Χρήστες και ρόλοι

Ενότητα 3: Διεύθυνση, https και χρήστες · Χρόνος ανάγνωσης: 8 λεπτά

Μαθησιακός στόχος: Μετά από αυτό το μάθημα θα μπορείτε να κατανέμετε ρόλους και δικαιώματα έτσι ώστε κάθε άτομο να μπορεί να κάνει μόνο όσα χρειάζεται.

Βασικές έννοιες: ρόλος, capability (δικαίωμα), διαχειριστής, συντάκτης (editor), αρθρογράφος (author), σχολιαστής αρχείων (contributor), συνδρομητής, ελάχιστα απαραίτητα δικαιώματα, ένας λογαριασμός ανά άτομο, όνομα εμφάνισης και όνομα χρήστη, κωδικός εφαρμογής, διαγραφή χρήστη και ανάθεση περιεχομένου

Ρόλοι και δικαιώματα

Κάθε άτομο που συνδέεται στον ιστότοπό σας με WordPress έχει έναν ρόλο. Ένας ρόλος είναι ένα σύνολο δικαιωμάτων (στη γλώσσα του WordPress: capabilities): μπορεί αυτό το άτομο να γράφει άρθρα, να επεξεργάζεται άρθρα άλλων, να εγκαθιστά πρόσθετα, να δημιουργεί χρήστες; Το WordPress έχει πέντε προεπιλεγμένους ρόλους:

Σε ένα δίκτυο ιστοτόπων (multisite) υπάρχει επίσης ο υπερδιαχειριστής. Ορισμένα πρόσθετα προσθέτουν δικούς τους ρόλους, όπως Διαχειριστής καταστήματος και Πελάτης στο WooCommerce, ή έναν ρόλο για διαχείριση SEO.

Προσέξτε τη διαφορά ανάμεσα σε αρθρογράφο και συντάκτη: ένας αρθρογράφος μπορεί να επεξεργαστεί μόνο τα δικά του άρθρα, ενώ ένας συντάκτης τα πάντα. Ωστόσο, ένας συντάκτης δεν μπορεί να εγκαταστήσει πρόσθετα ή να αλλάξει ρυθμίσεις. Αυτό ακριβώς είναι το επιθυμητό.

Η αρχή: όσο το δυνατόν λιγότερα δικαιώματα

Κάθε λογαριασμός αποτελεί μια πιθανή είσοδο για έναν εισβολέα. Ένας διαρρεύσας κωδικός πρόσβασης ενός συνδρομητή προκαλεί ελάχιστη ζημιά. Ένας διαρρεύσας κωδικός πρόσβασης διαχειριστή όμως δίνει πλήρη έλεγχο: ένας εισβολέας μπορεί να ανεβάσει ένα πρόσθετο με κακόβουλο κώδικα και έτσι να αποκτήσει πρόσβαση σε όλα τα αρχεία και τη βάση δεδομένων του ιστότοπού σας.

Γι' αυτό, δώστε σε όλους τον χαμηλότερο ρόλο με τον οποίο μπορούν να κάνουν τη δουλειά τους:

• Ο συνάδελφος του marketing που γράφει άρθρα ιστολογίου: αρθρογράφος ή συντάκτης, όχι διαχειριστής.
• Ο ασκούμενος που παραδίδει είδηση: σχολιαστής αρχείων (contributor)· κάποιος άλλος τα δημοσιεύει.
• Ο κατασκευαστής ιστότοπου που κάνει κάτι μία φορά: έναν προσωρινό λογαριασμό διαχειριστή που διαγράφετε ή υποβαθμίζετε μετά.
• Ο εαυτός σας: εξετάστε το ενδεχόμενο δύο λογαριασμών, ένας διαχειριστής για συντήρηση και ένας συντάκτης για την καθημερινή συγγραφή. Όποιος, ως διαχειριστής, ανοίξει μια μολυσμένη σελίδα ή κάνει κλικ σε έναν ψεύτικο σύνδεσμο, εκθέτει περισσότερα από έναν συντάκτη.

