Módulo 3 · 3.3
Utilizadores e papéis
Módulo 3: Endereço, https e utilizadores · Tempo de leitura: 8 minutos
Objetivo de aprendizagem: No final desta lição, será capaz de atribuir papéis e permissões de forma a que cada pessoa possa apenas fazer o que precisa.
Conceitos-chave: papel, capability (permissão), administrador, redator, autor, colaborador, assinante, menor privilégio, uma conta por pessoa, nome público e nome de utilizador, palavra-passe de aplicação, eliminar utilizador e atribuir conteúdo
Papéis e permissões
Qualquer pessoa que inicie sessão no seu site WordPress tem um papel. Um papel é um conjunto de permissões (em termos do WordPress, capabilities): esta pessoa pode escrever artigos, editar artigos de outros, instalar plugins, criar utilizadores? O WordPress tem cinco papéis predefinidos (os nomes em português entre parênteses):
| Papel | O que este papel pode fazer | Típico para |
|---|---|---|
| Administrator (Administrador) | Tudo: temas, plugins, utilizadores, definições, todo o conteúdo | Uma ou duas pessoas que gerem o site a nível técnico |
| Editor (Redator) | Criar, editar, publicar e eliminar todos os artigos e páginas, incluindo os de outros; gerir comentários | Quem acompanha o conteúdo de todo o site |
| Author (Autor) | Escrever os seus próprios artigos, carregar imagens e publicar | Um redator fixo |
| Contributor (Colaborador) | Escrever os seus próprios artigos, mas sem os publicar nem carregar imagens | Um redator convidado cujos textos são revistos |
| Subscriber (Assinante) | Apenas gerir o próprio perfil | Membros que precisam de iniciar sessão para ler algo |
Numa rede de sites (multisite) existe também o super administrador. Os plugins acrescentam por vezes os seus próprios papéis, como Gestor de loja e Cliente no WooCommerce, ou um papel para gestão de SEO.
Repare na diferença entre autor e redator: um autor só pode intervir nos seus próprios artigos, um redator em tudo. E um redator não pode instalar plugins nem alterar definições. É mesmo essa a intenção.
O princípio: tão poucas permissões quanto necessário
Cada conta é uma possível porta de entrada para um invasor. Uma palavra-passe de assinante que seja exposta causa pouco dano. Uma palavra-passe de administrador exposta dá controlo total: um invasor pode carregar um plugin com código malicioso e, assim, aceder a todos os ficheiros e à base de dados do seu site.
Por isso, atribua a cada pessoa o papel mais baixo com que consegue fazer o seu trabalho:
- O colega de marketing que escreve blogues: autor ou redator, nunca administrador.
- O estagiário que entrega notícias: colaborador; outra pessoa publica.
- O criador de sites que vem fazer algo uma única vez: uma conta de administrador temporária que elimina ou despromove depois.
- Você próprio: considere ter duas contas, uma de administrador para manutenção e uma de redator para a escrita diária. Quem, como administrador, visualiza uma página infetada ou clica numa ligação falsa, expõe mais do que um redator.
Algumas regras que se enquadram aqui:
- Uma conta por pessoa. Nunca uma conta partilhada do tipo "escritório" ou "redação". Assim não sabe quem fez o quê, não consegue retirar o acesso apenas a uma pessoa, e a palavra-passe circula por e-mail e por bilhetes.
- Faça limpeza. Quando alguém sai, elimine a conta ou mude-a para assinante. Verifique a cada trimestre quais são os administradores existentes (lição 9.4). Um administrador desconhecido é um dos sinais mais claros de um ataque informático (lição 7.5).
- Nada de contas para aplicações que não precisam delas. Se uma integração (uma aplicação, outro sistema) precisar de aceder ao WordPress, use uma palavra-passe de aplicação (ver abaixo).
Nome de utilizador e nome público
Cada conta tem um nome de utilizador (com o qual inicia sessão, não pode ser alterado) e um nome público (o que aparece junto aos seus artigos, como "Maria Silva"). Escolha o nome público no perfil, em "Mostrar publicamente como".
