Modul 3 · 3.3
Deutsch
Benutzer und Rollen
Modul 3: Adresse, https und Benutzer · Lesezeit: 8 Minuten
Lernziel: Nach dieser Lektion können Sie Rollen und Rechte so verteilen, dass jeder nur das kann, was er benötigt.
Kernbegriffe: Rolle, Capability (Recht), Administrator, Redakteur, Autor, Mitarbeiter, Abonnent, minimale Rechte, ein Konto pro Person, Anzeigename und Benutzername, Anwendungspasswort, Benutzer löschen und Inhalte zuweisen
Rollen und Rechte
Jeder, der sich bei Ihrer WordPress-Website anmeldet, hat eine Rolle. Eine Rolle ist ein Paket von Rechten (im WordPress-Jargon Capabilities): Darf diese Person Beiträge schreiben, Beiträge anderer bearbeiten, Plugins installieren, Benutzer anlegen? WordPress hat fünf Standardrollen:
| Rolle | Was diese Rolle kann | Typisch für |
|---|---|---|
| Administrator | Alles: Themes, Plugins, Benutzer, Einstellungen, alle Inhalte | Eine oder zwei Personen, die die Website technisch verwalten |
| Redakteur | Alle Beiträge und Seiten erstellen, bearbeiten, veröffentlichen und löschen, auch von anderen; Kommentare verwalten | Wer die Inhalte der gesamten Website pflegt |
| Autor | Eigene Beiträge schreiben, Bilder hochladen und veröffentlichen | Ein fester Autor |
| Mitarbeiter | Eigene Beiträge schreiben, aber nicht veröffentlichen und nicht hochladen | Ein Gastautor, dessen Beiträge gegengelesen werden |
| Abonnent | Nur das eigene Profil verwalten | Mitglieder, die sich anmelden müssen, um etwas zu lesen |
Bei einem Netzwerk von Websites (Multisite) gibt es ausserdem den Super-Admin. Plugins fügen manchmal eigene Rollen hinzu, wie Shop-Manager und Kunde bei WooCommerce, oder eine Rolle für die SEO-Verwaltung.
Achten Sie auf den Unterschied zwischen Autor und Redakteur: Ein Autor kann nur mit seinen eigenen Beiträgen arbeiten, ein Redakteur mit allem. Und ein Redakteur kann keine Plugins installieren oder Einstellungen ändern. Das ist genau so beabsichtigt.
Das Prinzip: so wenig Rechte wie nötig
Jedes Konto ist ein möglicher Zugang für einen Angreifer. Ein durchgesickertes Passwort eines Abonnenten richtet wenig Schaden an. Ein durchgesickertes Passwort eines Administrators gibt volle Kontrolle: Ein Angreifer kann ein Plugin mit bösartigem Code hochladen und damit auf alle Dateien und die Datenbank Ihrer Website zugreifen.
Geben Sie daher jedem die niedrigste Rolle, mit der er seine Arbeit erledigen kann:
- Der Marketingkollege, der Blogbeiträge schreibt: Autor oder Redakteur, kein Administrator.
- Der Praktikant, der Nachrichtenbeiträge liefert: Mitarbeiter; jemand anders veröffentlicht.
- Der Webentwickler, der einmalig etwas erledigt: ein temporäres Administratorkonto, das Sie danach löschen oder herabstufen.
- Sie selbst: Erwägen Sie zwei Konten, einen Administrator für die Wartung und einen Redakteur für das tägliche Schreiben. Wer als Administrator eine infizierte Seite ansieht oder auf einen gefälschten Link klickt, gibt mehr preis als ein Redakteur.
Ein paar dazugehörige Regeln:
- Ein Konto pro Person. Niemals ein gemeinsam genutztes Konto wie „Büro" oder „Redaktion". Sie wissen dann nicht, wer was getan hat, Sie können niemandem einzeln den Zugang entziehen, und das Passwort kursiert per E-Mail und Notizzetteln.
- Räumen Sie auf. Verlässt jemand das Unternehmen, löschen Sie das Konto oder stufen Sie es auf Abonnent herab. Prüfen Sie jedes Quartal, welche Administratoren es gibt (Lektion 9.4). Ein unbekannter Administrator ist eines der deutlichsten Anzeichen für einen Hack (Lektion 7.5).
- Keine Konten für Apps, die es nicht brauchen. Muss eine Anbindung (eine App, ein anderes System) in WordPress funktionieren, verwenden Sie dafür ein Anwendungspasswort (siehe unten).
Benutzername und Anzeigename
Jedes Konto hat einen Benutzernamen (mit dem Sie sich anmelden, nicht änderbar) und einen Anzeigenamen (der bei Ihren Beiträgen steht, zum Beispiel „Lisa Müller"). Wählen Sie den Anzeigenamen im Profil unter „Öffentlicher Name".