Μερικοί κανόνες που συνοδεύουν αυτά:

• Ένας λογαριασμός ανά άτομο. Ποτέ κοινόχρηστος λογαριασμός "γραφείο" ή "σύνταξη". Έτσι δεν ξέρετε ποιος έκανε τι, δεν μπορείτε να αφαιρέσετε την πρόσβαση από ένα άτομο ξεχωριστά και ο κωδικός πρόσβασης κυκλοφορεί μέσω email και σημειωμάτων.
• Κάντε τακτοποίηση. Όταν κάποιος αποχωρεί, διαγράψτε τον λογαριασμό ή υποβαθμίστε τον σε συνδρομητή. Ελέγχετε κάθε τρίμηνο ποιοι διαχειριστές υπάρχουν (μάθημα 9.4). Ένας άγνωστος διαχειριστής είναι ένα από τα πιο σαφή σημάδια παραβίασης (μάθημα 7.5).
• Μην δημιουργείτε λογαριασμούς για εφαρμογές που δεν τους χρειάζονται. Αν μια σύνδεση (μια εφαρμογή, ένα άλλο σύστημα) πρέπει να έχει πρόσβαση στο WordPress, χρησιμοποιήστε έναν κωδικό εφαρμογής (βλέπε παρακάτω).

Όνομα χρήστη και όνομα εμφάνισης

Κάθε λογαριασμός έχει ένα όνομα χρήστη (με το οποίο συνδέεστε, δεν μπορεί να αλλάξει) και ένα όνομα εμφάνισης (που εμφανίζεται δίπλα στα άρθρα σας, όπως "Μαρία Παπαδοπούλου"). Επιλέξτε το όνομα εμφάνισης στο προφίλ, στην επιλογή "Δημόσια εμφάνιση ως".

Είναι μυστικό το όνομα χρήστη σας; Όχι ακριβώς. Το WordPress εμφανίζει σε αρκετά σημεία ένα παράγωγο όνομα: στη διεύθυνση ενός αρχείου αρθρογράφου (/author/lisa/) και στην είσοδο REST του ιστότοπου (/wp-json/wp/v2/users), για οποιονδήποτε έχει δημοσιεύσει κάποιο άρθρο. Αυτό το όνομα (το slug) είναι συχνά ίδιο με το όνομα χρήστη. Ένας εισβολέας έχει έτσι τη μισή δουλειά έτοιμη. Η πραγματική προστασία βρίσκεται σε έναν ισχυρό κωδικό πρόσβασης και σε έλεγχο ταυτότητας δύο παραγόντων (μάθημα 7.3), αλλά ένα όνομα χρήστη που δεν ταυτίζεται με το δημόσιο όνομά σας βοηθάει λίγο. Στο μάθημα 7.3 θα δείτε τι εμφανίζει ο δικός σας ιστότοπος.

Κωδικοί εφαρμογής

Από το WordPress 5.6, κάθε προφίλ διαθέτει στο κάτω μέρος την επιλογή Κωδικοί εφαρμογής. Με αυτούς δημιουργείτε έναν ξεχωριστό κωδικό πρόσβασης για μία σύνδεση, για παράδειγμα μια εφαρμογή στο κινητό σας ή ένα σύστημα που δημοσιεύει άρθρα μέσω του REST API. Πλεονεκτήματα:

• Δεν αποκαλύπτετε τον πραγματικό σας κωδικό πρόσβασης.
• Μπορείτε να ανακαλέσετε μία σύνδεση χωρίς να αλλάξετε τον δικό σας κωδικό πρόσβασης.
• Ένας κωδικός εφαρμογής δεν λειτουργεί για σύνδεση στον κανονικό Πίνακα Ελέγχου.

Ο κωδικός εφαρμογής έχει τα ίδια δικαιώματα με τον λογαριασμό. Δημιουργήστε τον λοιπόν σε έναν λογαριασμό με κατάλληλο (χαμηλό) ρόλο. Αν δεν χρησιμοποιείτε συνδέσεις, δεν τους χρειάζεστε.

Διαγραφή κάποιου

Όταν διαγράφετε έναν χρήστη που έχει γράψει άρθρα, το WordPress σάς ρωτά τι να γίνει με αυτό το περιεχόμενο:

• Διαγραφή όλων των περιεχομένων: όλα τα άρθρα και οι σελίδες αυτού του ατόμου εξαφανίζονται. Σχεδόν ποτέ δεν είναι αυτό που θέλετε.
• Ανάθεση όλου του περιεχομένου σε άλλον χρήστη: τα άρθρα παραμένουν, με τον νέο χρήστη ως αρθρογράφο.

