Uporabniki in vloge

Modul 3: Naslov, https in uporabniki · Čas branja: 8 minut

Učni cilj: Po tej lekciji boste znali razdeliti vloge in pravice tako, da bo lahko vsak naredil samo tisto, kar za svoje delo potrebuje.

Ključni pojmi: vloga, capability (pravica), skrbnik, urednik, avtor, sodelavec, naročnik, načelo najmanjših pravic, en račun na osebo, prikazano ime in uporabniško ime, geslo za aplikacije, brisanje uporabnika in dodeljevanje vsebine

Vloge in pravice

Vsak, ki se prijavi v Vaše WordPress spletno mesto, ima vlogo. Vloga je sveženj pravic (v WordPressovem jeziku capabilities): ali sme ta oseba pisati prispevke, urejati tuje prispevke, nameščati vtičnike, ustvarjati uporabnike? WordPress ima pet privzetih vlog (slovenska imena v oklepaju):

Pri omrežju spletnih mest (multisite) obstaja tudi vloga superskrbnik. Vtičniki včasih dodajo svoje vloge, na primer Upravitelj trgovine in Stranka pri WooCommerce, ali vlogo za upravljanje SEO.

Bodite pozorni na razliko med avtorjem in urednikom: avtor lahko ureja samo svoje prispevke, urednik pa vse. Urednik pa ne more nameščati vtičnikov ali spreminjati nastavitev. In prav to je namen.

Načelo: toliko pravic, kot je potrebno

Vsak račun je mogoč vstop za vdiralca. Razkrito geslo naročnika povzroči malo škode. Razkrito geslo skrbnika pa daje popoln nadzor: vdiralec lahko naloži vtičnik z zlonamerno kodo in tako pride do vseh datotek in podatkovne baze Vašega spletnega mesta.

Zato vsakomur dodelite najnižjo vlogo, s katero lahko opravlja svoje delo:

• Sodelavec iz trženja, ki piše bloge: avtor ali urednik, ne skrbnik.
• Pripravnik, ki pripravlja novice: sodelavec; nekdo drug objavi prispevek.
• Izdelovalec spletnih strani, ki pride enkrat kaj narediti: začasen skrbniški račun, ki ga potem izbrišete ali znižate.
• Vi sami: razmislite o dveh računih, skrbniškem za vzdrževanje in uredniškem za vsakodnevno pisanje. Kdor si kot skrbnik ogleda okuženo stran ali klikne na lažno povezavo, izda več podatkov kot urednik.

Nekaj pravil, ki sodijo zraven:

• En račun na osebo. Nikoli skupnega računa, denimo "pisarna" ali "uredništvo". Tako ne veste, kdo je kaj naredil, ne morete posamezniku odvzeti dostopa, geslo pa kroži po e-pošti in listkih.
• Pospravite za sabo. Ko nekdo odide, izbrišite njegov račun ali ga spremenite v naročnika. Vsako četrtletje preverite, kateri skrbniki obstajajo (lekcija 9.4). Neznan skrbnik je eden najjasnejših znakov vdora (lekcija 7.5).
• Brez računov za aplikacije, ki jih ne potrebujejo. Če mora povezava (aplikacija, drug sistem) dostopati do WordPressa, uporabite geslo za aplikacije (glejte spodaj).

Uporabniško ime in prikazano ime

Vsak račun ima uporabniško ime (s katerim se prijavite, ni ga mogoče spremeniti) in prikazano ime (ki je vidno ob Vaših prispevkih, na primer "Lisa de Vries"). Prikazano ime izberete v profilu pod "Prikaži javno kot".

Je Vaše uporabniško ime skrivno? Pravzaprav ne. WordPress na več mestih prikaže izpeljano ime: v naslovu avtorskega arhiva (/author/lisa/) in v REST vstopni točki spletnega mesta (/wp-json/wp/v2/users), za vsakogar, ki je objavil prispevek. To ime (slug) je pogosto enako uporabniškemu imenu. Vdiralec ima tako že polovico tega, kar potrebuje. Prava zaščita je v močnem geslu in dvostopenjskem preverjanju (lekcija 7.3), vendar uporabniško ime, ki ni enako Vašemu javnemu imenu, malce pomaga. V lekciji 7.3 boste preverili, kaj razkriva Vaše spletno mesto.

