Felhasználók és szerepkörök

Modul 3: Cím, https és felhasználók · Olvasási idő: 8 perc

Tanulási cél: Ennek a leckének a végén Ön képes lesz úgy elosztani a szerepköröket és jogosultságokat, hogy mindenki csak azt tehesse, amire valóban szüksége van.

Kulcsfogalmak: szerepkör, capability (jogosultság), adminisztrátor, szerkesztő, szerző, hozzászóló (contributor), feliratkozó, minimális jogosultság elve, egy fiók személyenként, képernyőnév és felhasználónév, alkalmazásjelszó, felhasználó törlése és tartalom áthelyezése

Szerepkörök és jogosultságok

Mindenki, aki bejelentkezik az Ön WordPress weboldalára, rendelkezik egy szerepkörrel. A szerepkör egy csomagnyi jogosultság (WordPress nyelven capabilities): írhat-e az adott személy bejegyzéseket, szerkesztheti-e mások bejegyzéseit, telepíthet-e bővítményeket, hozhat-e létre felhasználókat? A WordPress öt alapértelmezett szerepkörrel rendelkezik (zárójelben a magyar elnevezések):

Weboldal hálózat (multisite) esetén létezik a szuperadminisztrátor szerepkör is. A bővítmények néha saját szerepköröket adnak hozzá, például a WooCommerce esetében a Winkelmanager és a Klant, vagy egy szerepkört a SEO kezeléséhez.

Figyeljen a szerző és a szerkesztő közötti különbségre: a szerző csak a saját bejegyzéseihez fér hozzá, a szerkesztő mindenhez. A szerkesztő viszont nem telepíthet bővítményeket és nem módosíthatja a beállításokat. Ez pontosan a szándékolt működés.

Az alapelv: a szükséges minimális jogosultság

Minden fiók egy lehetséges bejárati pont egy betörő számára. Egy kiszivárgott feliratkozói jelszó kevés kárt okoz. Egy kiszivárgott adminisztrátori jelszó viszont teljes irányítást ad: a betörő feltölthet egy kártékony kódot tartalmazó bővítményt, és ezzel hozzáfér a weboldal összes fájljához és az adatbázisához.

Ezért mindenkinek adja meg a legalacsonyabb szerepkört, amellyel a munkáját el tudja végezni:

• A marketinges kolléga, aki blogbejegyzéseket ír: szerző vagy szerkesztő, nem adminisztrátor.
• A gyakornok, aki híreket ad le: hozzászóló; valaki más publikálja azokat.
• A weboldalépítő, aki egyszer jön el valamit elvégezni: ideiglenes adminisztrátori fiók, amelyet utána töröl vagy visszaminősít.
• Ön maga: fontolja meg két fiók használatát, egy adminisztrátorit a karbantartáshoz és egy szerkesztőit a napi íráshoz. Aki adminisztrátorként tekint meg egy fertőzött oldalt vagy kattint egy hamis linkre, több mindent kiad a kezéből, mint egy szerkesztő.

Néhány kapcsolódó szabály:

• Egy fiók személyenként. Soha ne legyen közös fiók, mint „iroda” vagy „szerkesztőség”. Így nem tudja, ki mit tett, nem tudja egyetlen személytől sem külön visszavonni a hozzáférést, és a jelszó e-mailben és cetliken kering.
• Tartson rendet. Ha valaki elmegy, törölje a fiókját, vagy állítsa feliratkozóra. Negyedévente nézze át, kik az adminisztrátorok (9.4. lecke). Egy ismeretlen adminisztrátor az egyik legegyértelműbb jele egy feltörésnek (7.5. lecke).
• Ne hozzon létre fiókot olyan alkalmazásoknak, amelyeknek nincs rá szükségük. Ha egy integrációnak (egy alkalmazásnak, egy másik rendszernek) hozzá kell férnie a WordPresshez, használjon helyette alkalmazásjelszót (lásd alább).

Felhasználónév és képernyőnév

Minden fióknak van egy felhasználóneve (amellyel bejelentkezik, nem módosítható) és egy képernyőneve (ami a bejegyzései mellett megjelenik, például „Kovács Lisa”). A képernyőnevet az adatlapon a „Nyilvánosan így jelenjen meg” mezőnél választhatja ki.

