Uživatelé a role

Modul 3: Adresa, https a uživatelé · Doba čtení: 8 minut

Cíl lekce: Po této lekci dokážete rozdělit role a oprávnění tak, aby mohl každý dělat jen to, co ke své práci potřebuje.

Klíčové pojmy: role, capability (oprávnění), administrátor, redaktor, autor, přispěvatel, odběratel, minimální oprávnění, jeden účet na osobu, zobrazované jméno a uživatelské jméno, aplikační heslo, odstranění uživatele a přiřazení obsahu

Role a oprávnění

Každý, kdo se přihlásí na Váš web s WordPressem, má přidělenou roli. Role je sada oprávnění (v terminologii WordPressu capabilities): smí tato osoba psát příspěvky, upravovat příspěvky ostatních, instalovat pluginy, vytvářet uživatele? WordPress má pět výchozích rolí (české názvy v závorce):

U sítě webů (multisite) existuje navíc role superadministrátor. Pluginy někdy přidávají vlastní role, například Správce obchodu a Zákazník u WooCommerce, nebo roli pro správu SEO.

Všimněte si rozdílu mezi autorem a redaktorem: autor má přístup jen ke svým vlastním příspěvkům, redaktor ke všemu. Redaktor přitom nemůže instalovat pluginy ani měnit nastavení. A přesně to je účel.

Princip: jen tolik práv, kolik je potřeba

Každý účet je potenciální vstupní branou pro útočníka. Uniklé heslo odběratele napáchá málo škody. Uniklé heslo administrátora dává plnou kontrolu: útočník může nahrát plugin se škodlivým kódem a dostat se tak ke všem souborům a k databázi Vašeho webu.

Proto každému přidělte nejnižší roli, se kterou může vykonávat svou práci:

• Kolega z marketingu, který píše blogy: autor nebo redaktor, ne administrátor.
• Stážista, který dodává novinky: přispěvatel; publikuje někdo jiný.
• Developer, který přijde udělat jednu věc: dočasný administrátorský účet, který poté odstraníte nebo snížíte.
• Vy sami: zvažte dva účty, administrátorský pro údržbu a redaktorský pro běžné psaní. Kdo si jako administrátor prohlédne napadenou stránku nebo klikne na podvodný odkaz, prozradí víc než redaktor.

Pár pravidel, která k tomu patří:

• Jeden účet na osobu. Nikdy sdílený účet „kancelář“ nebo „redakce“. Nevíte pak, kdo co udělal, nemůžete nikomu jednotlivě odebrat přístup a heslo koluje po e-mailech a papírcích.
• Udržujte pořádek. Pokud někdo odejde, odstraňte účet nebo mu snižte roli na odběratele. Každé čtvrtletí zkontrolujte, kteří administrátoři existují (lekce 9.4). Neznámý administrátor je jedno z nejzřetelnějších znamení napadení (lekce 7.5).
• Žádné účty pro aplikace, které je nepotřebují. Pokud potřebuje nějaké propojení (aplikace, jiný systém) přístup do WordPressu, použijte aplikační heslo (viz níže).

Uživatelské jméno a zobrazované jméno

Každý účet má uživatelské jméno (kterým se přihlašujete, nelze jej změnit) a zobrazované jméno (co se zobrazuje u Vašich příspěvků, například „Jana Nováková“). Zobrazované jméno nastavíte v profilu v poli „Zobrazovat veřejně jako“.

Je Vaše uživatelské jméno tajné? Vlastně ne. WordPress na několika místech zobrazuje odvozené jméno: v adrese archivu autora (/author/jana/) a ve vstupním bodě REST rozhraní webu (/wp-json/wp/v2/users), u každého, kdo publikoval příspěvek. Toto jméno (tzv. slug) bývá často totožné s uživatelským jménem. Útočník tak má polovinu toho, co potřebuje. Skutečná ochrana spočívá v silném hesle a dvoufázovém ověření (lekce 7.3), ale uživatelské jméno, které se neshoduje s Vaším veřejným jménem, trochu pomáhá. V lekci 7.3 se podíváte, co Váš web prozrazuje.

Aplikační hesla

Od WordPressu 5.6 má každý profil dole sekci Aplikační hesla. Pomocí ní vytvoříte samostatné heslo pro jedno konkrétní propojení, například aplikaci v telefonu nebo systém, který přes REST API vkládá příspěvky. Výhody:

• Neprozradíte své skutečné heslo.
• Jedno propojení můžete zrušit, aniž byste museli měnit vlastní heslo.
• Aplikační heslo nefunguje pro přihlášení do běžné administrace.

Aplikační heslo má stejná oprávnění jako daný účet. Vytvářejte jej proto u účtu s odpovídající (nízkou) rolí. Pokud žádná propojení nepoužíváte, nepotřebujete je.

Odstranění uživatele

Pokud odstraňujete uživatele, který napsal příspěvky, zeptá se WordPress, co se má s tímto obsahem stát:

• Kompletně smazat: všechny příspěvky a stránky této osoby zmizí. Téměř nikdy to není to, co chcete.
• Přiřadit veškerý obsah jinému uživateli: příspěvky zůstanou zachovány, s novým uživatelem jako autorem.

Téměř vždy zvolte druhou možnost. Chcete u příspěvků zachovat jméno původního autora? Pak účet raději snižte na odběratele a nastavte mu nové dlouhé heslo, místo abyste jej odstranili.

V praxi: jak to vypadá v panelu

V administraci WordPressu:

1. Uživatelé > Přehled uživatelů: nahoře je u každé role uvedeno, kolik účtů existuje. Klikněte na Administrátor, chcete-li zobrazit jen administrátory.
2. Uživatelé > Nový uživatel: vyplňte uživatelské jméno a e-mail a zvolte roli. Nechte WordPress odeslat odkaz na nastavení hesla, místo abyste heslo posílali sami e-mailem.
3. Profil: zde zvolíte zobrazované jméno a dole spravujete aplikační hesla.

Shrnutí

• Role je sada oprávnění; WordPress má role administrátor, redaktor, autor, přispěvatel a odběratel.
• Dávejte každému nejnižší roli, se kterou může vykonávat svou práci, a udržujte počet administrátorů nízký.
• Jeden účet na osobu, nikdy sdílený; po odchodu někoho z týmu účty uklidíte.
• Uživatelská jména nejsou tajná; skutečnou ochranou je silné heslo a dvoufázové ověření.
• Při odstranění přiřaďte obsah jinému uživateli; aplikační hesla používejte pro propojení s aplikacemi a systémy.

Kvíz

Úkol

Úkol D3.3: Audit rolí na Vašem webu. Otevřete Uživatelé > Přehled uživatelů a sestavte seznam: u každého účtu uveďte roli, zda je daná osoba stále aktivní a jakou roli skutečně potřebuje. Zapište, kolik administrátorů jste měli a kolik jich zbylo po úklidu. Zaškrtněte: žádné sdílené účty, žádní neznámí administrátoři, odešlí lidé odstraněni nebo s nižší rolí (s přiřazeným obsahem), nepoužívaná aplikační hesla zrušena. Jednou větou vysvětlete, proč sobě dáváte, nebo nedáváte, samostatný redaktorský účet.

Další čtení

Tyto články popisují kroky v panelech WebOké; v jiných panelech fungují obdobně.

• Příručka k DirectAdmin 3.7: Bezpečná hesla a co dělat při úniku hesla
• Nemůžete se přihlásit do WordPressu: co teď?
• Role a oprávnění (wordpress.org, v angličtině): https://wordpress.org/documentation/article/roles-and-capabilities/