آموزش مدیریت کاربران و نقش‌های کاربری وردپرس
🗓 آخرین به‌روزرسانی:
نقش‌های کاربری وردپرس تعیین می‌کنند هر فرد در پیشخوان چه کاری می‌تواند انجام دهد. مدیر کل به تنظیمات، قالب و افزونه دسترسی دارد، ویرایشگر می‌تواند محتوای دیگران را مدیریت کند، نویسنده نوشته‌های خود را منتشر می‌کند و مشترک فقط پروفایل خود را تغییر می‌دهد. انتخاب نقش اشتباه می‌تواند به حذف محتوا، نصب افزونه ناامن یا دسترسی غیرضروری به اطلاعات سایت منجر شود.
در این راهنما، ساخت کاربر، نقش‌های استاندارد، Capabilityها، تغییر و حذف حساب، امنیت ورود، کاربران ووکامرس، مدیریت تیم تولید محتوا و رفع خطاهای رایج را براساس WordPress 7.0.2 بررسی می‌کنیم.
اصل حداقل دسترسی
هر کاربر باید کمترین سطح دسترسی لازم برای انجام مسئولیت خود را داشته باشد. دسترسی Administrator را برای راحتی به همه اعضای تیم ندهید.
کاربر وردپرس چیست؟
هر حساب وردپرس شامل نام کاربری، ایمیل، رمز، نام نمایشی، نقش و اطلاعات پروفایل است. کاربران واردشده براساس نقش و Capability خود به بخش‌هایی از پیشخوان یا امکانات سایت دسترسی دارند. افزونه‌ها می‌توانند نقش و مجوز جدید ایجاد کنند.
نام کاربری شناسه ورود است و به‌صورت استاندارد از پیشخوان تغییر نمی‌کند. ایمیل برای بازیابی رمز و اعلان‌ها استفاده می‌شود. نام نمایشی می‌تواند با نام ورود متفاوت باشد و بهتر است در صفحه نویسنده نام واقعی یا برند نویسنده را نشان دهد.
تفاوت Role و Capability
Role مجموعه‌ای از مجوزهاست. Capability یک اجازه مشخص مانند ویرایش نوشته، انتشار نوشته، نصب افزونه یا مدیریت کاربران است. وردپرس هنگام اجرای عملیات بررسی می‌کند کاربر Capability لازم را دارد یا نه. بنابراین «Editor» نام یک بسته دسترسی و edit_others_posts نمونه یک مجوز است.
توسعه‌دهنده افزونه باید به‌جای بررسی نام نقش، Capability مناسب را کنترل کند؛ زیرا نقش‌ها می‌توانند تغییر یا سفارشی شوند. مدیر سایت نیز هنگام ساخت نقش اختصاصی باید اثر هر Capability را بشناسد.
نقش Administrator یا مدیر کل
Administrator در سایت تک‌نصب بالاترین دسترسی را دارد. نصب و حذف افزونه، تغییر قالب، مدیریت کاربران، تنظیمات، به‌روزرسانی و ویرایش همه محتوا در اختیار اوست. سرقت این حساب می‌تواند کل سایت را در معرض خطر قرار دهد.
تعداد مدیران را محدود کنید. طراح، نویسنده، پشتیبان محتوا و کارشناس سئو الزاماً به Administrator نیاز ندارند. برای عملیات کوتاه می‌توان دسترسی را موقتاً افزایش و بعد کاهش داد. حساب مدیر باید رمز منحصربه‌فرد، 2FA و ایمیل امن داشته باشد.
نقش Editor یا ویرایشگر
Editor می‌تواند نوشته‌ها و برگه‌های خود و دیگران را منتشر، ویرایش یا حذف کند و دیدگاه‌ها و دسته‌ها را مدیریت کند. او معمولاً به نصب افزونه، تغییر قالب و تنظیمات کلیدی دسترسی ندارد. این نقش برای مدیر محتوا یا سردبیر مناسب است.
ویرایشگر می‌تواند محتوای منتشرشده دیگران را تغییر دهد؛ بنابراین نقش قدرتمندی است. برای نویسنده مهمان یا فرد تازه‌وارد مناسب نیست. فرایند بازبینی باید مشخص کند چه کسی اجازه انتشار نهایی دارد.
