WordPress Mga Tungkulin ng User: Isang Practical Access Audit

Tinatapos ng isang ahensya ang isang proyekto. Isang freelancer ang nagpapatuloy. Ang isang miyembro ng kawani ay nagbabago ng trabaho. Ang kanilang WordPress na pag-access ay kadalasang nananatili kung nasaan ito.

Sa paglipas ng panahon, ang isang site ay maaaring mangolekta ng mas mahusay na mga account kaysa sa kailangan nito. Tinutulungan ka ng pag-audit ng tungkulin ng user na mahanap ang drift na iyon. Nagbibigay din ito sa iyong team ng malinaw na paraan para humiling ng access nang hindi ginagawang administrator ang lahat.

Magsimula sa gawaing ginagawa ng mga tao

Hilingin sa bawat may-ari ng account na pangalanan ang mga gawain na ginagawa pa rin nila. Isulat ang sagot sa simpleng mga termino: mga draft na post, mag-publish ng mga page, pamahalaan ang mga order, i-update ang mga plugin, o baguhin ang mga setting.

Pagkatapos ay ihambing ang mga gawaing iyon sa access na mayroon ang account. Kung ang isang manunulat ay nagsusumite lamang ng mga draft, ang buong kontrol sa site ay mahirap bigyang-katwiran. Kung pinangangasiwaan ng manager ng tindahan ang mga order, maaaring hindi magkasya ang mga karaniwang tungkulin sa blog.

Ito ay isang nakaplanong pagsusuri sa pag-access. Kung ang isang account ay hindi kilala o mukhang pagalit, gamitin ang aming gabay ng buhong na tagapangasiwa at panatilihin ang ebidensya bago gumawa ng malawak na pagbabago.

Alamin kung ano talaga ang ibig sabihin ng isang papel

Ang isang tungkulin ay isang bundle ng mga kakayahan, na mga karapatang magsagawa ng mga aksyon. Kasama sa WordPress ang mga tungkulin gaya ng Administrator, Editor, May-akda, Contributor at Subscriber. Ang multisite ay mayroon ding pangangasiwa sa antas ng network. Maaaring magdagdag o magbago ng mga tungkulin ang mga plugin.

Ibig sabihin, panimulang punto lamang ang label ng tungkulin. Maaaring nabago ng isang lumang plugin ang maaaring gawin ng "Editor". Ang WordPress papel na dokumentasyon nagpapaliwanag ng pagkakaibang ito.

Para sa custom na code, dapat suriin ng mga developer ang tamang kakayahan sa punto ng pagkilos. Ang pagtatago ng item sa menu ay hindi pumipigil sa isang direktang kahilingan sa endpoint nito.

Bumuo ng isang maliit na rehistro ng access

Hindi mo kailangan ng kumplikadong sistema para magsimula. Ang isang protektadong rekord ng koponan ay maaaring magkaroon ng pangalan ng account, may-ari, layunin, kasalukuyang tungkulin, mga kinakailangang gawain at petsa ng pagsusuri.

Magdagdag ng hiwalay na mga row para sa mga account ng serbisyo na ginagamit ng mga app. Markahan ang pansamantalang pag-access na may petsa ng pagtatapos. Panatilihing walang mga password ang rekord.

• Kumpirmahin na ang bawat account ay may tunay na may-ari.
• I-flag ang mga nakabahaging account at lumang contractor account.
• Ilista ang lahat ng mga administrator at ipaliwanag kung bakit kailangan ng bawat isa ang tungkuling iyon.
• Suriin ang mga custom na tungkulin at access na partikular sa plugin.
• Itala kung sino ang maaaring mag-apruba ng pagbabago.

Gamitin ang mas malawak checklist ng pag-audit ng seguridad upang masakop din ang pagho-host, pag-backup at mga server account. Ang WordPress pagbabago ng tungkulin ay hindi mag-aalis ng access sa pamamagitan ng isang hosting dashboard.

Subukan ang isang mas maliit na papel bago ilunsad ito

Gumawa ng pansubok na account na may iminungkahing tungkulin sa pagtatanghal. Hilingin sa may-ari ng gawain na patakbuhin ang kanilang normal na daloy ng trabaho. Maaari ba silang mag-save ng draft, mag-upload ng larawan at isumite ito para sa pagsusuri? Maabot ba nila ang isang setting na hindi nila dapat baguhin?

