WordPress Kullanıcı Rolleri: Kime Hangi Yetki Verilmeli?

Kısa cevap: WordPress, kullanıcılara rollere göre yetki verir: yönetici (Administrator) siteyi tamamen yönetir; editör tüm içerikleri düzenler; yazar kendi yazılarını yayımlar; katkıda bulunan (Contributor) yazı yazar ancak yayımlayamaz; abone yalnızca profilini yönetir. WooCommerce kurulu sitelerde bunlara mağaza yöneticisi ve müşteri rolleri eklenir. Güvenli bir düzende herkese işini yapmaya yetecek en düşük rol verilir, yönetici sayısı az tutulur, ajans ve geliştiricilere kişiye özel hesap açılır ve iş bitince yetkileri düşürülür ya da hesapları kaldırılır.

Roller ve yetkileri

• Yönetici (Administrator): Eklenti ve tema kurma, kullanıcı ekleme ve tüm ayarları değiştirme yetkisine sahiptir.
• Editör (Editor): Kendi ve başkalarının tüm yazı ve sayfalarını düzenleyip yayımlar; site ayarlarına erişemez.
• Yazar (Author): Kendi yazılarını oluşturur, düzenler ve yayımlar.
• Katkıda bulunan (Contributor): Yazı taslağı hazırlar; yayımlamak için editör onayı gerekir.
• Abone (Subscriber): Yalnızca kendi profilini yönetir; üyelik gerektiren sitelerde kullanılır.
• Mağaza yöneticisi (Shop Manager): WooCommerce ile gelir; ürün, sipariş ve mağaza ayarlarını yönetir, eklenti kuramaz.

En az yetki ilkesi nasıl uygulanır?

1. Her kişiye ayrı hesap açılır; ortak kullanıcı adı ve parola paylaşılmaz.
2. İçerik girenlere editör ya da yazar, sipariş takibi yapanlara mağaza yöneticisi rolü verilir.
3. Yönetici rolü yalnızca site sahibinde ve teknik sorumluda bulunur.
4. Tüm yönetici ve editör hesaplarında iki adımlı doğrulama açılır.
5. Kullanıcı listesi belirli aralıklarla gözden geçirilir; işten ayrılanların hesapları ile kullanılmayan hesaplar kaldırılır.

Ajans ve geliştirici erişimi

• Ajansa işletmenin kendi yönetici hesabı verilmez; ajans çalışanına kişiye özel bir hesap açılır.
• Yönetici yetkisi yalnızca gerektiği süre boyunca verilir, iş bitince rol düşürülür ya da hesap kaldırılır.
• Alan adı, barındırma ve site sahibi hesabı her zaman işletmenin adına kalır.
• Hesaplara ajansın ortak e-posta adresi yerine kişisel iş e-postaları tanımlanır; böylece kimin ne yaptığı izlenebilir.

Erişim bilgilerinin sahipliğini web sitesi sahipliği ve erişim bilgileri, eklenti güvenliğini WordPress eklenti seçimi ve güvenliği, mağaza güvenliğini WooCommerce güvenliği ve yedekleme yazımızda anlattık.

Sık sorulan sorular

İçerik yazan çalışana yönetici yetkisi vermek sakıncalı mı?

Evet. Yönetici hesabı ele geçirilirse saldırgan eklenti kurarak sitenin tamamını kontrol edebilir. İçerik girenler için editör ya da yazar rolü yeterlidir.

Özel yetkili yeni bir rol oluşturulabilir mi?

Evet. Rol yönetimi eklentileriyle ya da geliştirici desteğiyle belirli yetkileri içeren özel roller tanımlanabilir. Bu tür eklentiler de güvenilir kaynaklardan seçilmeli ve güncel tutulmalıdır.

Tanımadığım bir yönetici hesabı görürsem ne yapmalıyım?

Hesap hemen askıya alınır ya da kaldırılır, tüm yönetici parolaları değiştirilir ve site olası bir saldırı açısından incelenir. Adımları site hacklendiğinde ilk müdahale yazımızda ele aldık.