نقش Author یا نویسنده
Author می‌تواند نوشته‌های خود را ایجاد، منتشر، ویرایش و حذف کند و رسانه بارگذاری کند. به نوشته‌های دیگران یا مدیریت سایت دسترسی کامل ندارد. برای نویسنده قابل اعتماد که انتشار مستقیم انجام می‌دهد مناسب است.
نویسنده می‌تواند محتوای منتشرشده خود را حذف کند. اگر سازمان نیاز دارد بعد از انتشار کنترل محتوا فقط در اختیار سردبیر باشد، نقش اختصاصی یا Contributor مناسب‌تر است.
نقش Contributor یا مشارکت‌کننده
Contributor می‌تواند نوشته ایجاد و ویرایش کند، اما اجازه انتشار مستقیم ندارد. نوشته برای بازبینی ارسال می‌شود. در تنظیم استاندارد، مشارکت‌کننده امکان بارگذاری رسانه ندارد که برای تیم تولید محتوا ممکن است محدودیت ایجاد کند.
این نقش برای نویسنده مهمان یا کاربر تازه مناسب است. سردبیر می‌تواند متن، لینک‌ها، تصویر و دسته را بررسی و سپس منتشر کند. اگر بارگذاری تصویر لازم است، Capability باید با افزونه معتبر و دقیق اضافه شود؛ دادن نقش Author فقط برای Upload ریسک بیشتری دارد.
نقش Subscriber یا مشترک
Subscriber کمترین دسترسی استاندارد را دارد. کاربر می‌تواند وارد شود و پروفایل خود را تغییر دهد. برای سایت عضویتی ساده، دریافت خبرنامه یا دسترسی به محتوایی که افزونه کنترل می‌کند مناسب است.
فعال بودن ثبت‌نام عمومی با نقش Subscriber نسبتاً کم‌خطرتر است، اما همچنان می‌تواند حساب اسپم ایجاد کند. CAPTCHA، تأیید ایمیل، محدودسازی ورود و سیاست حریم خصوصی را در نظر بگیرید.
نقش Super Admin در Multisite
در شبکه WordPress Multisite، Super Admin به مدیریت کل شبکه، سایت‌ها، قالب‌ها، افزونه‌ها و کاربران دسترسی دارد. Administrator هر سایت اختیارات محدودتری دارد و ممکن است نتواند افزونه نصب کند. حساب Super Admin بسیار حساس است و باید تعداد آن حداقل باشد.
نقش‌های ووکامرس
Customer
مشتری هنگام ثبت سفارش یا ساخت حساب ایجاد می‌شود. به پیشخوان مدیریتی کامل دسترسی ندارد و سفارش‌ها، آدرس و اطلاعات حساب خود را در My Account می‌بیند.
Shop Manager
مدیر فروشگاه می‌تواند محصولات، سفارش‌ها، گزارش‌ها و تنظیمات مرتبط با ووکامرس را مدیریت کند، اما دسترسی او با Administrator یکسان نیست. این نقش برای مسئول فروشگاه مناسب‌تر از مدیر کل است.
افزونه‌های عضویت، آموزش، مارکت‌پلیس و پشتیبانی نیز نقش‌های اختصاصی می‌سازند. قبل از حذف افزونه، بررسی کنید نقش‌ها و کاربران وابسته چه وضعیتی پیدا می‌کنند.
ساخت کاربر جدید در وردپرس
از «کاربران ← افزودن کاربر» وارد فرم شوید. نام کاربری انگلیسی و غیرقابل حدس انتخاب کنید. ایمیل باید برای هر حساب یکتا باشد. نام، نام خانوادگی و وب‌سایت اختیاری‌اند، اما برای صفحه نویسنده بهتر است پروفایل کامل شود.
وردپرس می‌تواند ایمیل اطلاع‌رسانی ساخت حساب را ارسال کند. اگر ایمیل سایت مطمئن نیست، قبل از ایجاد تیم بزرگ ارسال را آزمایش کنید. رمز پیشنهادی قوی را حفظ کنید و آن را از پیام‌رسان ناامن ارسال نکنید. بهتر است کاربر لینک تنظیم رمز دریافت کند.
