Modul 3 · 3.3
Korisnici i uloge
Modul 3: Adresa, https i korisnici · Vrijeme čitanja: 8 minuta
Cilj učenja: Nakon ove lekcije moći ćete rasporediti uloge i prava tako da svatko može raditi samo ono što mu je potrebno.
Ključni pojmovi: uloga, capability (pravo), administrator, urednik, autor, suradnik, pretplatnik, najmanja potrebna prava, jedan račun po osobi, javno ime i korisničko ime, lozinka aplikacije, brisanje korisnika i dodjela sadržaja
Uloge i prava
Svatko tko se prijavljuje na Vašu WordPress web-stranicu ima ulogu. Uloga je paket prava (u WordPress terminologiji capabilities): smije li ta osoba pisati objave, uređivati tuđe objave, instalirati dodatke, stvarati korisnike? WordPress ima pet standardnih uloga (hrvatski nazivi u zagradama):
| Uloga | Što ta uloga može | Tipično za |
|---|---|---|
| Administrator (Administrator) | Sve: teme, dodatke, korisnike, postavke, sav sadržaj | Jednu ili dvije osobe koje tehnički upravljaju web-stranicom |
| Editor (Urednik) | Izrada, uređivanje, objavljivanje i brisanje svih objava i stranica, uključujući tuđe; upravljanje komentarima | Osobu koja vodi računa o cjelokupnom sadržaju web-stranice |
| Author (Autor) | Pisanje vlastitih objava, učitavanje slika i objavljivanje | Stalnog autora |
| Contributor (Suradnik) | Pisanje vlastitih objava, ali bez objavljivanja i bez učitavanja datoteka | Gostujućeg autora čiji se tekstovi provjeravaju |
| Subscriber (Pretplatnik) | Upravljanje samo vlastitim profilom | Članove koji se moraju prijaviti da bi nešto pročitali |
Kod mreže web-stranica (multisite) postoji i uloga superadministrator. Dodaci ponekad dodaju vlastite uloge, poput Upravitelj trgovine i Kupac kod WooCommerce, ili ulogu za upravljanje SEO-om.
Obratite pozornost na razliku između autora i urednika: autor može raditi samo na vlastitim objavama, urednik na svemu. A urednik ne može instalirati dodatke ni mijenjati postavke. To je upravo namjera.
Načelo: najmanje prava koja su potrebna
Svaki je račun potencijalni ulaz za napadača. Procurjela lozinka pretplatnika čini malo štete. Procurjela lozinka administratora daje potpunu kontrolu: napadač može učitati dodatak sa zlonamjernim kodom i time doći do svih datoteka i baze podataka Vaše web-stranice.
Zato svima dodijelite najnižu ulogu s kojom mogu obaviti svoj posao:
- Kolega iz marketinga koji piše blogove: autor ili urednik, ne administrator.
- Pripravnik koji dostavlja vijesti: suradnik; netko drugi objavljuje.
- Izrađivač web-stranice koji dolazi obaviti nešto jednokratno: privremeni administratorski račun koji nakon toga brišete ili snižavate.
- Vi sami: razmislite o dva računa, administratorskom za održavanje i urednističkom za svakodnevno pisanje. Tko kao administrator pregledava zaraženu stranicu ili klikne na lažnu poveznicu, time otkriva više nego urednik.
Nekoliko pravila koja uz to idu:
- Jedan račun po osobi. Nikada zajednički račun "ured" ili "redakcija". Tada ne znate tko je što napravio, ne možete pojedinačno nekome oduzeti pristup, a lozinka kruži e-poštom i papirićima.
- Čistite redovito. Kad netko ode, obrišite račun ili ga postavite na pretplatnika. Svako tromjesečje provjerite koji administratori postoje (lekcija 9.4). Nepoznati administrator jedan je od najjasnijih znakova hakiranja (lekcija 7.5).
- Bez računa za aplikacije kojima to nije potrebno. Treba li neka veza (aplikacija, drugi sustav) imati pristup WordPressu, upotrijebite lozinku aplikacije (vidi dolje).
Korisničko ime i javno ime
Svaki račun ima korisničko ime (kojim se prijavljujete, ne može se mijenjati) i javno ime (ono što stoji uz Vaše objave, poput "Lisa de Vries"). Javno ime odaberite u profilu pod "Prikaži javno kao".
