Một cơ quan hoàn thành một dự án. Một freelancer tiếp tục. Một nhân viên thay đổi công việc. Quyền truy cập WordPress của họ thường giữ nguyên vị trí ban đầu.
Theo thời gian, một trang web có thể thu thập nhiều tài khoản mạnh hơn mức cần thiết. Kiểm tra vai trò người dùng sẽ giúp bạn tìm ra sự sai lệch đó. Nó cũng cung cấp cho nhóm của bạn một cách rõ ràng để yêu cầu quyền truy cập mà không cần đặt mọi người làm quản trị viên.
Bắt đầu với công việc mọi người làm
Yêu cầu mỗi chủ tài khoản nêu tên các nhiệm vụ họ vẫn thực hiện. Viết ra câu trả lời bằng những thuật ngữ đơn giản: soạn bài đăng, xuất bản trang, quản lý đơn hàng, cập nhật plugin hoặc thay đổi cài đặt.
Sau đó so sánh những nhiệm vụ đó với quyền truy cập mà tài khoản có. Nếu người viết chỉ gửi bản nháp thì khó có thể biện minh cho việc kiểm soát toàn bộ trang web. Nếu người quản lý cửa hàng xử lý các đơn đặt hàng, vai trò blog tiêu chuẩn có thể không phù hợp.
Đây là một đánh giá truy cập theo kế hoạch. Nếu một tài khoản không xác định hoặc có vẻ thù địch, hãy sử dụng hướng dẫn quản trị viên lừa đảo và bảo quản bằng chứng trước khi thực hiện những thay đổi lớn.
Biết vai trò thực sự có ý nghĩa gì
Vai trò là một tập hợp các khả năng, là các quyền thực hiện hành động. WordPress bao gồm các vai trò như Quản trị viên, Biên tập viên, Tác giả, Người đóng góp và Người đăng ký. Multisite cũng có quản trị cấp mạng. Plugin có thể thêm hoặc thay đổi vai trò.
Điều đó có nghĩa là nhãn vai trò chỉ là điểm khởi đầu. Một plugin cũ có thể đã thay đổi những gì “Trình chỉnh sửa” có thể thực hiện. các WordPress tài liệu về vai trò giải thích sự khác biệt này.
Đối với mã tùy chỉnh, nhà phát triển nên kiểm tra khả năng phù hợp tại thời điểm hành động. Việc ẩn một mục menu không ngăn cản yêu cầu trực tiếp đến điểm cuối của nó.
Xây dựng một thanh ghi truy cập nhỏ
Bạn không cần một hệ thống phức tạp để bắt đầu. Bản ghi nhóm được bảo vệ có thể chứa tên tài khoản, chủ sở hữu, mục đích, vai trò hiện tại, nhiệm vụ cần thiết và ngày xem xét.
Thêm các hàng riêng biệt cho các tài khoản dịch vụ được ứng dụng sử dụng. Đánh dấu quyền truy cập tạm thời bằng ngày kết thúc. Giữ hồ sơ không có mật khẩu.
- Xác nhận rằng mỗi tài khoản đều có chủ sở hữu thực sự.
- Gắn cờ các tài khoản được chia sẻ và tài khoản nhà thầu cũ.
- Liệt kê tất cả các quản trị viên và giải thích lý do tại sao mỗi người cần vai trò đó.
- Kiểm tra vai trò tùy chỉnh và quyền truy cập dành riêng cho plugin.
- Ghi lại những người có thể phê duyệt một thay đổi.
Sử dụng rộng hơn danh sách kiểm tra kiểm tra an ninh để bao gồm cả tài khoản lưu trữ, sao lưu và máy chủ. Thay đổi vai trò WordPress sẽ không xóa quyền truy cập thông qua trang tổng quan lưu trữ.
Đưa những ý tưởng vào thực tế.
Từ một cải tiến cụ thể đến một website hoàn chỉnh, chúng tôi giúp bạn xác định phạm vi và triển khai.
Trao đổi về website của tôiPhát triển Web WordPress Tùy chỉnhChia sẻ mục tiêu của bạn. Chúng tôi thường phản hồi trong vòng 4 giờ kèm theo các câu hỏi và bước tiếp theo thiết thực.
Kiểm tra vai trò nhỏ hơn trước khi triển khai
Tạo một tài khoản thử nghiệm với vai trò được đề xuất trên dàn dựng. Yêu cầu chủ sở hữu tác vụ chạy quy trình làm việc bình thường của họ. Họ có thể lưu bản nháp, tải hình ảnh lên và gửi để xem xét không? Họ có thể đạt đến một cài đặt mà họ không nên thay đổi không?