انتخاب نقش
براساس مسئولیت تصمیم بگیرید: نویسنده مهمان Contributor، نویسنده قابل اعتماد Author، سردبیر Editor و مدیر فنی Administrator. Shop Manager برای فروشگاه و Subscriber برای عضو عادی است.
ویرایش پروفایل کاربر
در «کاربران ← همه کاربران» روی نام کلیک کنید. نام نمایشی، ایمیل، بیوگرافی، زبان مدیریت، تصویر پروفایل و نقش قابل تغییر هستند. تغییر ایمیل ممکن است نیازمند تأیید باشد.
Biographical Info می‌تواند در صفحه نویسنده نمایش داده شود. توضیح کوتاه درباره تخصص، تجربه و حوزه مسئولیت بنویسید. لینک‌های خارجی نویسنده باید معتبر و کنترل‌شده باشند.
تغییر نقش کاربر
نقش را از پروفایل یا عملیات گروهی تغییر دهید. قبل از کاهش دسترسی، بررسی کنید کاربر مسئول چه فرایند یا افزونه‌ای است. تغییر نقش نویسنده، مالکیت نوشته‌های او را عوض نمی‌کند.
افزایش موقت نقش را مستند و زمان بازگشت تعیین کنید. حسابی که برای پشتیبانی به مدیر تبدیل شده نباید ماه‌ها با همان دسترسی باقی بماند.
حذف کاربر بدون حذف محتوا
هنگام حذف کاربری که نوشته دارد، وردپرس دو انتخاب می‌دهد: حذف همه محتوا یا نسبت دادن آن به کاربر دیگر. برای حفظ مقاله‌ها، گزینه انتقال محتوا را انتخاب کنید. حذف عجولانه می‌تواند نوشته و برگه را به زباله‌دان بفرستد یا پاک کند.
قبل از حذف، سفارش‌ها، یادداشت‌ها، تیکت‌ها، رسانه‌ها و داده افزونه‌ها را بررسی کنید. بعضی افزونه‌ها رابطه کاربر را جدا ذخیره می‌کنند. برای کارمند جداشده، ابتدا رمز و Sessionها را لغو، نقش را کاهش و سپس فرایند انتقال را انجام دهید.
خروج اجباری کاربر از همه دستگاه‌ها
در پروفایل کاربر می‌توان Sessionهای دیگر را Log Out کرد. هنگام احتمال سرقت حساب، رمز را تغییر دهید، نشست‌ها را ببندید و لاگ امنیتی را بررسی کنید. فقط تغییر رمز ممکن است همه Tokenها یا Application Passwordها را لغو نکند.
Application Password چیست؟
وردپرس می‌تواند برای اتصال برنامه یا API رمز کاربردی جدا ایجاد کند. این رمز جای رمز اصلی را برای یک سرویس می‌گیرد و قابل لغو است. نام توصیفی مانند «اپ موبایل مدیر» انتخاب کنید و رمز را در محل امن نگه دارید.
Application Password به‌تنهایی محدود به Capability خاص جدید نیست؛ برنامه با سطح دسترسی همان کاربر عمل می‌کند. بنابراین آن را روی حساب مدیر برای سرویس غیرضروری نسازید.
امنیت حساب‌های کاربری
- نام کاربری admin استفاده نکنید.
- رمز طولانی و یکتا بسازید.
- ورود دومرحله‌ای را فعال کنید.
- برای هر فرد حساب جدا داشته باشید.
- تعداد Administrator را محدود کنید.
- حساب‌های بلااستفاده را غیرفعال یا حذف کنید.
- Login Attemptها را پایش کنید.
- HTTPS را فعال نگه دارید.
- رمز را در پیام‌رسان عمومی ارسال نکنید.
- دسترسی‌ها را دوره‌ای بازبینی کنید.
