WordPress Kullanıcı Rolleri ve Güvenli Site Yönetimi

Sitenizde içerik giren bir çalışanınız, tasarımı düzenleyen bir ajansınız ya da blog yazan bir dış yazarınız olabilir. Herkese yönetici yetkisi vermek ilk başta pratik görünür; ama yanlışlıkla silinen bir eklenti ya da ele geçirilen tek bir hesap tüm siteyi riske atar. WordPress bu yüzden farklı yetki seviyeleri sunar. Bu rehberde rolleri ve ekiple çalışırken uygulamanız gereken güvenlik kurallarını anlatıyoruz.

Kısaca: Her kişiye işini yapmasına yetecek en düşük rolü verin. Yönetici hesabı sayısını en aza indirin, hesap paylaşmayın, iki adımlı doğrulama kullanın ve işi biten kullanıcıları zaman kaybetmeden kaldırın.

WordPress’teki varsayılan roller

Rol, bir kullanıcının sitede neleri yapabileceğini belirleyen yetki paketidir. Standart bir WordPress kurulumunda beş rol bulunur:

Çoklu site (multisite) kurulumlarda bunlara ağın tamamını yöneten Süper yönetici rolü eklenir. WooCommerce kurulduğunda da iki rol daha gelir: alışveriş yapanlar için Müşteri ve siparişleri, ürünleri yöneten ama eklenti kuramayan Mağaza yöneticisi.

Hangi kişiye hangi rol?

• Ürün ve sipariş takibi yapan çalışan: Mağaza yöneticisi. Siparişleri yönetir ama eklenti ve tema ayarlarına dokunamaz.
• Blog yazılarını yöneten pazarlama sorumlusu: Editör.
• Ayda birkaç yazı gönderen dış yazar: İçerik sağlayıcı. Yazı, siz onaylamadan yayına çıkmaz.
• Tasarım düzenlemesi yapan ajans: İş süresince yönetici; iş bitince rol düşürülür veya hesap kaldırılır.
• Siz: Yönetici. Ancak günlük içerik işleri için ayrı bir editör hesabı açmak riskinizi azaltır.

Bir kullanıcının rolünü sonradan değiştirmek de kolaydır: Kullanıcılar listesinde kişiyi işaretleyip Rolü değiştir menüsünü kullanabilir ya da kişinin profil sayfasından rolünü güncelleyebilirsiniz. Birden fazla kullanıcıyı aynı anda seçip toplu değişiklik de yapılabilir.

Varsayılan roller yetmediğinde rol düzenleme eklentileriyle özel rol oluşturulabilir. Bunu yaparken yetkileri genişletmek yerine daraltma yönünde ilerleyin ve yaptığınız değişiklikleri not alın.

Kullanıcı ekleme ve kaldırma adımları

Yeni kullanıcı eklemek

1. Kullanıcılar > Yeni ekle ekranını açın.
2. Kişiye ait bir kullanıcı adı ve kişinin kendi e-posta adresini girin; ortak e-posta kullanmayın.
3. Rolü seçin. Emin değilseniz düşük olanla başlayın, gerekirse sonra yükseltin.
4. Kullanıcıya bildirim gönder seçeneğini işaretleyin; kişi kendi şifresini belirlesin.

Kullanıcıyı kaldırmak

1. Kullanıcılar listesinde kişinin üzerine gelip Sil’i seçin.
2. WordPress size bu kullanıcının içerikleriyle ne yapılacağını sorar. İçerikleri başka bir kullanıcıya aktarma seçeneğini seçin; aksi halde yazıları da silinir.
3. Kişi ajans veya geçici çalışan ise bağlı olduğu diğer hizmetlerdeki (hosting, FTP, e-posta) erişimini de kapatın.

Kullanıcı hesaplarının ad, e-posta ve giriş bilgileri gibi kişisel veriler içerdiğini unutmayın. Gereksiz hesapları tutmamak yalnızca güvenlik için değil, sakladığınız kişisel veriyi azaltmak için de iyi bir uygulamadır.

Güvenli yönetim için 7 kural

1. Hesap paylaşmayın. Her kişinin kendi hesabı olsun. Böylece kimin ne yaptığı bellidir ve biri ayrıldığında tek hesap kapatılır.
2. Yönetici sayısını az tutun. Her yönetici hesabı, ele geçirildiğinde tüm siteyi açan bir anahtardır.
3. Güçlü ve benzersiz şifre kullanın. Bir şifre yöneticisi bu işi kolaylaştırır.
4. İki adımlı doğrulamayı açın. Şifreye ek olarak telefondaki bir uygulamadan kod istenir. WordPress çekirdeğinde yoktur, güvenilir bir eklentiyle eklenir.
5. Giriş denemelerini sınırlayın. Art arda hatalı girişleri engellemek, şifre tahmin saldırılarını zorlaştırır.
6. Görünen adı kullanıcı adından farklı yapın. Profil sayfasındaki Herkese açık görünecek ad alanını değiştirin, böylece yazılarda kullanıcı adınız görünmez.
7. Düzenli denetim yapın. Birkaç ayda bir kullanıcı listesini gözden geçirin; tanımadığınız veya artık gerekmeyen hesapları kaldırın.

Bu kuralların çoğu ücretsizdir ve bir kez ayarlandığında kendiliğinden işler. En sık atlanan madde düzenli denetimdir; takviminize birkaç ayda bir kısa bir hatırlatma eklemek bu işi alışkanlığa dönüştürür.

Ajans ve freelancerla çalışırken

Sitenize dışarıdan biri müdahale edecekse kendi yönetici şifrenizi paylaşmak yerine ona ayrı bir hesap açın. İş tamamlandığında hesabı silin veya rolünü düşürün. Uygulama şifreleri (Kullanıcılar > Profil altında) ise yalnızca bir yazılımın ya da hizmetin sitenize bağlanması gerektiğinde kullanılır; gerekmiyorsa oluşturmayın, kullanılmayanları iptal edin.

Yönetici e-posta adresinin (Ayarlar > Genel) güncel ve size ait olduğundan emin olun. Güvenlik bildirimleri ve kurtarma bağlantıları bu adrese gelir; ajansın e-posta adresi olarak bırakılması, iş bittikten sonra bu bildirimlerin size ulaşmaması demektir.

Ajanstan işi teslim alırken şunları kontrol edin:

• Ajansın açtığı tüm kullanıcı hesapları listede görünüyor ve gerekli mi?
• Yönetici e-posta adresi size mi ait?
• Hosting, alan adı ve FTP şifreleri iş bitiminde değiştirildi mi?
• Ücretli eklenti ve tema lisansları kimin adına kayıtlı?

Kullanıcı ve yetki yapısının, eklentilerin ve genel site sağlığının bir kez baştan sona kontrol edilmesini isterseniz WP Denizi’nin tek seferlik bakım hizmeti hata denetimi raporuyla birlikte sunulur.

Sık sorulan sorular

Sitenizin güvenlik ve yetki ayarlarında yardıma ihtiyacınız varsa destek sayfamızdan bize ulaşın.