Moodul 3 · 3.3
Kasutajad ja rollid
Moodul 3: Aadress, https ja kasutajad · Lugemisaeg: 8 minutit
Õpieesmärk: pärast seda õppetundi oskad rollid ja õigused jagada nii, et igaüks saab teha ainult seda, mida tal vaja on.
Põhimõisted: roll, capability (õigus), haldur, redaktor, autor, kirjutaja, tellija, väikseimad õigused, üks konto inimese kohta, ekraaninimi ja kasutajanimi, rakenduseparool, kasutaja kustutamine ja sisu ülekandmine
Rollid ja õigused
Igaühel, kes logib sisse sinu WordPressi saidile, on roll. Roll on pakike õigusi (WordPressi keeles capabilities): kas see inimene tohib kirjutada postitusi, muuta teiste postitusi, paigaldada pluginaid, luua kasutajaid? WordPressil on viis vaikimisi rolli (eestikeelsed nimed sulgudes):
| Roll | Mida see roll teha saab | Tüüpiline kasutaja |
|---|---|---|
| Administrator (Haldur) | Kõike: teemad, pluginad, kasutajad, seaded, kogu sisu | Üks või kaks inimest, kes haldavad saiti tehniliselt |
| Editor (Redaktor) | Kõigi postituste ja lehtede loomine, muutmine, avaldamine ja kustutamine, ka teiste omad; kommentaaride haldamine | Inimene, kes jälgib kogu saidi sisu |
| Author (Autor) | Oma postituste kirjutamine, piltide üleslaadimine ja avaldamine | Püsiv kirjutaja |
| Contributor (Kirjutaja) | Oma postituste kirjutamine, kuid ei saa avaldada ega üles laadida | Külaliskirjutaja, kelle tekste kontrollitakse üle |
| Subscriber (Tellija) | Ainult oma profiili haldamine | Liikmed, kes peavad sisu lugemiseks sisse logima |
Saidivõrgustiku (multisite) puhul on olemas ka superhaldur. Pluginad lisavad vahel oma rolle, näiteks Winkelmanager ja Klant WooCommerce'is, või rolli SEO haldamiseks.
Pane tähele vahet autori ja redaktori vahel: autor pääseb ligi ainult oma postitustele, redaktor kõigele. Redaktor ei saa aga paigaldada pluginaid ega muuta seadeid. See ongi mõte.
Põhimõte: nii vähe õigusi kui vajalik
Iga konto on võimalik sissepääs ründajale. Lekkinud tellija parool ei tee suurt kahju. Lekkinud halduri parool annab täieliku kontrolli: ründaja saab üles laadida plugina, mis sisaldab pahatahtlikku koodi, ja pääseb seeläbi ligi kõigile failidele ja sinu saidi andmebaasile.
Seepärast anna igaühele madalaim roll, millega ta saab oma tööd teha:
- Turunduskolleeg, kes kirjutab blogipostitusi: autor või redaktor, mitte haldur.
- Praktikant, kes esitab uudiseid: kirjutaja; keegi teine avaldab need.
- Veebilehe koostaja, kes käib ühekordselt midagi tegemas: ajutine halduri konto, mille hiljem kustutad või madalamale rollile viid.
- Sina ise: kaalu kahte kontot, haldurit hoolduseks ja redaktorit igapäevaseks kirjutamiseks. Kui haldur vaatab nakatunud lehte või klõpsab võltslingil, saab ründaja rohkem kätte kui redaktori konto puhul.
Mõned sellega seotud reeglid:
- Üks konto inimese kohta. Ära kunagi kasuta jagatud kontot nagu „kontor“ või „toimetus“. Siis ei tea, kes mida tegi, ei saa ühelt inimeselt eraldi ligipääsu ära võtta ja parool liigub ringi meilide ja sedelite kaudu.
- Korista regulaarselt. Kui keegi lahkub, kustuta konto või muuda see tellijaks. Vaata iga kvartali tagant üle, millised haldurid on olemas (õppetund 9.4). Tundmatu haldur on üks selgemaid häkkimise tunnuseid (õppetund 7.5).
- Ära loo kontosid rakendustele, mis seda ei vaja. Kui mingi ühendus (rakendus, mõni teine süsteem) peab WordPressiga suhtlema, kasuta rakenduseparooli (vaata allpool).
Kasutajanimi ja ekraaninimi
Igal kontol on kasutajanimi (millega logid sisse, seda ei saa muuta) ja ekraaninimi (mis kuvatakse su postituste juures, näiteks „Lisa de Vries“). Vali ekraaninimi profiilis väljal „Näita avalikult kui“.