Je li Vaše korisničko ime tajno? Zapravo ne baš. WordPress na više mjesta prikazuje izvedeni naziv: u adresi arhive autora (/author/lisa/) i na REST ulazu web-stranice (/wp-json/wp/v2/users), za svakoga tko je objavio neku objavu. Taj naziv (tzv. slug) često je jednak korisničkom imenu. Napadač time dobiva polovicu onoga što mu treba. Prava zaštita leži u jakoj lozinki i dvofaktorskoj autentifikaciji (lekcija 7.3), ali korisničko ime koje nije jednako Vašem javnom imenu malo pomaže. U lekciji 7.3 provjerit ćete što Vaša web-stranica pokazuje.
Lozinke aplikacija
Od WordPressa 5.6 svaki profil ima pri dnu opciju Lozinke aplikacije. Njome izrađujete zasebnu lozinku za jednu vezu, primjerice aplikaciju na telefonu ili sustav koji preko REST API-ja objavljuje objave. Prednosti:
- Ne odajete svoju stvarnu lozinku.
- Jednu vezu možete opozvati bez promjene vlastite lozinke.
- Lozinka aplikacije ne radi za prijavu u uobičajenu nadzornu ploču.
Lozinka aplikacije ima ista prava kao i sam račun. Zato je izradite kod računa s prikladnom (niskom) ulogom. Ako ne koristite veze, one Vam nisu ni potrebne.
Brisanje osobe
Ako brišete korisnika koji je napisao objave, WordPress će pitati što učiniti s tim sadržajem:
- Obriši sav sadržaj: sve objave i stranice te osobe nestaju. Gotovo nikad nije ono što želite.
- Dodijeli sav sadržaj drugom korisniku: objave ostaju, s novim korisnikom kao autorom.
Gotovo uvijek odaberite drugu opciju. Želite li zadržati ime starog autora uz objave? Tada snizite račun na pretplatnika i dodijelite mu novu, dugu lozinku, umjesto da ga brišete.
U praksi: ovako to izgleda u administraciji
U administraciji WordPressa:
- Korisnici > Svi korisnici: pri vrhu je prikazano koliko računa postoji po pojedinoj ulozi. Kliknite na Administrator da biste vidjeli samo administratore.
- Korisnici > Dodaj novog: unesite korisničko ime i e-poštu te odaberite ulogu. Neka WordPress pošalje poveznicu za postavljanje lozinke umjesto da sami šaljete lozinku e-poštom.
- Profil: odabir javnog imena te, pri dnu, upravljanje lozinkama aplikacija.
Sažetak
- Uloga je paket prava; WordPress ima administratora, urednika, autora, suradnika i pretplatnika.
- Svima dodijelite najnižu ulogu s kojom mogu obaviti svoj posao i držite broj administratora malim.
- Jedan račun po osobi, nikad zajednički; počistite račune kad netko ode.
- Korisnička imena nisu tajna; prava zaštita je jaka lozinka i dvofaktorska autentifikacija.
- Pri brisanju dodijelite sadržaj nekome drugome; lozinke aplikacija koristite za veze.
Kviz
Zadatak
Zadatak D3.3: Revizija uloga na Vašoj web-stranici. Otvorite Korisnici > Svi korisnici i izradite popis: po računu uloga, je li osoba još uvijek aktivna i koja joj uloga zapravo treba. Upišite koliko ste administratora imali i koliko ih je ostalo nakon čišćenja. Potvrdite: nema zajedničkih računa, nema nepoznatih administratora, osobe koje su otišle su obrisane ili snižene (uz dodjelu sadržaja), neiskorištene lozinke aplikacija su opozvane. Objasnite u jednoj rečenici zašto sebi dodjeljujete ili ne dodjeljujete zaseban urednički račun.
Zadatak D3.3: Revizija uloga na Vašoj web-stranici
Ovaj zadatak rješavate sami; nitko ga ne provjerava. Označite što ste napravili i označite zadatak kao završen.
Broj administratora nakon kruga nije veći nego prije, a Vaš razlog upućuje na "što manje prava koliko je potrebno": tko samo piše, ne treba ulogu administratora.
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatno čitanje
Ovi članci opisuju korake u administracijskim panelima WebOké; u drugim panelima funkcioniraju na sličan način.