Isama ang isang negatibong pagsubok. Kapaki-pakinabang lamang ang isang tungkulin kung gumagana ang pinapayagang gawain at nabigo ang ipinagbabawal na gawain. Subukan ang mismong form o API action kapag gumagamit ang feature ng custom na code.

Ang aming i-update ang gabay sa pagsubok nag-aalok ng kapaki-pakinabang na pattern para sa pagtatala ng mga pagsusuring ito. I-save ang mga lumang setting ng tungkulin upang maibalik ang isang nabigong pagbabago.

Pangasiwaan ang mga pahintulot ng plugin at tindahan nang may pag-iingat

Makakatulong ang isang editor ng papel, ngunit maaari rin itong lumikha ng malawak na mga karapatan na mahirap subaybayan. Iwasang magbigay ng malakas na kakayahan para lang ayusin ang isang nawawalang button.

Halimbawa, maaaring kailanganin ng isang ahente ng suporta na magbasa ng isang order ngunit hindi mag-isyu ng refund. Maaaring kailanganin ng user ng marketing na mag-edit ng landing page ngunit hindi baguhin ang mga setting ng pagbabayad. Iyon ay hiwalay na mga desisyon sa negosyo.

Tanungin ang vendor ng plugin kung ano ang pinapayagan ng bawat pahintulot. Kung hindi mahati ng plugin ang dalawang gawain, itala ang limitasyong iyon at pumili ng kontroladong solusyon. Ang aming serbisyo sa pagbuo ng tema at plugin maaaring mag-assess ng mas makitid na custom na workflow.

Isara ang access kapag natapos na ang trabaho

Kapag may umalis, suriin ang kanilang WordPress account, mga session, password ng app at mga naka-link na tool. Bawiin ang hindi na kailangan. Ilipat ang pagmamay-ari ng nilalaman nang may pag-iingat; ang pagtanggal ng account ay hindi dapat magbura ng mga artikulo nang hindi sinasadya.

Para sa mga nakabahaging kredensyal, tukuyin ang bawat system na gumamit sa kanila bago i-rotate ang mga ito. Bigyan ang susunod na koponan ng indibidwal na access mula sa simula. Suriin ang resulta pagkatapos ng handover, hindi lamang ang araw na ginawa ang pagbabago.

Ipares ang mga review ng access sa dalawang-factor na pagpapatunay para sa mga tao at hiwalay na mga lihim na kontrol para sa mga app.

Panatilihing maliit at nauulit ang pagsusuri

Magtakda ng agwat ng pagsusuri na akma sa iyong koponan. Suriin muli ang pag-access pagkatapos ng pagbabago ng kawani, isang bagong vendor o isang pangunahing pag-install ng plugin. Hilingin sa mga may-ari na kumpirmahin ang pag-access sa halip na kopyahin ang listahan ng nakaraang quarter.

Ang aming mga plano sa pagpapanatili ng WordPress maaaring isama ang gawaing ito. Ang isang kapaki-pakinabang na pag-audit ay nagtatapos sa mas kaunting mga hindi maipaliwanag na karapatan at isang malinaw na may-ari para sa bawat account.

Mga madalas itanong

Dapat bang magkaroon ng permanenteng administrator account ang bawat developer?

Hindi. Magbigay ng access para sa isang tinukoy na gawain at suriin ito kapag natapos na ang gawaing iyon. Ang ilang trabaho ay nangangailangan ng mga karapatan ng admin, ngunit hindi nito kailangan ang permanenteng pag-access.

Maaari bang mag-install ng mga plugin ang isang Editor bilang default?

Sa isang normal na solong-site na setup, ang default na tungkulin ng Editor ay hindi makakapag-install ng mga plugin. Maaaring baguhin ng custom na code at mga plugin ang mga kakayahan, kaya suriin ang aktwal na site.

Ang pagtatago ba ng menu ng dashboard ay isang kontrol sa seguridad?

Maaari nitong gawing simple ang interface, ngunit hindi nito pinapalitan ang mga pagsusuri sa pahintulot sa pinagbabatayan na aksyon o endpoint ng API.

Matatanggal din ba ng pagtanggal ng user ang kanilang mga post?

Ang daloy ng trabaho sa pagtanggal ay maaaring makaapekto sa pagmamay-ari ng nilalaman. Suriin ang mga pagpipilian at muling italaga ang nilalaman kung saan kinakailangan bago kumpirmahin ang pagtanggal.