Titkos-e a felhasználóneve? Nem igazán. A WordPress több helyen is megmutat egy belőle származtatott nevet: a szerzői archívum címében (/author/lisa/) és a weboldal REST-bejáratában (/wp-json/wp/v2/users), mindenki esetében, aki publikált már bejegyzést. Ez a név (a szlug) gyakran megegyezik a felhasználónévvel. Egy betörőnek ekkor már megvan a fele annak, amire szüksége van. A valódi védelmet egy erős jelszó és a kétlépcsős azonosítás (7.3. lecke) jelenti, de egy olyan felhasználónév, amely eltér a nyilvános nevétől, egy kicsit segít. A 7.3. leckében megnézi, mit mutat meg az Ön weboldala.

Alkalmazásjelszavak

A WordPress 5.6 óta minden adatlap alján található Alkalmazásjelszavak szakasz. Ezzel egy külön jelszót hozhat létre egyetlen integrációhoz, például egy telefonos alkalmazáshoz vagy egy rendszerhez, amely a REST API-n keresztül tesz közzé bejegyzéseket. Előnyök:

• Nem adja ki a valódi jelszavát.
• Egy integrációt visszavonhat anélkül, hogy a saját jelszavát módosítaná.
• Az alkalmazásjelszó nem használható a rendes bejelentkezéshez a vezérlőpultra.

Az alkalmazásjelszó ugyanazokkal a jogosultságokkal rendelkezik, mint maga a fiók. Ezért olyan fióknál hozza létre, amelynek megfelelő (alacsony) szerepköre van. Ha nem használ integrációkat, akkor nincs is szüksége rájuk.

Valaki törlése

Ha töröl egy felhasználót, aki írt bejegyzéseket, a WordPress megkérdezi, mi történjen azzal a tartalommal:

• Minden tartalom törlése: az adott személy összes bejegyzése és oldala eltűnik. Szinte soha nem ez a kívánt megoldás.
• Minden tartalom hozzárendelése egy másik felhasználóhoz: a bejegyzések megmaradnak, az új felhasználó lesz a szerzőjük.

Szinte mindig a másodikat válassza. Szeretné megtartani a régi szerző nevét a bejegyzéseknél? Ebben az esetben minősítse vissza a fiókot feliratkozóra, és adjon neki egy új, hosszú jelszót, ahelyett hogy törölné.

A gyakorlatban: így néz ki egy panelben

A WordPress admin felületén:

1. Felhasználók > Összes felhasználó: felül szerepkörönként látható, hány fiók van. Kattintson az Adminisztrátor feliratra, ha csak az adminisztrátorokat szeretné látni.
2. Felhasználók > Új felhasználó: adja meg a felhasználónevet és az e-mail címet, majd válassza ki a szerepkört. Inkább küldessen a WordPresszel jelszó-beállító linket, minthogy saját maga küldje el e-mailben a jelszót.
3. Adatlap: itt választhatja ki a képernyőnevet, alul pedig kezelheti az alkalmazásjelszavakat.

Összefoglalás

• A szerepkör egy jogosultságcsomag; a WordPress adminisztrátor, szerkesztő, szerző, hozzászóló és feliratkozó szerepkörrel rendelkezik.
• Mindenkinek adja meg a legalacsonyabb szerepkört, amellyel a munkáját el tudja végezni, és tartsa alacsonyan az adminisztrátorok számát.
• Egy fiók személyenként, soha nem megosztott; ha valaki távozik, rendezze el a fiókokat.
• A felhasználónevek nem titkosak; a valódi védelmet egy erős jelszó és a kétlépcsős azonosítás jelenti.
• Törléskor a tartalmat rendelje hozzá valaki máshoz; az alkalmazásjelszavakat integrációkhoz használja.

Kvíz

Feladat

D3.3 feladat: A weboldal szerepkör-auditja. Nyissa meg a Felhasználók > Összes felhasználó menüpontot, és készítsen listát: fiókonként a szerepkör, hogy a személy még aktív-e, és valójában milyen szerepkörre van szüksége. Jegyezze fel, hány adminisztrátora volt, és hány maradt a rendrakás után. Pipálja ki: nincs megosztott fiók, nincs ismeretlen adminisztrátor, a távozott emberek fiókja törölve vagy visszaminősítve (tartalommal együtt hozzárendelve), a nem használt alkalmazásjelszavak visszavonva. Egy mondatban indokolja meg, miért ad vagy miért nem ad magának külön szerkesztői fiókot.

További olvasnivaló

Ezek a cikkek a WebOké paneljeiben bemutatott lépéseket írják le; más paneleken hasonlóan működnek.

• DirectAdmin útmutató 3.7: Biztonságos jelszavak és a teendők jelszó kiszivárgása esetén
• Nem tudok bejelentkezni a WordPressbe: mi a teendő?
• Szerepkörök és jogosultságok (wordpress.org, angol nyelven): https://wordpress.org/documentation/article/roles-and-capabilities/