Cum să utilizați rolurile de utilizator WordPress pentru o securitate îmbunătățită WordPress

Ca sistem de gestionare a conținutului, WordPress are un set de roluri de utilizator. În esență, aceste roluri de utilizator WordPress definesc capacitățile (permisiunile de a efectua sarcini specifice site-ului) ale fiecărui utilizator individual de pe site-ul dvs.

Pe măsură ce site-ul dvs. crește, este esențial să înțelegeți aceste roluri și capacități pentru a asigura securitatea continuă a site-ului dvs. Deoarece atribuirea unor roluri de utilizator greșite poate duce la consecințe dezastruoase.

În acest articol, vom sublinia care sunt rolurile utilizatorului (inclusiv roluri personalizate), astfel încât să știți cum să le atribuiți corect. Vom aborda, de asemenea, cum să utilizați pluginurile WordPress pentru a gestiona și monitoriza activitatea utilizatorilor dvs. WordPress.

Elementele de bază ale rolurilor de utilizator WordPress

Tipul de acces pe care îl aveți la un site WordPress este determinat de rolul pe care îl aveți și, prin urmare, de capacitățile care vi se oferă.

• Un „rol” este un grup/listă predefinită de capabilități. Ca utilizator vi se atribuie apoi un rol, care determină ce capacități aveți.
• „Capacitățile” sunt în esență ceea ce poate face acel rol de utilizator (publica postări, schimba setările etc.)

De exemplu, un Editor este un rol de utilizator care are capabilități precum moderarea comentariilor, publicarea conținutului și crearea de conținut nou, pentru a numi câteva. Pe un site web de știri sau blog mai mare, este normal să aveți mai mulți Editori, fiecare responsabil de secțiunile tematice respective.

În timp ce unele plugin-uri adaugă roluri personalizate de utilizator WordPress (vom trece la asta în curând), există șase roluri implicite de utilizator cu fiecare site WordPress standard. Acestea sunt după cum urmează:

• Super Administrator
• Administrator
• Editor
• Autor
• Colaborator
• Abonat

Înțelegerea ierarhiei capabilităților rolului utilizatorului WordPress

Este important să înțelegem că structura rolurilor este ierarhică. Fiecare rol de utilizator are capabilitățile poziției (posturilor) de sub el, cu adăugarea unor capacități specifice rolului.

De exemplu, să ne uităm la partea de jos a piramidei rolului utilizatorului, Abonatul. Un rol de abonat are atașată doar capacitatea de „citire” (ceea ce înseamnă că pot citi doar postările de pe site-ul tău).

Să trecem la următorul nivel de rol de utilizator, Contributor. Acest rol are capacitatea de „citire”, dar are și capabilitățile „edit_posts” și „delete_posts”. Aceasta înseamnă că își pot edita și șterge propriile postări.

Rolul de utilizator Autor are capabilitățile atât de Abonat, cât și de Contributor, cu următoarele privilegii suplimentare atribuite:

• Delete_publish_posts
• Publicați_postări
• Încărca fișiere
• Editați_postările_publicate

După cum puteți vedea, capacitățile cresc cu cât structura rolurilor utilizatorului vă mutați mai sus, Super Administrator având cel mai mare set de privilegii. Așa că să ne uităm la fiecare rol puțin mai detaliat, în ordine descrescătoare.

Rol de Super Administrator WordPress

WordPress Super Administrator este rolul de utilizator WordPress de cel mai înalt nivel, așa că, prin urmare, au toate capabilitățile disponibile. Diferența dintre un Super Administrator și un Administrator este că aceste capabilități pot fi transferate pe site-uri dintr-o rețea multisite WordPress.

Pentru claritate, iată diferența dintre diferitele site-uri/rețele WordPress:

Rețea multisite WordPress – un tip de instalare WordPress care vă permite să creați și să gestionați o rețea de mai multe site-uri web dintr-un singur tablou de bord WordPress.
Un site WordPress într-o rețea cu mai multe site-uri (site copil) – un site WordPress în rețeaua dumneavoastră cu mai multe site-uri. Acest site copil partajează pluginurile și tema altor site-uri din rețea, dar poate avea propria temă secundară.
Un site WordPress de sine stătător – un site de sine stătător este instalarea dvs. WordPress obișnuită. Are propriul set unic de plugin-uri, setări și teme.

Un Super Administrator (se găsește numai în rețelele cu mai multe site-uri) poate crea și gestiona subsite-uri, poate crea și gestiona utilizatorii de rețea, poate instala și elimina teme și pluginuri și le poate activa chiar în rețea.

De exemplu, să presupunem că operați o rețea de trei magazine de comerț electronic, fiecare se concentrează pe un anumit segment de consumatori – îmbrăcăminte pentru bărbați, femei și pentru copii. Un Super Administrator ar putea face modificări care se reflectă pe toate aceste trei site-uri, cum ar fi actualizarea sau configurarea pluginului WooCommerce.