Επιλέγετε σχεδόν πάντα τη δεύτερη επιλογή. Θέλετε να διατηρήσετε το όνομα του παλιού αρθρογράφου στα άρθρα; Τότε υποβαθμίστε τον λογαριασμό σε συνδρομητή και δώστε του έναν νέο, μακρύ κωδικό πρόσβασης, αντί να τον διαγράψετε.

Στην πράξη: πώς φαίνεται στον Πίνακα Ελέγχου

Στον Πίνακα Ελέγχου του WordPress:

1. Χρήστες > Όλοι οι χρήστες: στο επάνω μέρος εμφανίζεται πόσοι λογαριασμοί υπάρχουν ανά ρόλο. Κάντε κλικ στο Διαχειριστής για να δείτε μόνο τους διαχειριστές.
2. Χρήστες > Νέος χρήστης: συμπληρώστε όνομα χρήστη και email και επιλέξτε τον ρόλο. Αφήστε το WordPress να στείλει έναν σύνδεσμο ορισμού κωδικού πρόσβασης αντί να στείλετε εσείς έναν κωδικό μέσω email.
3. Προφίλ: επιλογή ονόματος εμφάνισης και, στο κάτω μέρος, διαχείριση κωδικών εφαρμογής.

Σύνοψη

• Ένας ρόλος είναι ένα σύνολο δικαιωμάτων· το WordPress έχει διαχειριστή, συντάκτη, αρθρογράφο, σχολιαστή αρχείων και συνδρομητή.
• Δώστε σε όλους τον χαμηλότερο ρόλο με τον οποίο μπορούν να κάνουν τη δουλειά τους και κρατήστε μικρό τον αριθμό διαχειριστών.
• Ένας λογαριασμός ανά άτομο, ποτέ κοινόχρηστος· τακτοποιήστε τους λογαριασμούς όταν κάποιος αποχωρεί.
• Τα ονόματα χρήστη δεν είναι μυστικά· η πραγματική προστασία είναι ένας ισχυρός κωδικός πρόσβασης και ο έλεγχος ταυτότητας δύο παραγόντων.
• Κατά τη διαγραφή, αναθέστε το περιεχόμενο σε κάποιον άλλο· χρησιμοποιήστε κωδικούς εφαρμογής για τις συνδέσεις.

Κουίζ

Άσκηση

Άσκηση D3.3: Έλεγχος ρόλων στον ιστότοπό σας. Ανοίξτε Χρήστες > Όλοι οι χρήστες και φτιάξτε μια λίστα: για κάθε λογαριασμό τον ρόλο, αν το άτομο είναι ακόμα ενεργό και ποιον ρόλο χρειάζεται στην πραγματικότητα. Σημειώστε πόσους διαχειριστές είχατε και πόσοι απομένουν μετά τον γύρο τακτοποίησής σας. Επιβεβαιώστε: κανένας κοινόχρηστος λογαριασμός, κανένας άγνωστος διαχειριστής, τα άτομα που έχουν αποχωρήσει έχουν διαγραφεί ή υποβαθμιστεί (με ανάθεση περιεχομένου), ανακλήθηκαν οι αχρησιμοποίητοι κωδικοί εφαρμογής. Εξηγήστε σε μία πρόταση γιατί δίνετε ή όχι στον εαυτό σας ξεχωριστό λογαριασμό συντάκτη.

Περαιτέρω ανάγνωση

Αυτά τα άρθρα περιγράφουν τα βήματα στους πίνακες ελέγχου του WebOké· σε άλλους πίνακες ελέγχου λειτουργούν με παρόμοιο τρόπο.

• Εγχειρίδιο DirectAdmin 3.7: Ασφαλείς κωδικοί πρόσβασης και τι κάνετε όταν διαρρεύσει ένας κωδικός πρόσβασης
• Δεν μπορώ να συνδεθώ στο WordPress: τι μπορώ να κάνω τώρα;
• Ρόλοι και δικαιώματα (wordpress.org, Αγγλικά): https://wordpress.org/documentation/article/roles-and-capabilities/