Главное правило — выдавать пользователю только те права, которые нужны для его задачи. WordPress использует роли и отдельные capabilities: это не просто разные названия аккаунтов, а наборы разрешённых действий.
Какие роли есть в WordPress
- Administrator: управление настройками, плагинами, пользователями и другими функциями обычного сайта.
- Editor: управление публикациями, в том числе чужими.
- Author: публикация и редактирование собственных записей.
- Contributor: создание и правка своих черновиков без права публикации.
- Subscriber: базовый пользовательский доступ к профилю.
На WordPress Multisite есть дополнительные различия, включая Super Admin. Плагины могут вводить свои роли и права.
Порядок аудита
- Откройте Пользователи → Все пользователи. Проверьте действующих людей, роли и последние известные назначения.
- Неизвестные учётные записи и слишком широкие права выделите для проверки владельцу сайта; не удаляйте их до понимания зависимостей.
- Для публикаций используйте Editor/Author, а не Administrator, если нет задачи менять системные настройки.
- Сотруднику на короткий проект выдавайте персональный доступ и задавайте срок его отзыва.
- Проверьте, что плагины и интеграции не выдали неожиданных capabilities. Одного отображаемого названия роли бывает недостаточно.
- Увольнение или окончание работ должны запускать отзыв доступа, токенов и сохранённых сессий.
Чем опасен общий администратор
Если несколько людей входят по одному логину, невозможно надёжно сопоставить изменение с исполнителем. Кроме того, утечка пароля компрометирует все действия такого аккаунта. Лучше отдельные аккаунты, 2FA и аудит.
После смены прав
Проверьте типовые рабочие действия под реальной ролью: редактор должен публиковать то, что ему разрешено, а не управлять установкой плагинов. Для API и автоматизации рассмотрите отдельный сервисный механизм с минимальными полномочиями и контролем ключей.
Связанные материалы: настройка 2FA и защита входа WordPress.
Источник: https://wordpress.org/documentation/article/roles-and-capabilities/
Материал был полезен?
Помогите нам сделать материалы точнее и понятнее.