Rol de administrator WordPress

La fel ca Super Administratorii, Administratorii au toate capabilitățile. Cu toate acestea, aceste permisiuni sunt limitate la domeniul de aplicare al unui site web. Aceste capabilități includ, dar nu se limitează la, următoarele:

• Instalați și dezinstalați, activați și dezactivați, editați și actualizați orice plugin WordPress.
• Creați conținut nou, citiți, modificați și ștergeți conținutul existent. De exemplu, paginile WordPress și postările de blog create de orice alt utilizator. Acestea includ materiale nepublicate, private și protejate prin parolă.
• Creați utilizatori noi, modificați și ștergeți utilizatorii existenți.
• Instalați, activați și dezactivați temele WordPress.
• Modificați fișierele cu teme WordPress.
• Creați noi, modificați sau ștergeți categorii existente.
• Creați noi, modificați sau ștergeți meniuri WordPress existente.
• Încărcați fișiere pe WordPress.
• Abilitatea de a posta marcaj HTML și cod JavaScript în pagini, postări și comentarii (HTML nefiltrat).
• Comentarii moderate.

Amintiți-vă, aceste capabilități sunt aceleași cu Super Administrator. Cu toate acestea, un Super Administrator are aceste privilegii răspândite pe mai multe site-uri dintr-o rețea WordPress.

Rol de editor WordPress

Nivelul structurii la care capacitățile devin restricționate este rolul utilizatorului Editor. Rolul Editor este axat pe conținut, ca într-un cadru tradițional de publicare. Nu au permisiuni care implică configurarea, configurarea, funcționalitatea sau designul site-ului dvs. WordPress.

Capacitățile lor includ:

• Comentarii moderate.
• Creați conținut nou, cum ar fi postări de blog și pagini WordPress.
• Citiți, modificați și ștergeți conținutul existent, cum ar fi paginile WordPress și postările de blog create de orice alt utilizator. Aceasta include și materiale nepublicate, private și protejate prin parolă.

Rol de autor WordPress

De la Autor în jos, capacitățile rolurilor de utilizator WordPress devin mult mai restrânse. O persoană desemnată ca rol de utilizator Autor are acces numai la postările și profilul său de blog.

Deci, își pot publica postările pe blog, își pot modifica propriile postări existente pe blog și își pot modifica profilul de utilizator.

Rol de colaborator WordPress

Similar rolului de utilizator Autor, Colaboratorii pot scrie postări pe blog. Cu toate acestea, colaboratorii WordPress nu pot publica propriile postări pe blog. Toate postările de blog scrise de un colaborator WordPress trebuie să fie aprobate și publicate fie de un editor WordPress, fie de un administrator.

Rol de abonat WordPress

Acesta este rolul implicit acordat oricărei persoane care se înscrie pentru a se înregistra pentru un cont pe un site web WordPress. Un Abonat poate citi doar conținut și nu are acces pentru a modifica orice tip de conținut pe un site WordPress. Ei își pot modifica doar informațiile de profil.

Roluri personalizate de utilizator WordPress

Rolurile de utilizator WordPress descrise mai sus sunt rolurile implicite „out of the box” furnizate într-un site standard WordPress. În unele cazuri, pluginurile WordPress își instalează propriile roluri de utilizator personalizate, cu capabilități specifice atașate pentru a îndeplini acel rol.

De exemplu, cei dintre voi care utilizați WooCommerce vor observa un rol de utilizator Store Manager. De asemenea, pluginul SEO Yoast introduce rolurile de utilizator SEO Editor și SEO Manager complete cu propriile lor permisiuni WordPress distincte.

Crearea de roluri personalizate de utilizator WordPress poate fi ceva de interes pentru dvs. dacă rolurile preexistente nu se potrivesc cu scopurile dorite. De exemplu, puteți rula un site de membru care vă solicită să acordați abonaților mult mai multe privilegii decât simple capacități de citire. Dacă acesta este cazul, pluginurile WordPress, cum ar fi User Role Editor, vă permit să personalizați permisiunile în cadrul fiecărui rol pentru a răspunde mai bine nevoilor dvs. specifice de afaceri.

Cum să utilizați rolurile de utilizator WordPress pentru a îmbunătăți securitatea

Rolurile de utilizator WordPress au un rol semnificativ în securitatea generală a site-ului dvs. Simplul act de a atribui prea multe capacități persoanei greșite poate avea consecințe potențial dezastruoase. Având în vedere acest lucru, trebuie să vă alocați corect rolurile de utilizator.

Atribuiți rolul potrivit persoanei potrivite

La fel ca în orice afacere tradițională, nu distribuiți aceleași drepturi și responsabilități angajaților tăi de jos sau contractorilor externi ca și proprietarului afacerii.