Será que o seu nome de utilizador é secreto? Não é bem assim. O WordPress mostra em vários locais um nome derivado: no endereço de um arquivo de autor (/author/maria/) e no ponto de acesso REST do site (/wp-json/wp/v2/users), para quem tenha publicado um artigo. Esse nome (o slug) é muitas vezes igual ao nome de utilizador. Um invasor fica assim com metade do que precisa. A proteção real está numa palavra-passe forte e na autenticação de dois fatores (2FA) (lição 7.3), mas um nome de utilizador diferente do seu nome público ajuda um pouco. Na lição 7.3 vai verificar o que o seu site revela.
Palavras-passe de aplicação
Desde a versão 5.6 do WordPress, todos os perfis têm, na parte inferior, Palavras-passe de aplicação. Com esta funcionalidade cria uma palavra-passe separada para uma única integração, por exemplo uma aplicação no seu telemóvel ou um sistema que publica artigos através da REST API. Vantagens:
- Não revela a sua palavra-passe real.
- Pode revogar uma integração sem alterar a sua própria palavra-passe.
- Uma palavra-passe de aplicação não funciona para iniciar sessão no painel de administração normal.
A palavra-passe de aplicação tem as mesmas permissões que a conta. Por isso, crie-a numa conta com um papel adequado (baixo). Se não utiliza integrações, não precisa delas.
Eliminar alguém
Ao eliminar um utilizador que tenha escrito artigos, o WordPress pergunta o que deve acontecer a esse conteúdo:
- Eliminar todo o conteúdo: todos os artigos e páginas dessa pessoa desaparecem. Quase nunca é o que pretende.
- Atribuir todo o conteúdo a outro utilizador: os artigos permanecem, com o novo utilizador como autor.
Escolha quase sempre a segunda opção. Quer manter o nome do antigo autor junto aos artigos? Nesse caso, despromova a conta para assinante e atribua-lhe uma nova palavra-passe longa, em vez de a eliminar.
Na prática: como se apresenta num painel
No painel de administração do WordPress:
- Utilizadores > Todos os utilizadores: no topo aparece quantas contas existem por papel. Clique em Administrador para ver apenas os administradores.
- Utilizadores > Adicionar novo: preencha o nome de utilizador e o e-mail e escolha o papel. Deixe o WordPress enviar uma ligação para definir a palavra-passe em vez de a enviar você mesmo por e-mail.
- Perfil: escolher o nome público e, na parte inferior, gerir as palavras-passe de aplicação.
Resumo
- Um papel é um conjunto de permissões; o WordPress tem administrador, redator, autor, colaborador e assinante.
- Atribua a cada pessoa o papel mais baixo com que consegue fazer o seu trabalho, e mantenha reduzido o número de administradores.
- Uma conta por pessoa, nunca partilhada; elimine contas quando alguém sai.
- Os nomes de utilizador não são secretos; a proteção real está numa palavra-passe forte e na autenticação de dois fatores.
- Ao eliminar, atribua o conteúdo a outra pessoa; use palavras-passe de aplicação para integrações.
Questionário
Exercício
Exercício D3.3: Uma auditoria de funções do seu site. Abra Utilizadores > Todos os utilizadores e faça uma lista: por conta, o papel, se a pessoa ainda está ativa e que papel realmente necessita. Registe quantos administradores tinha e quantos restam depois da sua ronda de limpeza. Confirme: nenhuma conta partilhada, nenhum administrador desconhecido, pessoas que saíram eliminadas ou despromovidas (com o conteúdo atribuído), palavras-passe de aplicação não utilizadas revogadas. Explique numa frase porque dá, ou não, a si próprio uma conta de redator separada.
Exercício D3.3: Uma auditoria de funções do seu site
Este exercício faz você mesmo; ninguém o verifica. Assinale o que já fez e marque o exercício como concluído.
O número de administradores depois da ronda não é maior do que antes, e a sua razão refere-se a "tantas permissões quantas as necessárias": quem só escreve não precisa da função de administrador.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Leitura adicional
Estes artigos descrevem os passos nos painéis da WebOké; noutros painéis funcionam de forma semelhante.