Ist Ihr Benutzername geheim? Nicht wirklich. WordPress zeigt an mehreren Stellen einen abgeleiteten Namen: in der Adresse eines Autorenarchivs (/author/lisa/) und im REST-Einstiegspunkt der Website (/wp-json/wp/v2/users), für jeden, der einen Beitrag veröffentlicht hat. Dieser Name (der Slug) ist oft identisch mit dem Benutzernamen. Ein Angreifer hat dann die Hälfte dessen, was er braucht. Der eigentliche Schutz liegt in einem starken Passwort und der Zwei-Faktor-Authentifizierung (Lektion 7.3), aber ein Benutzername, der nicht mit Ihrem öffentlichen Namen übereinstimmt, hilft ein wenig. In Lektion 7.3 prüfen Sie, was Ihre Website preisgibt.
Anwendungspasswörter
Seit WordPress 5.6 hat jedes Profil unten den Bereich Anwendungspasswörter. Damit erstellen Sie ein separates Passwort für eine einzelne Anbindung, zum Beispiel eine App auf Ihrem Telefon oder ein System, das über die REST API Beiträge veröffentlicht. Vorteile:
- Sie geben Ihr echtes Passwort nicht preis.
- Sie können eine Anbindung einzeln widerrufen, ohne Ihr eigenes Passwort zu ändern.
- Ein Anwendungspasswort funktioniert nicht, um sich im normalen Dashboard anzumelden.
Das Anwendungspasswort hat dieselben Rechte wie das Konto. Legen Sie es daher bei einem Konto mit einer passenden (niedrigen) Rolle an. Verwenden Sie keine Anbindungen, brauchen Sie keine Anwendungspasswörter.
Jemanden löschen
Löschen Sie einen Benutzer, der Beiträge geschrieben hat, fragt WordPress, was mit diesen Inhalten geschehen soll:
- Den gesamten Inhalt löschen: Alle Beiträge und Seiten dieser Person verschwinden. Fast nie das, was Sie wollen.
- Alle Inhalte zuweisen an einen anderen Benutzer: Die Beiträge bleiben erhalten, mit dem neuen Benutzer als Autor.
Wählen Sie fast immer die zweite Option. Möchten Sie den Namen des früheren Autors bei den Beiträgen behalten? Stufen Sie das Konto dann auf Abonnent herab und geben Sie ihm ein neues, langes Passwort, anstatt es zu löschen.
In der Praxis: So sieht es in einem Panel aus
Im Dashboard von WordPress:
- Benutzer > Alle Benutzer: Oben wird pro Rolle angezeigt, wie viele Konten es gibt. Klicken Sie auf Administrator, um nur die Administratoren zu sehen.
- Benutzer > Neu hinzufügen: Geben Sie Benutzername und E-Mail-Adresse ein und wählen Sie die Rolle. Lassen Sie WordPress einen Passwort-Link senden, statt selbst ein Passwort per E-Mail zu verschicken.
- Profil: Anzeigenamen wählen und unten Anwendungspasswörter verwalten.
Zusammenfassung
- Eine Rolle ist ein Paket von Rechten; WordPress kennt Administrator, Redakteur, Autor, Mitarbeiter und Abonnent.
- Geben Sie jedem die niedrigste Rolle, mit der er seine Arbeit erledigen kann, und halten Sie die Zahl der Administratoren klein.
- Ein Konto pro Person, nie gemeinsam genutzt; räumen Sie Konten auf, wenn jemand ausscheidet.
- Benutzernamen sind nicht geheim; der eigentliche Schutz ist ein starkes Passwort und Zwei-Faktor-Authentifizierung.
- Beim Löschen weisen Sie die Inhalte jemand anderem zu; Anwendungspasswörter nutzen Sie für Anbindungen.
Quiz
Aufgabe
Aufgabe D3.3: Ein Rollen-Audit Ihrer Website. Öffnen Sie Benutzer > Alle Benutzer und erstellen Sie eine Liste: pro Konto die Rolle, ob die Person noch aktiv ist und welche Rolle sie eigentlich benötigt. Tragen Sie ein, wie viele Administratoren Sie hatten und wie viele nach Ihrer Aufräumrunde übrig sind. Haken Sie ab: keine gemeinsam genutzten Konten, keine unbekannten Administratoren, ausgeschiedene Personen gelöscht oder herabgestuft (mit zugewiesenen Inhalten), ungenutzte Anwendungspasswörter widerrufen. Erklären Sie in einem Satz, warum Sie sich selbst ein separates Redakteurkonto geben oder nicht.
Aufgabe D3.3: Ein Rollen-Audit Ihrer Website
Diese Aufgabe machen Sie selbst; niemand prüft sie nach. Haken Sie ab, was Sie erledigt haben, und markieren Sie die Aufgabe als erledigt.
Die Anzahl der Administratoren nach der Runde ist nicht grösser als vorher, und Ihre Begründung verweist auf "so wenige Rechte wie nötig": wer nur schreibt, braucht keine Administratorrolle.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Diese Artikel beschreiben die Schritte in den Panels von WebOké; in anderen Panels funktionieren sie ähnlich.