WordPress'te Kullanıcı Rolleri ve Yetkiler
İçindekiler
WordPress, birden fazla kişinin siteyi birlikte yönetebilmesi için hazır kullanıcı rolleriyle gelir. Ancak pratikte birçok sitede herkesin "Yönetici" olduğunu görürüz. Bu durum, bir hesabın ele geçirilmesi veya yanlış bir tıklama halinde tüm siteyi riske atar.
Varsayılan roller
Yönetici (Administrator)
Sitedeki her şeyi yapabilir: eklenti ve tema kurma, kullanıcı ekleme ve silme, ayarları değiştirme. Bu rol yalnızca sitenin teknik ve genel sorumluluğunu taşıyan kişilere verilmelidir.
Editör (Editor)
Tüm yazı ve sayfaları yayınlayabilir, düzenleyebilir ve silebilir; başkalarının içeriklerini yönetebilir ve yorumları moderasyondan geçirebilir. Eklenti, tema ve kullanıcı yönetimine erişemez. İçerik ekibinin sorumlusu için uygundur.
Yazar (Author)
Kendi yazılarını oluşturup yayınlayabilir ve görsel yükleyebilir. Başkalarının içeriklerini düzenleyemez.
Katkıda Bulunan (Contributor)
Yazı yazabilir ama yayınlayamaz; yazıları editör onayına gönderilir. Dışarıdan konuk yazarlar için uygundur.
Abone (Subscriber)
Yalnızca kendi profilini yönetebilir. Üyelik gerektiren sitelerde varsayılan roldür.
E-ticaret eklentileri "Mağaza Yöneticisi" veya "Müşteri" gibi ek roller tanımlayabilir.
Doğru rolü seçmek
En az yetki ilkesine göre her kişiye işini yapabileceği en düşük rol verilmelidir:
- Blog yazısı yazan çalışan: Yazar
- İçerikleri onaylayan sorumlu: Editör
- Dış ajans veya geliştirici: Gerektiğinde geçici Yönetici, iş bitince rol düşürme veya hesabı kapatma
- Mağaza siparişlerini yöneten çalışan: Mağaza yöneticisi benzeri bir rol
Bu ilkenin genel mantığını kullanıcı rolleri ve yetkilendirme yazımızda anlattık.
Güvenlik önerileri
- Her kişiye kendi hesabını açın; ortak hesap kullanmayın.
- Yönetici hesaplarında iki adımlı doğrulama kullanın.
- "admin" gibi tahmin edilebilir kullanıcı adlarından kaçının.
- Varsayılan yeni kullanıcı rolünün Abone olduğunu düzenli kontrol edin. Saldırganlar bu ayarı değiştirip kendilerine yönetici hesabı açabilir.
Genel güvenlik ayarları için WordPress güvenliği yazımıza göz atabilirsiniz.
Eski hesapların temizliği
İşten ayrılan çalışanların, projesi biten ajansların veya artık kullanılmayan test hesaplarının silinmesi ya da rollerinin düşürülmesi gerekir. Hesabı silerken o kişinin içeriklerini başka bir kullanıcıya atamayı unutmayın.
Düzenli kontrol
Birkaç ayda bir kullanıcı listesini rol bazında filtreleyerek yöneticileri gözden geçirin. Tanımadığınız bir yönetici hesabı varsa, sitenin ele geçirilmiş olabileceğini düşünün ve hemen inceleme yapın.
Özel roller
Bazı durumlarda varsayılan roller ihtiyacı tam karşılamaz. Örneğin yalnızca belirli bir içerik türünü yönetebilen bir rol gerekebilir. Rol yönetimi eklentileriyle özel roller oluşturulabilir; ancak bu ayarların dikkatli yapılması ve belgelenmesi gerekir.
Kayıt tutma
Kimin hangi değişikliği yaptığını görmek, hataların kaynağını bulmayı ve güvenlik olaylarını incelemeyi kolaylaştırır. Etkinlik kaydı tutan bir eklenti bu konuda yardımcı olabilir.
Sahte kayıtlar
Üyeliğe açık sitelerde botların oluşturduğu sahte hesaplar, kullanıcı listesini kirletir. Bu konuda spam yorum ve kayıtları engellemek yazımıza bakabilirsiniz.
WordPress sitenizin kullanıcı ve güvenlik ayarlarını gözden geçirmek için web güvenliği hizmetimizi inceleyebilirsiniz.