WordPress szerepkörök és hozzáférés: milyen jogosultságot adj egy közösségimédia-menedzsernek és mit egy könyvelőnek

Van egy WordPress oldalad, és egy ponton már nem te vagy az egyetlen, aki bejelentkezik. Szeretnéd, hogy valaki publikáljon a blogon, valaki más lássa a rendeléseket a könyveléshez, esetleg egy fejlesztő módosítson valamit. A legtöbb ember reflexe, hogy gondolkodás nélkül osztogat „hozzáférést” — vagyis mindenkinek Adminisztrátor szerepkört. Ez a leggyakoribb hiba, és egyben a legdrágább is.

A WordPress rendelkezik egy szerepkör-rendszerrel, amit pontosan erre találtak ki: mindenki csak azt kapja meg, amire a munkájához szüksége van, semmivel sem többet. Egy közösségimédia-menedzsernek semmi keresnivalója a fizetési beállításokban, egy könyvelőnek pedig nincs szüksége arra, hogy oldalakat töröljön vagy megváltoztassa a sablont. Ebben a cikkben konkrétan megmutatom, milyen szerepkört adj kinek és miért.

Az öt standard WordPress szerepkör röviden

A WordPress alapból öt szerepkörrel érkezik, a legerősebbtől a legkorlátozottabbig:

• Adminisztrátor — bármit megtehet: megváltoztathatja a sablont, bővítményeket telepíthet, oldalakat törölhet, felhasználókat adhat hozzá és távolíthat el, minden beállításhoz hozzáfér. Ez a „széf kulcsa”.
• Szerkesztő (Editor) — bármelyik bejegyzést vagy oldalt publikálhatja, szerkesztheti és törölheti, beleértve mások tartalmát is, valamint kezeli a hozzászólásokat. Nem nyúl a beállításokhoz, a sablonokhoz vagy a bővítményekhez.
• Szerző (Author) — csak a saját bejegyzéseit írja, publikálja és szerkeszti. Nem látja és nem módosítja azt, amit mások csinálnak.
• Közreműködő (Contributor) — megírja a saját bejegyzéseit, de nem publikálhatja őket; jóváhagyásra beküldi. Nem tölthet fel képeket.
• Feliratkozó (Subscriber) — csak olvas és a saját profilját kezeli. Hasznos korlátozott hozzáférésű tartalmi területeknél.

Az egyszerű szabály: add a legkisebb szerepkört, amivel az illető még el tudja végezni a munkáját. Bővíteni bármikor tudsz, de a már megtörtént kárt nehéz helyrehozni.

Közösségimédia-menedzser: általában Szerkesztő, néha Szerző

Egy közösségimédia-menedzsernek vagy tartalomkészítőnek publikálnia kell a blogon, képeket kell hozzáadnia, esetleg frissítenie egy kampányoldalt. A Szerkesztő szerepkör mindezt lefedi anélkül, hogy hozzáférést adna a beállításokhoz, a fizetésekhez vagy az oldal szerkezetéhez.

Ha valaki új vagy külsős emberrel dolgozol, és egy extra biztonsági réteget szeretnél, kezdj a Szerzővel: ő csak a saját bejegyzéseit publikálja, és nem nyúlhat senki más munkájához. És ha minden bejegyzést látni akarsz, mielőtt élesbe kerül, a Közreműködő az ideális — ő ír, te jóváhagysz.

Amit NEM szabad: Adminisztrátor szerepkört adni neki, „hogy gyorsabb legyen”. Egy adathalászattal feltört közösségimédia-fiók Adminisztrátor jogokkal nyitott kapuvá válik az egész oldalhoz. Szerkesztő jogokkal a legrosszabb esetben egyetlen törlendő bejegyzés a kár.

A könyvelő: a különleges eset, amihez nincs kész szerepkör

Itt kezd bonyolulttá válni, mert a WordPressben nincs „Könyvelő” szerepkör. Egy könyvelő általában a rendeléseket, a számlákat és az értékesítési jelentéseket akarja látni — nem bejegyzéseket írni vagy a tartalomhoz nyúlni.

Ha WooCommerce webáruházat üzemeltetsz, létezik a Shop Manager (Bolti vezető) szerepkör, amely megtekintheti és kezelheti a rendeléseket és a jelentéseket. De vigyázz: a Shop Manager erős — megváltoztathatja a termékeket, az árakat, sőt bizonyos felhasználókat is. Egy könyvelőnek, akinek csak adatokat kell kinyernie, ez gyakran túl sok.

A legegészségesebb megoldások:

• Egy egyedi, csak olvasható szerepkör a rendelésekhez és jelentésekhez, amelyet egy szerepkör-kezelő bővítménnyel építesz fel.
• Vagy, még egyszerűbben, időszakos exportokat (CSV/PDF) küldesz neki, és egyáltalán nem adsz fiókot az oldalon.

A könyvelőnek gyakran nincs is szüksége élő hozzáférésre — tiszta adatokra van szüksége, időben.

Egyedi szerepkörök: amikor a standardok nem illenek

A valóság az, hogy nem mindenki fér bele szépen az öt szerepkör egyikébe. Itt jönnek képbe a szerepkör-kezelő bővítmények (mint a Members vagy a User Role Editor) — felépíthetsz egy szerepkört, amely pontosan az illető igényéhez igazodik: „látja a rendeléseket, de nem törölheti őket”, „csak a szolgáltatások oldalakat szerkeszti”, „látja a jelentéseket, de a beállításokat nem”.

Az elv ugyanaz marad; ezt „legkisebb jogosultság” elvének (least privilege) hívják: mindenki szigorúan csak azokat a jogosultságokat kapja meg, amelyekre szüksége van, semmi többet. Bürokráciának hangzik, de megkímél a kínos beszélgetésektől, amikor egy fiókot feltörnek, vagy egy együttműködő rossz szájízzel távozik.

Egy gyakorlati tipp: írd le valahová, kinek melyik szerepköre van és miért. Fél év múlva nem fogsz emlékezni rá, miért van „Andrásnak” hozzáférése a rendelésekhez — és egy világos lista az első védelmi vonalad.

Hozzáférési higiénia: néhány szabály, ami fontosabb a szerepkörnél

A megfelelő szerepkör csak a történet fele. A többi fegyelem kérdése:

• Egy fiók személyenként. Soha ne legyen közös „céges” bejelentkezés, amit hárman használnak — elveszíted a fonalat, ki mit csinált.
• Erős jelszavak és kétfaktoros hitelesítés (2FA), különösen az Adminisztrátor fiókoknál.
• Amikor valaki távozik, még aznap töröld vagy tiltsd le a fiókját, nem pedig „majd ha lesz időm”.
• Tartsd minimálison az adminisztrátorok számát. Ideális esetben egy-két ember, akiben megbízol.
• Időnként nézd át a felhasználói listát, és távolítsd el a fiókokat, amelyeket már nem ismersz fel.

A MPO Web Studio-nál, amikor átadunk egy oldalt, tiszta szerepkör-beállításokkal adjuk át, és pontosan elmagyarázzuk, kinek mije legyen. Ha már van oldalad, és nem vagy biztos benne, kinek mihez van hozzáférése, írj nekünk WhatsApp-on — együtt lefuttatunk egy gyors átvizsgálást, gond nélkül.