3 modulis · 3.3
Vartotojai ir rolės
3 modulis: Adresas, https ir naudotojai · Skaitymo trukmė: 8 min.
Mokymosi tikslas: Po šios pamokos galėsite paskirstyti roles ir teises taip, kad kiekvienas galėtų daryti tik tai, ko jam reikia.
Pagrindinės sąvokos: rolė, capability (teisė), administratorius, redaktorius, autorius, rašytojas, prenumeratorius, mažiausios teisės, viena paskyra vienam asmeniui, ekrano vardas ir vartotojo vardas, programos slaptažodis, vartotojo trynimas ir turinio priskyrimas
Rolės ir teisės
Kiekvienas, kuris prisijungia prie Jūsų WordPress svetainės, turi rolę. Rolė yra teisių rinkinys (WordPress terminologijoje capabilities): ar šis asmuo gali rašyti įrašus, redaguoti kitų įrašus, diegti įskiepius, kurti vartotojus? WordPress turi penkias numatytąsias roles (lietuviškas pavadinimas skliausteliuose):
| Rolė | Ką ši rolė gali | Tipiška |
|---|---|---|
| Administrator (Administratorius) | Viską: temas, įskiepius, vartotojus, nustatymus, visą turinį | Vienas ar du žmonės, techniškai administruojantys svetainę |
| Editor (Redaktorius) | Kurti, redaguoti, publikuoti ir trinti visus įrašus bei puslapius, taip pat ir kitų asmenų; tvarkyti komentarus | Tam, kas prižiūri viso tinklalapio turinį |
| Author (Autorius) | Rašyti savo įrašus, įkelti nuotraukas ir juos publikuoti | Nuolatiniam rašytojui |
| Contributor (Rašytojas) | Rašyti savo įrašus, bet negali jų publikuoti ar įkelti failų | Svečio rašytojui, kurio tekstai yra peržiūrimi |
| Subscriber (Prenumeratorius) | Gali tvarkyti tik savo profilį | Nariams, kurie turi prisijungti, kad galėtų ką nors perskaityti |
Svetainių tinkle (multisite) taip pat yra superadministratorius. Įskiepiai kartais prideda savo roles, pavyzdžiui, Parduotuvės vadybininkas ir Klientas naudojant WooCommerce, arba rolę SEO valdymui.
Atkreipkite dėmesį į skirtumą tarp autoriaus ir redaktoriaus: autorius gali tvarkyti tik savo įrašus, o redaktorius visus. Ir redaktorius negali diegti įskiepių ar keisti nustatymų. Būtent toks ir yra sumanymas.
Principas: kuo mažiau teisių, tiek, kiek reikia
Kiekviena paskyra yra galima įsilaužėlio įėjimo vieta. Nutekėjęs prenumeratoriaus slaptažodis padaro mažai žalos. Nutekėjęs administratoriaus slaptažodis suteikia visišką kontrolę: įsilaužėlis gali įkelti įskiepį su kenkėjišku kodu ir taip pasiekti visus Jūsų svetainės failus bei duomenų bazę.
Todėl kiekvienam suteikite žemiausią rolę, su kuria jis gali atlikti savo darbą:
- Rinkodaros kolegai, rašančiam tinklaraščio įrašus: autorius arba redaktorius, ne administratorius.
- Stažuotojui, teikiančiam naujienų pranešimus: rašytojas; kažkas kitas publikuoja.
- Svetainių kūrėjui, atliekančiam vienkartinį darbą: laikina administratoriaus paskyra, kurią vėliau ištrinate arba pažeminkite.
- Sau: apsvarstykite dvi paskyras, administratoriaus priežiūrai ir redaktoriaus kasdieniam rašymui. Kas peržiūri užkrėstą puslapį ar paspaudžia netikrą nuorodą kaip administratorius, atskleidžia daugiau negu redaktorius.
Keletas susijusių taisyklių:
- Viena paskyra vienam asmeniui. Niekada bendra paskyra, vadinama „biuras“ arba „redakcija“. Tuomet nežinote, kas ką padarė, negalite atimti prieigos iš vieno asmens atskirai, o slaptažodis keliauja el. laiškais ir raštelių pavidalu.
- Susitvarkykite. Kai kas nors išeina, ištrinkite paskyrą arba pakeiskite ją į prenumeratorių. Kas ketvirtį peržiūrėkite, kokie administratoriai yra (9.4 pamoka). Nežinomas administratorius yra vienas iš aiškiausių įsilaužimo požymių (7.5 pamoka).
- Jokių paskyrų programoms, kurioms jų nereikia. Jeigu integracijai (programėlei, kitai sistemai) reikia prieigos prie WordPress, naudokite programos slaptažodį (žr. žemiau).
Vartotojo vardas ir ekrano vardas
Kiekviena paskyra turi vartotojo vardą (kuriuo prisijungiate, jo keisti negalima) ir ekrano vardą (kuris rodomas prie Jūsų įrašų, pavyzdžiui, „Jonas Jonaitis“). Ekrano vardą pasirinkite profilyje, lauke „Viešai rodyti kaip“.