De exemplu, atunci când se referă la un site WordPress, dezvoltatorii web au nevoie de acces la nivel de administrator pentru a face modificările necesare în funcțiile site-ului back-end. Cu toate acestea, ar trebui să aibă propriul lor login de utilizator, despre care puteți rămâne în control.

Același lucru este valabil și pentru autori și colaboratori, dacă conduceți un blog, sau pentru managerii de magazin și produse, dacă conduceți un magazin de comerț electronic. Trebuie să aveți controlul ca webmaster din mai multe motive.

Pentru mai multe informații despre acest lucru, ghidul nostru despre principiul celor mai mici privilegii este un loc bun de început.

Partajarea acreditărilor este o amenințare de securitate

Împrumutarea informațiilor despre utilizatorul WordPress către altcineva poate părea inofensivă, dar este orice altceva decât sigur. Acreditările transmise prin e-mail pot fi interceptate, iar versiunile tipărite pot deveni la fel de rapid compromise.

Un studiu din 2019 a descoperit că 74% dintre încălcările de date au fost rezultatul abuzului de acreditări cu acces privilegiat. Mai rău, același raport a constatat că până la 65% partajează accesul root sau privilegiat la sisteme (cum ar fi WordPress) cel puțin oarecum des.*

Un motiv pentru care încălcările de date sunt atât de mari este că acreditările partajate tind să promoveze parole slabe. În timp ce parolele ușor de reținut economisesc timp proprietarilor de site-uri WordPress, ele prezintă o slăbiciune în securitatea site-ului dvs., lăsându-l deschis la atacuri de forță brută și de dicționar.

În cele din urmă, dacă oferiți multor persoane acces la un rol de utilizator WordPress pe site-ul dvs., nu veți putea urmări cine a schimbat ce site-ul dvs. Cu mai multe persoane care au acces la un nume de utilizator și o parolă, cum veți descifra care persoană este responsabilă pentru activitățile desfășurate sub acel rol de utilizator?

Păstrați jurnalele utilizatorilor cu roluri diferite

Din motivele prezentate mai sus, trebuie să acordați fiecărui colaborator la site-ul dvs. WordPress propriul său rol de conectare și de utilizator. Atunci este o idee bună să folosiți un plugin pentru a monitoriza activitatea fiecărui utilizator pentru a urmări lucrările întreprinse, sporind în același timp securitatea site-ului.

Cu pluginul WP Activity Log, puteți păstra un jurnal de activitate cu fiecare modificare făcută de utilizatorii dvs. WordPress. Prin instalarea acestui plugin, puteți stoca și analiza un jurnal de activitate cuprinzător, primind alerte în timp real atunci când un utilizator efectuează modificări critice ale site-ului. De asemenea, puteți monitoriza utilizatorii în timp real pentru a vă asigura că își îndeplinesc sarcinile așa cum ar trebui.

Aceste caracteristici sunt deosebit de benefice dacă operați site-uri mari singulare cu mai multe departamente (cum este frecvent cazul în comerțul electronic). Sau, rulați o rețea cu mai multe site-uri ca Super Administrator. Cu atât de multe persoane care fac modificări constante, puteți utiliza pluginul WP Activity Log pentru a căuta prin jurnalele de activitate și pentru a identifica când au fost făcute anumite modificări pe un site WordPress (și de către cine).

Optimizarea rolurilor utilizatorilor în WordPress

Rolurile de utilizator WordPress au un rol vital în structura organizatorică a site-ului dvs. web. Pentru a minimiza problemele de securitate, fiecare rol de utilizator și capacitățile lor asociate trebuie atribuite cu atenție. Cu cât site-ul dvs. crește mai mult, cu atât rolurile utilizatorilor devin mai importante.

În multe cazuri, partajarea acreditărilor între indivizi ar trebui evitată cu orice preț. Deși este posibil să puteți supraveghea câțiva utilizatori, atunci când există mai mulți membri ai echipei desemnați pentru fiecare rol de utilizator, aveți nevoie de software precum pluginul WP Activity Log pentru a urmări cu exactitate modificările aduse site-ului dvs.

De ce să nu începeți astăzi versiunea de încercare gratuită de 14 zile pentru site-ul dvs. WordPress?

Sfat bonus

Parolele slabe sunt una dintre cele mai mari amenințări la adresa site-ului dvs. WordPress. Cu atât de mulți utilizatori pe site-ul dvs., trebuie să vă asigurați că toți folosesc parole puternice pentru a vă proteja împotriva hackerilor.

Cu WPassword, vă puteți asigura că toți cei care au o autentificare la site-ul dvs. utilizează o parolă sigură. De asemenea, vă puteți dubla aranjamentele de securitate implementând autentificarea cu doi factori pentru utilizatorii dvs. cu pluginul WP 2FA.

* https://www.forbes.com/sites/louiscolumbus/2019/02/26/74-of-data-breaches-start-with-privileged-credential-abuse/#6c25c92b3ce4