Użytkownicy i role

Moduł 3: Adres, https i użytkownicy · Czas czytania: 8 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili rozdzielić role i uprawnienia tak, aby każdy mógł robić tylko to, co jest mu potrzebne.

Kluczowe pojęcia: rola, capability (uprawnienie), administrator, redaktor, autor, współpracownik, subskrybent, minimalne uprawnienia, jedno konto na osobę, nazwa wyświetlana i nazwa użytkownika, hasło aplikacji, usuwanie użytkownika i przypisywanie treści

Role i uprawnienia

Każda osoba, która loguje się do Państwa witryny WordPress, ma przypisaną rolę. Rola to pakiet uprawnień (w języku WordPressa capabilities): czy ta osoba może pisać wpisy, zmieniać cudze wpisy, instalować wtyczki, tworzyć użytkowników? WordPress ma pięć domyślnych ról (polskie nazwy w nawiasach):

W sieci witryn (multisite) istnieje także rola superadministratora. Wtyczki czasami dodają własne role, na przykład Menedżer sklepu i Klient w WooCommerce, albo rolę do zarządzania SEO.

Proszę zwrócić uwagę na różnicę między autorem a redaktorem: autor ma dostęp tylko do własnych wpisów, redaktor do wszystkich. Redaktor nie może jednak instalować wtyczek ani zmieniać ustawień. I dokładnie o to chodzi.

Zasada: tyle uprawnień, ile potrzeba

Każde konto to potencjalne wejście dla włamywacza. Wyciek hasła subskrybenta nie wyrządza wielkiej szkody. Wyciek hasła administratora daje pełną kontrolę: włamywacz może przesłać wtyczkę ze złośliwym kodem i uzyskać dostęp do wszystkich plików oraz bazy danych witryny.

Dlatego każdej osobie proszę nadać najniższą rolę, z którą może wykonywać swoją pracę:

• Współpracownik z marketingu, który pisze blogi: autor lub redaktor, nie administrator.
• Stażysta dostarczający wiadomości: współpracownik; ktoś inny je publikuje.
• Twórca strony wykonujący jednorazowe zlecenie: tymczasowe konto administratora, które potem Państwo usuną lub obniżą do niższej roli.
• Dla siebie: proszę rozważyć dwa konta, administratora do konserwacji i redaktora do codziennego pisania. Osoba, która jako administrator otworzy zainfekowaną stronę lub kliknie fałszywy link, ujawnia więcej niż redaktor.

Kilka zasad, które warto przy tym stosować:

• Jedno konto na osobę. Nigdy wspólne konto typu „biuro” czy „redakcja”. Wtedy nie wiadomo, kto co zrobił, nie można odebrać dostępu jednej konkretnej osobie, a hasło krąży mailami i na karteczkach.
• Proszę robić porządki. Gdy ktoś odchodzi, proszę usunąć konto albo zmienić je na subskrybenta. Co kwartał proszę sprawdzić, jacy administratorzy istnieją (lekcja 9.4). Nieznany administrator to jeden z najwyraźniejszych sygnałów włamania (lekcja 7.5).
• Brak kont dla aplikacji, które ich nie potrzebują. Jeśli integracja (aplikacja, inny system) musi mieć dostęp do WordPressa, proszę użyć hasła aplikacji (patrz niżej).

Nazwa użytkownika i nazwa wyświetlana

Każde konto ma nazwę użytkownika (służącą do logowania, nie do zmiany) oraz nazwę wyświetlaną (widoczną przy wpisach, np. „Anna Kowalska”). Nazwę wyświetlaną wybiera się w profilu, w polu „Wyświetlaj nazwę publicznie jako”.

Czy nazwa użytkownika jest tajna? Nie do końca. WordPress w kilku miejscach pokazuje nazwę pochodną: w adresie archiwum autora (/author/lisa/) oraz we wpisie REST witryny (/wp-json/wp/v2/users), dla każdej osoby, która opublikowała wpis. Ta nazwa (slug) często jest identyczna z nazwą użytkownika. Włamywacz ma wtedy połowę tego, czego potrzebuje. Prawdziwa ochrona to silne hasło i uwierzytelnianie dwuskładnikowe (lekcja 7.3), ale nazwa użytkownika różniąca się od nazwy publicznej trochę pomaga. W lekcji 7.3 sprawdzą Państwo, co ujawnia Państwa witryna.