ورود دومرحله‌ای
هسته وردپرس ممکن است براساس محیط سایت راهکار داخلی کامل 2FA نداشته باشد و افزونه امنیتی این قابلیت را فراهم کند. روش TOTP با برنامه Authenticator معمولاً انتخاب متداولی است. کدهای بازیابی را خارج از همان دستگاه ذخیره کنید.
برای مدیران و Shop Manager اجباری کردن 2FA منطقی است. برای مشتریان فروشگاه، تجربه کاربر و گزینه‌های بازیابی باید بررسی شوند.
اصل تفکیک حساب مدیر و نویسنده
مدیر سایت بهتر است برای کار روزانه نویسندگی از حساب Editor یا Author جدا استفاده کند. حساب Administrator فقط برای تغییرات مدیریتی باشد. این کار تعداد دفعات استفاده از حساب حساس و اثر حملات Cross-Site یا اشتباه انسانی را کاهش می‌دهد.
مدیریت تیم تولید محتوا
یک Workflow ساده می‌تواند شامل Contributor برای نویسنده، Editor برای بازبین و Administrator برای مسئول فنی باشد. نویسنده پیش‌نویس را تکمیل و برای بازبینی ارسال می‌کند. سردبیر عنوان، منابع، تصویر، لینک، سئو و نگارش را کنترل و منتشر می‌کند.
برای جلوگیری از ویرایش هم‌زمان، مسئول هر نوشته مشخص باشد. وردپرس هنگام ورود دو کاربر به یک نوشته هشدار Lock می‌دهد. نادیده گرفتن قفل ممکن است تغییرات نفر دیگر را بازنویسی کند.
نویسنده مهمان
برای یک مقاله، ساخت حساب دائمی Administrator لازم نیست. Contributor یا افزونه معتبر Guest Author می‌تواند استفاده شود. اگر حساب ساخته می‌شود، پس از پایان همکاری دسترسی را بررسی کنید. بیوگرافی و لینک نویسنده باید مطابق سیاست سایت باشد.
صفحه آرشیو نویسنده و سئو
وردپرس برای هر نویسنده آرشیو نوشته‌ها می‌سازد. در سایت تک‌نویسنده، آرشیو نویسنده ممکن است با وبلاگ مشابه باشد. افزونه سئو می‌تواند آن را Redirect یا noindex کند. در سایت چندنویسنده، صفحه نویسنده با بیوگرافی و تخصص می‌تواند ارزشمند باشد.
تصمیم را براساس ساختار سایت بگیرید. نام نمایشی، Bio، تصویر و لینک‌ها را کامل کنید. نویسنده ناشناس یا پروفایل خالی اعتماد محتوا را کاهش می‌دهد.
ثبت‌نام عمومی کاربران
از «تنظیمات ← عمومی» گزینه عضویت کنترل می‌شود. بدون نیاز واقعی آن را فعال نکنید. نقش پیش‌فرض باید Subscriber یا نقش کم‌دسترسی اختصاصی باشد. هرگز Administrator را نقش پیش‌فرض قرار ندهید.
ثبت‌نام عمومی نیازمند ضداسپم، تأیید ایمیل، قوانین، حریم خصوصی و فرایند حذف حساب است. ووکامرس می‌تواند ثبت‌نام را در Checkout یا My Account جدا کنترل کند.
افزونه‌های مدیریت نقش
افزونه Role Editor اجازه تغییر Capabilityها را می‌دهد، اما اشتباه در آن می‌تواند مدیر را از سایت قفل یا دسترسی خطرناک ایجاد کند. قبل از تغییر، بکاپ بگیرید و نقش جدید بسازید تا نقش‌های استاندارد کمتر دستکاری شوند.
هر Capability را براساس مستندات بررسی کنید. مجوزهایی مانند unfiltered_html، install_plugins، edit_users و manage_options حساس‌اند. دادن یک مجوز ممکن است دسترسی‌های وابسته غیرمنتظره ایجاد کند.
بررسی فعالیت کاربران
وردپرس هسته لاگ کامل مدیریتی برای همه تغییرات ارائه نمی‌کند. برای تیم چندنفره، افزونه Activity Log معتبر می‌تواند ورود، تغییر محتوا، نصب افزونه و تغییر تنظیمات را ثبت کند. سیاست نگهداری لاگ و حریم خصوصی را تعیین کنید.
