверяване (урок 7.3), но потребителско име, различно от публичното Ви име, помага донякъде. В урок 7.3 ще проверите какво показва Вашият сайт.
Пароли за приложения (Applicatiewachtwoorden)
От WordPress 5.6 насам всеки профил има в долната си част Applicatiewachtwoorden. С тях създавате отделна парола за една конкретна връзка, например приложение на телефона Ви или система, която публикува материали чрез REST API. Предимства:
- Не разкривате истинската си парола.
- Можете да оттеглите една връзка, без да променяте собствената си парола.
- Парола за приложение не работи за вход в обикновеното Табло.
Паролата за приложение има същите права като акаунта. Затова я създавайте при акаунт с подходяща (ниска) роля. Ако не използвате такива връзки, не Ви трябват.
Изтриване на потребител
Когато изтривате потребител, който е писал публикации, WordPress пита какво да се случи с това съдържание:
- Изтриване на цялото съдържание: всички публикации и страници на този човек изчезват. Почти никога не е това, което искате.
- Прехвърляне на цялото съдържание към друг потребител: публикациите остават, с новия потребител като автор.
Почти винаги изберете втората опция. Искате ли името на стария автор да остане при публикациите? Тогава понижете акаунта до абонат и му задайте нова, дълга парола, вместо да го изтривате.
На практика: така изглежда в панела
В Таблото на WordPress:
- Потребители > Всички потребители: отгоре се показва броят на акаунтите по роли. Кликнете на Беheerder, за да видите само администраторите.
- Потребители > Нов потребител: въведете потребителско име и имейл и изберете роля. Оставете WordPress да изпрати линк за парола, вместо сами да изпращате парола по имейл.
- Профил: изберете публично име и в долната част управлявайте паролите за приложения.
Обобщение
- Ролята е пакет от права; WordPress има администратор, редактор, автор, сътрудник и абонат.
- Давайте на всеки най-ниската роля, с която той може да изпълнява работата си, и пазете броя на администраторите малък.
- Един акаунт на човек, никога споделен; разчиствайте акаунтите, когато някой напусне.
- Потребителските имена не са тайна; истинската защита е силна парола и двуфакторно удостоверяване.
- При изтриване прехвърляте съдържанието на друг човек; паролите за приложения се използват за връзки.
Тест
Задача
Задача D3.3: Одит на ролите на Вашия сайт. Отворете Потребители > Всички потребители и направете списък: за всеки акаунт ролята, дали човекът все още е активен и каква роля всъщност му е нужна. Попълнете колко администратори имахте и колко остават след разчистването. Отбележете: няма споделени акаунти, няма непознати администратори, заминалите хора са изтрити или понижени (с прехвърлено съдържание), неизползваните пароли за приложения са оттеглени. Обяснете с едно изречение защо давате или не давате на себе си отделен редакторски акаунт.
Задача D3.3: Одит на ролите на Вашия сайт
Тази задача изпълнявате сами; никой не я проверява. Отбележете какво сте направили и маркирайте задачата като изпълнена.
Броят на администраторите след прегледа не е по-голям от преди, а причината Ви се позовава на „толкова права, колкото са необходими“: който само пише, няма нужда от роля администратор.
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Допълнително четене
Тези статии описват стъпките в панелите на WebOké; в други панели работят по подобен начин.