Používatelia a roly

Modul 3: Adresa, https a používatelia · Čas čítania: 8 minút

Cieľ lekcie: Po tejto lekcii dokážete rozdeliť roly a práva tak, aby mohol každý robiť len to, čo na svoju prácu potrebuje.

Kľúčové pojmy: rola, capability (právo), administrátor, redaktor, autor, prispievateľ, odberateľ, čo najmenšie práva, jeden účet na osobu, zobrazované meno a používateľské meno, applikačné heslo, odstránenie používateľa a priradenie obsahu

Roly a práva

Každý, kto sa prihlási na vašu stránku WordPress, má rolu. Rola je balíček práv (v terminológii WordPressu capabilities): môže táto osoba písať články, upravovať cudzie články, inštalovať pluginy, vytvárať používateľov? WordPress má päť predvolených rolí:

Pri sieti stránok (multisite) existuje aj rola superadministrátor. Pluginy niekedy pridávajú vlastné roly, napríklad Správca obchodu a Zákazník pri WooCommerce, alebo rolu na správu SEO.

Všimnite si rozdiel medzi autorom a redaktorom: autor môže pracovať len so svojimi vlastnými článkami, redaktor so všetkým. A redaktor nemôže inštalovať pluginy ani meniť nastavenia. To je presne zámer.

Princíp: čo najmenej práv, koľko je potrebné

Každý účet je potenciálnym vstupom pre útočníka. Uniknuté heslo odberateľa spôsobí málo škody. Uniknuté heslo administrátora dáva plnú kontrolu: útočník môže nahrať plugin so škodlivým kódom a tak sa dostať ku všetkým súborom aj k databáze vašej stránky.

Preto každému dávajte najnižšiu rolu, s ktorou dokáže vykonávať svoju prácu:

• Kolega z marketingu, ktorý píše blogy: autor alebo redaktor, nie administrátor.
• Stážista, ktorý dodáva novinky: prispievateľ; publikuje niekto iný.
• Dodávateľ webu, ktorý príde urobiť jednorazovú úpravu: dočasný administrátorský účet, ktorý potom odstránite alebo znížite jeho rolu.
• Vy sami: zvážte dva účty, administrátorský na údržbu a redaktorský na bežné písanie. Kto si ako administrátor prezrie infikovanú stránku alebo klikne na podvodný odkaz, prezradí viac než redaktor.

Niekoľko pravidiel, ktoré k tomu patria:

• Jeden účet na osobu. Nikdy nezdieľaný účet „kancelária“ alebo „redakcia“. Potom neviete, kto čo urobil, nemôžete nikomu jednotlivo zrušiť prístup a heslo koluje cez e-mail a papieriky.
• Upratujte. Keď niekto odíde, odstráňte účet alebo ho preraďte na odberateľa. Každý štvrťrok skontrolujte, ktorí administrátori existujú (lekcia 9.4). Neznámy administrátor je jeden z najjasnejších znakov hacknutia (lekcia 7.5).
• Žiadne účty pre aplikácie, ktoré ich nepotrebujú. Ak sa má s WordPressom prepojiť aplikácia alebo iný systém, použite applikačné heslo (viď nižšie).

Používateľské meno a zobrazované meno

Každý účet má používateľské meno (ktorým sa prihlasujete, nedá sa zmeniť) a zobrazované meno (čo sa objavuje pri vašich článkoch, napríklad „Lisa de Vries“). Zobrazované meno si vyberiete v profile pri položke „Verejne zobrazovať ako“.

Je vaše používateľské meno tajné? Nie celkom. WordPress na viacerých miestach zobrazuje odvodené meno: v adrese archívu autora (/author/lisa/) a vo vstupnom bode REST rozhrania stránky (/wp-json/wp/v2/users), pre každého, kto publikoval aspoň jeden článok. Toto meno (tzv. slug) sa často zhoduje s používateľským menom. Útočník tak má polovicu toho, čo potrebuje. Skutočná ochrana spočíva v silnom hesle a dvojfaktorovom overení (lekcia 7.3), ale používateľské meno, ktoré sa nezhoduje s vašim verejným menom, trochu pomôže. V lekcii 7.3 si overíte, čo zobrazuje vaša stránka.