Hasła aplikacji

Od wersji WordPress 5.6 każdy profil ma na dole sekcję Hasła aplikacji. Pozwala ona utworzyć osobne hasło dla jednej integracji, na przykład aplikacji na telefonie lub systemu, który publikuje wpisy przez REST API. Zalety:

• Nie ujawniają Państwo swojego prawdziwego hasła.
• Można wycofać jedną integrację bez zmiany własnego hasła.
• Hasło aplikacji nie działa do logowania w zwykłym panelu administracyjnym.

Hasło aplikacji ma te same uprawnienia co konto. Proszę więc je utworzyć na koncie z odpowiednią (niską) rolą. Jeśli nie korzystają Państwo z integracji, hasła te nie są potrzebne.

Usuwanie kogoś

Gdy usuwają Państwo użytkownika, który napisał wpisy, WordPress zapyta, co zrobić z tą treścią:

• Skasuj całą treść: wszystkie wpisy i strony tej osoby zostaną usunięte. Prawie nigdy nie jest to pożądane.
• Przypisanie całej treści do innego użytkownika: wpisy pozostają, z nowym użytkownikiem jako autorem.

Niemal zawsze proszę wybrać drugą opcję. Chcą Państwo zachować nazwisko poprzedniego autora przy wpisach? Wtedy lepiej obniżyć konto do subskrybenta i nadać mu nowe, długie hasło, zamiast je usuwać.

W praktyce: jak to wygląda w panelu

W panelu administracyjnym WordPressa:

1. Użytkownicy > Wszyscy użytkownicy: u góry widać liczbę kont w każdej roli. Proszę kliknąć Administrator, aby zobaczyć tylko administratorów.
2. Użytkownicy > Dodaj nowego: proszę wpisać nazwę użytkownika i e-mail oraz wybrać rolę. Lepiej niech WordPress wyśle link do ustawienia hasła, zamiast samodzielnie wysyłać hasło mailem.
3. Profil: wybór nazwy wyświetlanej, a na dole zarządzanie hasłami aplikacji.

Podsumowanie

• Rola to pakiet uprawnień; WordPress ma administratora, redaktora, autora, współpracownika i subskrybenta.
• Proszę nadawać każdemu najniższą rolę umożliwiającą wykonanie jego pracy i utrzymywać małą liczbę administratorów.
• Jedno konto na osobę, nigdy wspólne; proszę usuwać konta osób, które odchodzą.
• Nazwy użytkowników nie są tajne; prawdziwą ochronę zapewnia silne hasło i uwierzytelnianie dwuskładnikowe.
• Przy usuwaniu konta proszę przypisać treść innej osobie; hasła aplikacji służą do integracji.

Quiz

Zadanie

Zadanie D3.3: Audyt ról w witrynie. Proszę otworzyć Użytkownicy > Wszyscy użytkownicy i sporządzić listę: dla każdego konta rolę, czy osoba jest nadal aktywna i jakiej roli faktycznie potrzebuje. Proszę podać, ilu administratorów było i ilu zostało po porządkach. Proszę zaznaczyć: brak wspólnych kont, brak nieznanych administratorów, osoby, które odeszły, usunięte lub obniżone (z przypisaniem treści), nieużywane hasła aplikacji wycofane. Proszę wyjaśnić w jednym zdaniu, dlaczego mają Państwo (lub nie) osobne konto redaktora dla siebie.

Więcej informacji

Poniższe artykuły opisują kroki w panelach WebOké; w innych panelach działają one w podobny sposób.

• Instrukcja DirectAdmin 3.7: Bezpieczne hasła i co zrobić w przypadku wycieku hasła
• Nie mogę zalogować się do WordPressa: co teraz zrobić?
• Role i uprawnienia (wordpress.org, w języku angielskim): https://wordpress.org/documentation/article/roles-and-capabilities/