WordPress-jogosultságok: ki mit módosíthasson az oldalon?

Feladatból jogosultság

A pozíciónév nem mondja meg pontosan, milyen műveletre van szükség. Írd össze a napi feladatokat, és ezek alapján válassz szerepkört vagy célzott képességet.

A szerepkör kiválasztása előtt írd össze a tényleges műveleteket. A cikkíró létrehoz saját bejegyzést, a szerkesztő más anyagát is javítja, a tartalomgazda közzétesz, az üzemeltető pedig rendszerbeállítást módosít. Ezek nem feltétlenül ugyanazon ember feladatai. A WordPress alap szerepkörei kiindulópontot adnak, de egyedi bővítmény további képességeket is bevezethet. Az üzleti elnevezés és technikai szerepkör eltérését dokumentáld. A minimálisan szükséges jogosultság nem akadályozást jelent: ha valaki nem tud elvégezni egy indokolt feladatot, a megfelelő képességet kell megadni, nem rögtön teljes adminisztrátori hozzáférést. A próbát a felhasználó saját szerepkörével végezd, mert adminisztrátorként a korlátok láthatatlanok lehetnek. A munkatárs elvégzi a feladatát rendszerszintű hozzáférés nélkül.

Külön fiókok

A közös bejelentkezésből nem látszik, ki végzett egy módosítást. Minden személy kapjon saját fiókot és megfelelő hitelesítést.

A személyes fiók lehetővé teszi az egyéni hozzáférés visszavonását és a felelősség követését. A közös fiókhoz több ember ismerhet jelszót, ezért egy távozó munkatárs után nehéz biztosítani a tényleges megszüntetést. A belépési és helyreállítási adat legyen a jogosult személy vagy vállalkozás ellenőrzése alatt. Használj erős, egyedi jelszót és ahol elérhető, megfelelő többtényezős hitelesítést. Az elveszett eszköz vagy hozzáférés esetére legyen helyreállítási folyamat, amely nem vezet jogosulatlan fiókátvételhez. A fióknév, kapcsolati cím és feladat időnkénti áttekintése segíthet a névtelen vagy elavult felhasználók felismerésében. A külön fiók önmagában nem teljes biztonság, de fontos alap az átlátható működtetéshez. A hozzáférések egyenként visszavonhatók.

Adminisztrátorok

A rendszergazdai jog a tartalmon túl kódot és beállításokat is érinthet. Csak azoknak add, akiknek a rendszer üzemeltetése tényleges feladatuk.

Az adminisztrátori joggal gyakran kódot befolyásoló bővítmény, sablon és rendszerbeállítás is elérhető. Ezért nem érdemes pusztán a szerkesztői kényelem miatt mindenkinek ezt adni. A ritka rendszerszintű feladat külön kezelhető a napi tartalomkezeléstől. Ha külső szakember dolgozik, kapjon azonosítható, indokolt időre és célra szóló hozzáférést. A jogosultsági lista mellett nézd meg a szolgáltatói és tárhelyfiókokat is, mert azok a WordPressen kívülről szintén befolyásolhatják a rendszert. A biztonság több rétegen múlik. Az adminisztrátorok számának csökkentése nem teszi fölöslegessé a frissítést, mentést és monitoringot, de mérsékelheti a véletlen vagy jogosulatlan rendszerszintű módosítás lehetőségét. A döntést feladat és kockázat együtt indokolja. Az adminisztrátori lista rendszeresen áttekinthető és indokolható.

Publikációs folyamat

A tartalom megírása és végső közzététele külön felelősség lehet. Tervezd meg a piszkozat, szakmai ellenőrzés és publikálás útját.

A publikációs folyamatban különítsd el a nyelvi, szakmai és végső üzleti jóváhagyást, ha ezek eltérő szereplőhöz tartoznak. Egy technikai blogcikk szerzője nem feltétlenül jogosult ügyféladatot vagy szerződéses vállalást nyilvánossá tenni. A piszkozat és előnézet használata segíti az egyeztetést. A munkafolyamat legyen arányos: egy nyitvatartás módosításához nem szükséges ugyanaz a többlépcsős ellenőrzés, mint egy érzékeny szakmai állításhoz. A rendszerben és csapaton belül is legyen világos, ki teheti közzé a tartalmat. A szerző személye és a technikai felhasználói fiók megjelenítése külön kérdés lehet, ezért a nyilvános szerzői adatokat is tudatosan állítsd be. A belső jogosultság ne hozzon létre véletlen nyilvános személyes adatközlést. A szöveg kijelölt ellenőrzés után válik nyilvánossá.

Külső munkatársak

A projekt végén bent maradt hozzáférés fölösleges kockázat. Rögzíts tulajdonost és felülvizsgálati időpontot az ideiglenes fiókhoz.

Külső munkatársnál a hozzáférés célja, felelőse és várható lejárata kerüljön feljegyzésbe. A projekt lezárásakor nézd át, maradt-e szükséges támogatási feladat. Ha igen, a jog ennek megfelelően korlátozható; ha nem, a hozzáférés megszüntethető. A fiók törlése előtt gondold át a hozzá kapcsolódó tartalom kezelését, nehogy véletlenül bejegyzés is eltűnjön. A tárhely, Git, analitika és külső szolgáltatások hozzáférése szintén része lehet a lezárásnak. A jelszócserét ne tekintsd minden esetben teljes visszavonásnak, mert aktív munkamenet, kulcs vagy más hitelesítési mód maradhat. A konkrét rendszerben ezeket is ellenőrizni kell. A rendezett kiléptetés védi a vállalkozást és a korábbi közreműködőt is a bizonytalan felelősségtől. A lezárt együttműködés hozzáférései megszűnnek.

Rendszeres felülvizsgálat

A feladatok és csapattagok változnak, a régi jogok azonban megmaradhatnak. Tekintsd át a felhasználókat és az egyedi bővítmények által adott képességeket.

A rendszeres jogosultsági felülvizsgálatnál hasonlítsd össze a felhasználólistát az aktuális csapattal és megbízásokkal. A régi szerkesztő, próbaadmin vagy nem azonosítható fiók külön tisztázást kíván. Egy bővítmény telepítése új menüpontot és képességet adhat, így a korábban megfelelő szerepkör később más lehetőséget is kaphat. A fontos feladatokat korlátozott fiókkal ismét próbáld végig. A jogosultsági változtatást dokumentáld, különösen ha egyedi szerepkört használsz. A hozzáférési rend akkor működik, ha érthető a csapatnak és a napi munka sem kényszeríti megkerülésre. Ha mindenki az admin jelszavát kéri egy egyszerű tartalmi feladathoz, a rendszer vagy a betanítás felülvizsgálatra szorul, nem a jelszó szélesebb megosztására. Minden aktív fiókhoz ismert személy és aktuális feladat tartozik.

Szemléltető helyzet és gyakorlati munkalap

Szemléltető példa: a blog szerkesztője bejegyzéseket és képeket kezel, de nincs szüksége bővítménytelepítésre. A kampányszövegíró csak saját piszkozatokat készít. A rendszergazdai fiók külön marad, és az ideiglenes külső munkatárs hozzáférésének lejártát előre rögzítik.

Gyakori kérdések