Ar Jūsų vartotojo vardas yra paslaptis? Ne visai. WordPress keliose vietose rodo iš jo kildinamą vardą: autoriaus archyvo adrese (/author/lisa/) ir svetainės REST sąsajoje (/wp-json/wp/v2/users), kiekvienam, kuris paskelbė bent vieną įrašą. Tas vardas (slug) dažnai sutampa su vartotojo vardu. Taip įsilaužėlis jau turi pusę to, ko jam reikia. Tikra apsauga yra stiprus slaptažodis ir dviejų veiksnių autentifikavimas (7.3 pamoka), tačiau vartotojo vardas, kuris nesutampa su Jūsų viešu vardu, šiek tiek padeda. 7.3 pamokoje patikrinsite, ką atskleidžia Jūsų svetainė.
Programos slaptažodžiai
Nuo WordPress 5.6 versijos kiekvieno profilio apačioje yra Programos slaptažodžiai. Jais sukuriate atskirą slaptažodį vienai integracijai, pavyzdžiui, programėlei telefone arba sistemai, kuri skelbia įrašus per REST API. Privalumai:
- Neatskleidžiate savo tikrojo slaptažodžio.
- Galite atšaukti vieną integraciją, nekeisdami savo paties slaptažodžio.
- Programos slaptažodis netinka prisijungti prie įprasto administravimo skydelio.
Programos slaptažodis turi tokias pačias teises kaip ir paskyra. Todėl jį kurkite paskyroje su tinkama (žema) role. Jeigu nenaudojate integracijų, jų Jums nereikia.
Kažkieno šalinimas
Jeigu trinate vartotoją, kuris rašė įrašus, WordPress paklaus, ką daryti su tuo turiniu:
- Ištrinti visą turinį: visi to asmens įrašai ir puslapiai bus pašalinti. Beveik niekada tai nėra tai, ko norite.
- Priskirti visą turinį kitam vartotojui: įrašai lieka, o autoriumi tampa naujas vartotojas.
Beveik visada rinkitės antrą variantą. Norite išsaugoti seno autoriaus vardą prie įrašų? Tuomet pažeminkite paskyrą iki prenumeratoriaus ir suteikite jai naują, ilgą slaptažodį, užuot ją ištrynę.
Praktikoje: kaip tai atrodo skydelyje
WordPress administravimo skydelyje:
- Vartotojai > Visi vartotojai: viršuje nurodyta, kiek paskyrų priklauso kiekvienai rolei. Spustelėkite Administratorius, kad matytumėte tik administratorius.
- Vartotojai > Naujas vartotojas: įveskite vartotojo vardą bei el. paštą ir pasirinkite rolę. Leiskite WordPress išsiųsti slaptažodžio nuorodą, užuot patys siuntę slaptažodį el. paštu.
- Profilis: pasirinkite ekrano vardą ir apačioje tvarkykite programos slaptažodžius.
Santrauka
- Rolė yra teisių rinkinys; WordPress turi administratorių, redaktorių, autorių, rašytoją ir prenumeratorių.
- Kiekvienam suteikite žemiausią rolę, su kuria jis gali atlikti savo darbą, ir laikykite administratorių skaičių mažą.
- Viena paskyra vienam asmeniui, niekada bendra; sutvarkykite paskyras, kai kas nors išeina.
- Vartotojų vardai nėra paslaptis; tikra apsauga yra stiprus slaptažodis ir dviejų veiksnių autentifikavimas.
- Trindami priskirkite turinį kitam asmeniui; programos slaptažodžius naudokite integracijoms.
Testas (quiz)
Užduotis
Užduotis D3.3: Jūsų svetainės vartotojų rolių auditas. Atverkite Vartotojai > Visi vartotojai ir sudarykite sąrašą: kiekvienai paskyrai nurodykite rolę, ar asmuo vis dar aktyvus ir kokia rolė jam iš tikrųjų reikalinga. Įrašykite, kiek administratorių turėjote ir kiek liko po tvarkymosi. Pažymėkite: nėra bendrų paskyrų, nėra nežinomų administratorių, išėję asmenys ištrinti arba pažeminti (priskyrus turinį), nenaudojami programos slaptažodžiai atšaukti. Vienu sakiniu paaiškinkite, kodėl sau skiriate ar neskiriate atskirą redaktoriaus paskyrą.
Užduotis D3.3: Jūsų svetainės vartotojų rolių auditas
Šią užduotį atliekate patys; niekas jos netikrina. Pažymėkite, ką atlikote, ir pažymėkite užduotį kaip atliktą.
Administratorių skaičius po patikros nėra didesnis nei prieš ją, o priežastis nurodo „kuo mažiau teisių, tiek, kiek reikia“: kas tik rašo, tam administratoriaus rolė nereikalinga.
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Papildoma literatūra
Šiuose straipsniuose aprašyti veiksmai WebOké skydeliuose; kituose skydeliuose jie veikia panašiai.