Gesla za aplikacije

Od WordPressa 5.6 ima vsak profil na dnu razdelek Gesla za aplikacije. S tem ustvarite ločeno geslo za eno povezavo, na primer aplikacijo na telefonu ali sistem, ki objavlja prispevke prek REST API. Prednosti:

• Svojega pravega gesla ne izdate.
• Eno povezavo lahko prekličete, ne da bi morali spremeniti lastno geslo.
• Geslo za aplikacije ne deluje za prijavo v običajno nadzorno ploščo.

Geslo za aplikacije ima enake pravice kot račun. Zato ga ustvarite pri računu z ustrezno (nizko) vlogo. Če ne uporabljate povezav, jih ne potrebujete.

Brisanje uporabnika

Če izbrišete uporabnika, ki je napisal prispevke, Vas WordPress vpraša, kaj naj se zgodi s to vsebino:

• Izbriši vso vsebino: vsi prispevki in strani te osebe izginejo. Skoraj nikoli ni to, kar želite.
• Dodeli vso vsebino drugemu uporabniku: prispevki ostanejo, z novim uporabnikom kot avtorjem.

Skoraj vedno izberite drugo možnost. Želite ob prispevkih obdržati ime starega avtorja? Potem račun znižajte v naročnika in mu dodelite novo, dolgo geslo, namesto da ga izbrišete.

V praksi: tako je videti v nadzorni plošči

V skrbništvu WordPressa:

1. Uporabniki > Vsi uporabniki: na vrhu je prikazano, koliko računov je pri posamezni vlogi. Kliknite Skrbnik, da vidite samo skrbnike.
2. Uporabniki > Nov uporabnik: vnesite uporabniško ime in e-pošto ter izberite vlogo. Naj WordPress pošlje povezavo za nastavitev gesla, namesto da sami po e-pošti pošljete geslo.
3. Profil: izbira prikazanega imena, na dnu pa upravljanje gesel za aplikacije.

Povzetek

• Vloga je sveženj pravic; WordPress ima skrbnika, urednika, avtorja, sodelavca in naročnika.
• Vsakomur dodelite najnižjo vlogo, s katero lahko opravlja svoje delo, in ohranjajte majhno število skrbnikov.
• En račun na osebo, nikoli skupnega; ko nekdo odide, pospravite njegove račune.
• Uporabniška imena niso skrivna; prava zaščita je močno geslo in dvostopenjsko preverjanje.
• Ob brisanju dodelite vsebino drugi osebi; gesla za aplikacije uporabite za povezave.

Kviz

Naloga

Naloga D3.3: Revizija vlog na Vašem spletnem mestu. Odprite Uporabniki > Vsi uporabniki in naredite seznam: za vsak račun vlogo, ali je oseba še vedno aktivna in katero vlogo dejansko potrebuje. Zapišite, koliko skrbnikov ste imeli in koliko jih je ostalo po Vaši čistilni akciji. Označite: brez skupnih računov, brez neznanih skrbnikov, odšle osebe izbrisane ali znižane (z dodeljeno vsebino), neuporabljena gesla za aplikacije preklicana. V enem stavku pojasnite, zakaj si boste ali ne boste ustvarili ločenega uredniškega računa.

Dodatno branje

Ti članki opisujejo korake v nadzornih ploščah WebOké; v drugih nadzornih ploščah delujejo podobno.

• Priročnik DirectAdmin 3.7: Varna gesla in kaj storiti ob uhajanju gesla
• Ne morem se prijaviti v WordPress: kaj storiti?
• Vloge in pravice (wordpress.org, v angleščini): https://wordpress.org/documentation/article/roles-and-capabilities/