O agenție finalizează un proiect. Un freelancer merge mai departe. Un membru al personalului își schimbă locul de muncă. Accesul lor WordPress rămâne adesea exact acolo unde era.
În timp, un site poate colecta conturi mai puternice decât are nevoie. Un audit al rolului utilizatorului vă ajută să găsiți această deriva. De asemenea, oferă echipei dvs. o modalitate clară de a solicita acces fără a-i face pe toți administratori.
Începeți cu munca pe care o fac oamenii
Cereți fiecărui proprietar de cont să numească sarcinile pe care le mai efectuează. Scrieți răspunsul în termeni simpli: scrieți postări, publicați pagini, gestionați comenzi, actualizați pluginuri sau modificați setările.
Apoi comparați acele sarcini cu accesul pe care îl are contul. Dacă un scriitor trimite doar schițe, controlul complet al site-ului este greu de justificat. Dacă un manager de magazin se ocupă de comenzi, este posibil ca rolurile standard de blog să nu se potrivească.
Aceasta este o evaluare a accesului planificat. Dacă un cont este necunoscut sau pare ostil, folosiți nostru ghid de administrator necinstiți și păstrați dovezile înainte de a face schimbări ample.
Aflați ce înseamnă de fapt un rol
Un rol este un pachet de capabilități, care sunt drepturi de a efectua acțiuni. WordPress include roluri precum Administrator, Editor, Autor, Colaborator și Abonat. Multisite are, de asemenea, administrare la nivel de rețea. Pluginurile pot adăuga sau modifica roluri.
Asta înseamnă că eticheta rolului este doar un punct de plecare. Este posibil ca un plugin vechi să fi schimbat ceea ce poate face „Editor”. The WordPress documentație de rol explică această distincție.
Pentru codul personalizat, dezvoltatorii ar trebui să verifice capacitatea corectă la punctul de acțiune. Ascunderea unui element de meniu nu împiedică o solicitare directă către punctul final.
Construiți un mic registru de acces
Nu aveți nevoie de un sistem complex pentru a porni. O înregistrare a echipei protejate poate conține numele contului, proprietarul, scopul, rolul curent, sarcinile necesare și data revizuirii.
Adăugați rânduri separate pentru conturile de servicii utilizate de aplicații. Marcați accesul temporar cu o dată de încheiere. Păstrați evidența fără parole.
- Confirmați că fiecare cont are un proprietar real.
- Semnalați conturile partajate și vechile conturi de contractant.
- Enumerați toți administratorii și explicați de ce fiecare are nevoie de acest rol.
- Verificați rolurile personalizate și accesul specific pentru plugin.
- Înregistrați cine poate aproba o modificare.
Folosiți mai larg lista de verificare a auditului de securitate pentru a acoperi și găzduirea, backup-urile și conturile de server. O schimbare a rolului WordPress nu va elimina accesul printr-un tablou de bord de găzduire.
Pune aceste idei în practică.
De la o îmbunătățire punctuală la un website complet, te ajutăm să definești scopul și să îl realizezi.
Discută despre website-ul meuDezvoltare web WordPress personalizatăÎmpărtășește-ne obiectivele tale. Răspundem de obicei în 4 ore cu întrebări și pași practici următori.
Testați un rol mai mic înainte de a-l lansa
Creați un cont de testare cu rolul propus pe punere în scenă. Cereți proprietarului sarcinii să își execute fluxul de lucru normal. Pot să salveze o schiță, să încarce o imagine și să o trimită spre examinare? Pot ajunge la o setare pe care nu ar trebui să o schimbe?
Includeți un test negativ. Un rol este util doar dacă sarcina permisă funcționează și sarcina interzisă eșuează. Testați formularul sau acțiunea API în sine atunci când caracteristica folosește cod personalizat.
Brieful actualizați ghidul de testare oferă un model util pentru înregistrarea acestor verificări. Salvați setările vechi ale rolului, astfel încât o schimbare eșuată să poată fi anulată.
Gestionați pluginul și stocați permisiunile cu grijă
Un editor de roluri poate ajuta, dar poate crea și drepturi largi care sunt greu de urmărit. Evitați acordarea unei capacități puternice doar pentru a remedia un buton lipsă.
De exemplu, un agent de asistență poate avea nevoie să citească o comandă, dar să nu emită o rambursare. Un utilizator de marketing poate avea nevoie să editeze o pagină de destinație, dar să nu modifice setările de plată. Sunt decizii de afaceri separate.
Întrebați furnizorul de pluginuri ce permite fiecare permisiune. Dacă pluginul nu poate împărți două sarcini, înregistrați acea limită și alegeți o soluție controlată. Noastre serviciu de dezvoltare de teme și pluginuri poate evalua un flux de lucru personalizat mai restrâns.
Închideți accesul când lucrarea se termină
Când cineva pleacă, revizuiește-i contul WordPress, sesiunile, parolele aplicațiilor și instrumentele asociate. Revocați ceea ce nu mai este necesar. Transferați proprietatea conținutului cu grijă; ștergerea unui cont nu ar trebui să șteargă articole din întâmplare.
Pentru acreditările partajate, identificați fiecare sistem care le-a folosit înainte de a le roti. Oferiți următoarei echipe acces individual de la început. Examinați rezultatul după predare, nu doar în ziua în care se face schimbarea.
Asociați recenziile de acces cu autentificare cu doi factori pentru oameni și controale secrete separate pentru aplicații.
Păstrați recenzia mică și repetabilă
Setați un interval de revizuire care se potrivește echipei dvs. Verificați din nou accesul după o schimbare de personal, un nou furnizor sau instalarea unui plugin major. Cereți proprietarilor să confirme accesul în loc să copieze lista din ultimul trimestru.
Brieful planurile noastre de mentenanță WordPress poate include această rutină. Un audit util se încheie cu mai puține drepturi inexplicabile și un proprietar clar pentru fiecare cont.
Întrebări frecvente
Fiecare dezvoltator ar trebui să aibă un cont permanent de administrator?
Nu. Oferiți acces pentru o sarcină definită și revizuiți-o când se termină munca respectivă. Unele lucrări necesită drepturi de administrator, dar asta nu face necesar accesul permanent.
Poate un Editor să instaleze pluginuri în mod implicit?
Într-o configurare normală cu un singur site, rolul implicit Editor nu poate instala pluginuri. Codul personalizat și pluginurile pot modifica capabilitățile, așa că inspectați site-ul real.
Ascunderea unui meniu de bord este un control de securitate?
Poate simplifica interfața, dar nu înlocuiește verificările de permisiuni pentru acțiunea de bază sau punctul final API.
Ștergerea unui utilizator va șterge și postările acestuia?
Fluxul de lucru de ștergere poate afecta calitatea de proprietar al conținutului. Examinați opțiunile și reatribuiți conținutul acolo unde este necesar înainte de a confirma ștergerea.