Kas kasutajanimi on saladus? Mitte päriselt. WordPress näitab mitmes kohas sellest tuletatud nime: autoriarhiivi aadressis (/author/lisa/) ja saidi REST-liidese sisendis (/wp-json/wp/v2/users), kõigi kohta, kes on postituse avaldanud. See nimi (nn slug) on sageli sama, mis kasutajanimi. Ründajal on siis juba pool vajalikust teabest käes. Tegelik kaitse on tugev parool ja kaheastmeline autentimine (õppetund 7.3), kuid kasutajanimi, mis ei ole sama mis su avalik nimi, aitab veidi kaasa. Õppetunnis 7.3 vaatad, mida sinu sait paljastab.
Rakenduseparoolid
Alates WordPress 5.6-st on igal profiilil all osas Rakenduseparoolid. Nende abil loote eraldi parooli ühe ühenduse jaoks, näiteks oma telefoni rakendusele või süsteemile, mis postitab postitusi REST API kaudu. Eelised:
- Sa ei anna oma päris parooli ära.
- Saad ühe ühenduse tühistada ilma oma parooli muutmata.
- Rakenduseparool ei tööta tavalisse haldusliidesesse sisselogimiseks.
Rakenduseparoolil on samad õigused, mis kontol endal. Loo see seega kontol, millel on sobiv (madal) roll. Kui sa ei kasuta ühendusi, ei vaja sa neid.
Kellegi kustutamine
Kui kustutad kasutaja, kes on kirjutanud postitusi, küsib WordPress, mis selle sisuga tehakse:
- Kustuta kogu sisu: kõik selle inimese postitused ja lehed kaovad. Peaaegu kunagi ei ole see see, mida tahad.
- Kõik sisu ülekandmine teisele kasutajale: postitused jäävad alles, uue kasutaja nime all autorina.
Vali peaaegu alati teine võimalus. Kui soovid vana autori nime postituste juures hoida, muuda konto tellijaks ja anna sellele uus, pikk parool, selle asemel, et see kustutada.
Praktikas: nii näeb see välja halduses
WordPressi halduses:
- Kasutajad > Kõik kasutajad: ülaosas on näidatud, mitu kontot on igal rollil. Klõpsa Haldur, et näha ainult haldureid.
- Kasutajad > Lisa kasutaja: täida kasutajanimi ja e-post ning vali roll. Lase WordPressil saata parooli link, selle asemel et ise parool meiliga saata.
- Profiil: vali ekraaninimi ja halda all osas rakenduseparoole.
Kokkuvõte
- Roll on õiguste pakett; WordPressil on haldur, redaktor, autor, kirjutaja ja tellija.
- Anna igaühele madalaim roll, millega ta saab oma tööd teha, ja hoia haldurite arv väike.
- Üks konto inimese kohta, mitte kunagi jagatud; korista kontod ära, kui keegi lahkub.
- Kasutajanimed ei ole saladus; tegelik kaitse on tugev parool ja kaheastmeline autentimine.
- Kustutamisel kannad sisu üle kellelegi teisele; rakenduseparoole kasutad ühenduste jaoks.
Test (quiz)
Ülesanne
Ülesanne D3.3: Sinu veebisaidi rollide audit. Ava Kasutajad > Kõik kasutajad ja koosta nimekiri: iga konto kohta roll, kas inimene on endiselt aktiivne ja millist rolli ta tegelikult vajab. Märgi üles, mitu haldurit sul oli ja mitu on pärast koristamist alles. Linnukesega kinnita: pole jagatud kontosid, pole tundmatuid haldureid, lahkunud inimesed kustutatud või madalamale rollile viidud (sisu üle kantud), kasutamata rakenduseparoolid tühistatud. Selgita ühe lausega, miks sa annad endale eraldi redaktori konto või mitte.
Ülesanne D3.3: Sinu veebisaidi rollide audit
Selle ülesande teed ise, keegi ei kontrolli seda. Märgi ära, mida tegid, ja märgi ülesanne tehtuks.
Haldurite arv pärast ülevaatust ei ole suurem kui enne, ja sinu põhjendus viitab põhimõttele "nii vähe õigusi kui vaja": kes ainult kirjutab, ei vaja administraatori rolli.
Su linnukesed ja märkmed jäävad ainult sellesse brauserisse, me ei saada neid kuhugi. Kui oled sisse loginud, salvestame Minu kursustes ainult info, et tegid ülesande ära.
Lisalugemist
Need artiklid kirjeldavad samme WebOké paneelides; teistes paneelides toimivad need sarnaselt.
- DirectAdmin juhend 3.7: Turvalised paroolid ja mida teha lekkinud parooli korral
- Ma ei saa WordPressi sisse logida: mida nüüd teha?
- Rollid ja õigused (wordpress.org, inglise keeles): https://wordpress.org/documentation/article/roles-and-capabilities/