Applikačné heslá

Od verzie WordPress 5.6 má každý profil v spodnej časti položku Applikačné heslá. Pomocou nej vytvoríte samostatné heslo pre jedno konkrétne prepojenie, napríklad aplikáciu v telefóne alebo systém, ktorý cez REST API vkladá články. Výhody:

• Neprezrádzate svoje skutočné heslo.
• Jedno prepojenie môžete zrušiť bez zmeny vlastného hesla.
• Applikačné heslo nefunguje na prihlásenie do bežnej administrácie.

Applikačné heslo má rovnaké práva ako samotný účet. Vytvorte ho preto pri účte s primeranou (nízkou) rolou. Ak prepojenia nepoužívate, nepotrebujete ich.

Odstránenie niekoho

Keď odstraňujete používateľa, ktorý napísal články, WordPress sa opýta, čo sa má s týmto obsahom stať:

• Zmazať všetok obsah: všetky články a stránky danej osoby sa odstránia. Takmer nikdy to nie je to, čo chcete.
• Priradiť všetok obsah inému používateľovi: články ostanú zachované, s novým používateľom ako autorom.

Takmer vždy zvoľte druhú možnosť. Chcete pri článkoch zachovať meno pôvodného autora? Potom účet preraďte na odberateľa a nastavte mu nové, dlhé heslo, namiesto toho, aby ste ho odstránili.

V praxi: ako to vyzerá v paneli

V administrácii WordPressu:

1. Používatelia > Všetci používatelia: hore je uvedené, koľko účtov má každá rola. Kliknutím na Administrátor zobrazíte len administrátorov.
2. Používatelia > Pridať nového: vyplňte používateľské meno a e-mail a vyberte rolu. Nechajte WordPress odoslať odkaz na nastavenie hesla namiesto toho, aby ste heslo posielali e-mailom sami.
3. Profil: výber zobrazovaného mena a v spodnej časti správa applikačných hesiel.

Zhrnutie

• Rola je balíček práv; WordPress má administrátora, redaktora, autora, prispievateľa a odberateľa.
• Dávajte každému najnižšiu rolu, s ktorou dokáže vykonávať svoju prácu, a udržujte počet administrátorov nízky.
• Jeden účet na osobu, nikdy nezdieľaný; keď niekto odíde, upratajte účty.
• Používateľské mená nie sú tajné; skutočnou ochranou je silné heslo a dvojfaktorové overenie.
• Pri odstraňovaní priraďte obsah inej osobe; applikačné heslá používajte pre prepojenia.

Kvíz

Úloha

Úloha D3.3: Audit rolí na vašej stránke. Otvorte Používatelia > Všetci používatelia a zostavte zoznam: pre každý účet rolu, či je daná osoba stále aktívna a akú rolu v skutočnosti potrebuje. Vyplňte, koľkých administrátorov ste mali a koľko ich zostalo po upratovacom kole. Zaškrtnite: žiadne zdieľané účty, žiadni neznámi administrátori, odídení ľudia odstránení alebo preradení (s priradeným obsahom), nepoužívané applikačné heslá zrušené. V jednej vete vysvetlite, prečo si vytvárate alebo nevytvárate samostatný redaktorský účet pre seba.

Čítajte ďalej

Tieto články popisujú kroky v paneloch WebOké; v iných paneloch fungujú obdobne.

• Návod na DirectAdmin 3.7: Bezpečné heslá a čo robiť pri úniku hesla
• Nemôžete sa prihlásiť do WordPress: čo teraz?
• Roly a práva (wordpress.org, anglicky): https://wordpress.org/documentation/article/roles-and-capabilities/