لاگ جای محدودسازی دسترسی را نمی‌گیرد. حجم بالای لاگ نیز دیتابیس را بزرگ می‌کند؛ مدت نگهداری و Export را تنظیم کنید.
مشکلات رایج کاربران
کاربر منوی مورد نیاز را نمی‌بیند
نقش و Capability را بررسی کنید. افزونه ممکن است دسترسی منو را جدا کنترل کند. کش مرورگر و ورود مجدد نیز مفید است.
ایمیل ساخت حساب نمی‌رسد
SMTP، Spam، آدرس فرستنده و لاگ ایمیل را بررسی کنید. رمز را در متن عمومی ارسال نکنید.
نام نمایشی اشتباه است
در پروفایل، First Name و Last Name را وارد و Display Name را انتخاب کنید. نام ورود را عمومی نمایش ندهید.
نویسنده نمی‌تواند تصویر بارگذاری کند
Contributor به‌صورت استاندارد upload_files ندارد. نقش را فقط با شناخت تغییر دهید یا فرایند تحویل تصویر به Editor داشته باشید.
کاربر حذف شده و مقاله‌ها ناپدید شده‌اند
ممکن است گزینه حذف همه محتوا انتخاب شده باشد. زباله‌دان، Revision و بکاپ را بررسی کنید.
چک‌لیست دوره‌ای دسترسی‌ها
- فهرست مدیران را هر ماه بررسی کنید.
- حساب کارکنان جداشده را ببندید.
- Application Passwordهای قدیمی را لغو کنید.
- 2FA مدیران را کنترل کنید.
- نقش پیش‌فرض ثبت‌نام را بررسی کنید.
- نام و Bio نویسندگان را تکمیل کنید.
- رمزهای مشترک را حذف کنید.
- لاگ ورودهای مشکوک را بررسی کنید.
- دسترسی پشتیبان خارجی را زمان‌دار کنید.
برای آشنایی با محل منوها مقاله آموزش پیشخوان وردپرس و برای تنظیم نقش پیش‌فرض مقاله تنظیمات ضروری وردپرس را مطالعه کنید.
📌 همچنین بخوانید: فارسی‌سازی وردپرس و تاریخ شمسی، ساخت نوشته و انتشار اولین مقاله در وردپرس و تفاوت نوشته، برگه، دسته و برچسب در وردپرس
پرسش‌های متداول
فرق Editor و Author چیست؟
Editor می‌تواند نوشته دیگران و برگه‌ها را مدیریت کند؛ Author معمولاً فقط نوشته‌های خود را منتشر و مدیریت می‌کند.
برای نویسنده مهمان چه نقشی مناسب است؟
Contributor، زیرا انتشار نهایی در اختیار Editor می‌ماند.
برای مدیر فروشگاه Administrator لازم است؟
معمولاً Shop Manager کافی است، مگر فرد مسئول تنظیمات فنی کل سایت باشد.
آیا نام کاربری قابل تغییر است؟
از رابط استاندارد خیر. می‌توان حساب جدید ساخت و محتوا را منتقل کرد. تغییر مستقیم دیتابیس ریسک دارد.
آیا حذف کاربر نوشته‌هایش را حذف می‌کند؟
وردپرس هنگام حذف سؤال می‌کند. گزینه نسبت دادن محتوا به کاربر دیگر را انتخاب کنید.
چند مدیر برای سایت مناسب است؟
کمترین تعداد لازم. هر مدیر اضافی یک سطح خطر و مسئولیت ایجاد می‌کند.
جمع‌بندی
نقش‌های کاربری وردپرس ابزار اصلی کنترل دسترسی هستند. Administrator برای مدیریت فنی، Editor برای سردبیری، Author برای انتشار محتوای خود، Contributor برای ارسال به بازبینی و Subscriber برای عضو عادی مناسب است. حساب جدا، حداقل دسترسی، 2FA و بازبینی دوره‌ای پایه امنیت تیم وردپرس هستند.