Bao gồm một bài kiểm tra tiêu cực. Một vai trò chỉ hữu ích nếu tác vụ được phép hoạt động và tác vụ bị cấm không thành công. Tự kiểm tra biểu mẫu hoặc hành động API khi tính năng này sử dụng mã tùy chỉnh.
Của chúng tôi cập nhật hướng dẫn kiểm tra cung cấp một mẫu hữu ích để ghi lại các lần kiểm tra này. Lưu cài đặt vai trò cũ để có thể đảo ngược thay đổi không thành công.
Xử lý các quyền của plugin và cửa hàng một cách cẩn thận
Trình chỉnh sửa vai trò có thể trợ giúp nhưng cũng có thể tạo ra các quyền rộng rãi khó theo dõi. Tránh cấp một khả năng mạnh mẽ chỉ để sửa một nút bị thiếu.
Ví dụ: nhân viên hỗ trợ có thể cần đọc đơn đặt hàng nhưng không hoàn lại tiền. Người dùng tiếp thị có thể cần chỉnh sửa trang đích nhưng không cần thay đổi cài đặt thanh toán. Đó là những quyết định kinh doanh riêng biệt.
Hỏi nhà cung cấp plugin mỗi quyền cho phép những gì. Nếu plugin không thể phân chia hai tác vụ, hãy ghi lại giới hạn đó và chọn giải pháp thay thế có kiểm soát. Của chúng tôi dịch vụ phát triển chủ đề và plugin có thể đánh giá quy trình làm việc tùy chỉnh hẹp hơn.
Đóng quyền truy cập khi công việc kết thúc
Khi ai đó rời đi, hãy xem lại tài khoản WordPress, phiên, mật khẩu ứng dụng và các công cụ được liên kết của họ. Thu hồi những gì không còn cần thiết. Chuyển quyền sở hữu nội dung một cách cẩn thận; xóa tài khoản không nên vô tình xóa bài viết.
Đối với thông tin đăng nhập được chia sẻ, hãy xác định mọi hệ thống đã sử dụng chúng trước khi luân chuyển chúng. Cấp cho nhóm tiếp theo quyền truy cập cá nhân ngay từ đầu. Xem lại kết quả sau khi bàn giao chứ không chỉ xem ngày thực hiện thay đổi.
Ghép nối các đánh giá truy cập với xác thực hai yếu tố cho mọi người và các điều khiển bí mật riêng biệt cho ứng dụng.
Giữ đánh giá nhỏ và có thể lặp lại
Đặt khoảng thời gian xem xét phù hợp với nhóm của bạn. Kiểm tra lại quyền truy cập sau khi thay đổi nhân viên, nhà cung cấp mới hoặc cài đặt plugin chính. Yêu cầu chủ sở hữu xác nhận quyền truy cập thay vì sao chép danh sách của quý trước.
Của chúng tôi các gói bảo trì WordPress có thể bao gồm thói quen này. Quá trình kiểm tra hữu ích kết thúc với ít quyền không được giải thích hơn và chủ sở hữu rõ ràng cho mọi tài khoản.
Các câu hỏi thường gặp
Mọi nhà phát triển có nên có tài khoản quản trị viên vĩnh viễn không?
Không. Cấp quyền truy cập cho một nhiệm vụ đã xác định và xem lại nhiệm vụ đó khi công việc đó kết thúc. Một số công việc cần có quyền quản trị nhưng điều đó không đòi hỏi quyền truy cập vĩnh viễn.
Trình chỉnh sửa có thể cài đặt plugin theo mặc định không?
Trên thiết lập một trang thông thường, vai trò Trình chỉnh sửa mặc định không thể cài đặt plugin. Mã và plugin tùy chỉnh có thể thay đổi khả năng, vì vậy hãy kiểm tra trang web thực tế.
Việc ẩn menu bảng điều khiển có phải là biện pháp kiểm soát bảo mật không?
Nó có thể đơn giản hóa giao diện nhưng không thay thế việc kiểm tra quyền đối với hành động cơ bản hoặc điểm cuối API.
Việc xóa một người dùng cũng sẽ xóa bài viết của họ?
Quy trình xóa có thể ảnh hưởng đến quyền sở hữu nội dung. Xem lại các lựa chọn và chỉ định lại nội dung nếu cần trước khi xác nhận xóa.
