Comment utiliser les rôles d'utilisateur WordPress pour une sécurité WordPress améliorée

25 novembre 2020

En tant que système de gestion de contenu, WordPress a un ensemble de rôles d'utilisateur. Essentiellement, ces rôles d'utilisateur WordPress définissent les capacités (autorisations pour effectuer des tâches de site Web spécifiques) de chaque utilisateur individuel sur votre site Web.

À mesure que votre site se développe, il est essentiel de comprendre ces rôles et capacités pour garantir la sécurité continue de votre site Web. Étant donné que l'attribution de mauvais rôles d'utilisateur peut entraîner des conséquences désastreuses.

Dans cet article, nous allons décrire ce que sont les rôles utilisateur (y compris les rôles personnalisés), afin que vous sachiez comment les attribuer correctement. Nous verrons également comment utiliser les plugins WordPress pour gérer et surveiller l'activité de vos utilisateurs WordPress.

Les bases des rôles d'utilisateur WordPress

Le type d'accès dont vous disposez à un site WordPress est déterminé par le rôle que vous avez et par conséquent, les capacités qui vous sont données.

  • Un «rôle» est un groupe / une liste prédéfinie de capacités. En tant qu'utilisateur, un rôle vous est alors attribué, qui détermine les capacités dont vous disposez.
  • Les `` capacités '' sont essentiellement ce que ce rôle d'utilisateur peut faire (publier des articles, modifier les paramètres, etc.)

Par exemple, un éditeur est un rôle d'utilisateur doté de fonctionnalités telles que la modération des commentaires, la publication de contenu et la création de nouveau contenu, pour n'en nommer que quelques-uns. Sur un site Web d'actualités ou de blog plus grand, il est normal d'avoir plusieurs éditeurs, chacun en charge de leurs sections thématiques respectives.

Alors que certains plugins ajoutent des rôles d'utilisateur WordPress personnalisés (nous y reviendrons bientôt), il existe six rôles d'utilisateur par défaut avec chaque site WordPress standard. Ils sont les suivants:

  • Super administrateur
  • Administrateur
  • Éditeur
  • Auteur
  • Donateur
  • Abonné

Comprendre la hiérarchie des capacités des rôles d'utilisateur WordPress

Il est important de comprendre que la structure des rôles est hiérarchique. Chaque rôle d'utilisateur a les capacités du ou des postes en dessous, avec l'ajout de certaines capacités spécifiques au rôle.

Par exemple, regardons le bas de la pyramide des rôles utilisateur, l'Abonné. Un rôle d'abonné n'a que la capacité de «lecture» qui lui est attachée (ce qui signifie qu'il ne peut lire que les publications sur votre site).

Passons au niveau suivant du rôle d'utilisateur, Contributor. Ce rôle a la capacité 'read' mais a également les capacités 'edit_posts' et 'delete_posts'. Cela signifie qu'ils peuvent modifier et supprimer leurs propres messages.

Le rôle d'utilisateur Auteur a les capacités d'Abonné et de Contributeur avec les privilèges supplémentaires attribués suivants:

  • Delete_publish_posts
  • Publish_posts
  • Télécharger des fichiers
  • Edit_published_posts

Comme vous pouvez le voir, les capacités augmentent au fur et à mesure que vous progressez dans la structure des rôles utilisateur, le super administrateur disposant du jeu de privilèges le plus élevé. Examinons donc chaque rôle un peu plus en détail, par ordre décroissant.

Rôle de super administrateur WordPress

WordPress Super Administrator est le rôle d'utilisateur WordPress de plus haut niveau, ils ont donc toutes les capacités disponibles. La différence entre un super administrateur et un administrateur est que ces capacités peuvent être transférées entre les sites d'un réseau multisite WordPress.

Pour plus de clarté, voici la différence entre les différents sites / réseaux WordPress:

Réseau multisite WordPress - un type d'installation WordPress qui vous permet de créer et de gérer un réseau de plusieurs sites Web à partir d'un seul tableau de bord WordPress.
Un site WordPress sur un réseau multisite (site enfant) - un site WordPress au sein de votre réseau multisite. Ce site enfant partage les plugins et le thème des autres sites du réseau mais peut avoir son propre thème enfant.
Un site WordPress autonome - un site autonome est votre installation WordPress normale. Il a son propre ensemble unique de plugins, de paramètres et de thèmes.

Un super administrateur (disponible uniquement sur les réseaux multisites) peut créer et gérer des sous-sites, créer et gérer des utilisateurs réseau, installer et supprimer des thèmes et des plugins, et les activer directement sur le réseau.

Par exemple, disons que vous exploitez un réseau de trois magasins de commerce électronique qui se concentrent chacun sur un segment de consommation spécifique - vêtements pour hommes, femmes et enfants. Un super administrateur pourrait apporter des modifications qui reflètent ces trois sites, comme la mise à jour ou la configuration du plugin WooCommerce.

Rôle d'administrateur WordPress

Tout comme les super administrateurs, les administrateurs ont toutes les capacités. Cependant, ces autorisations sont limitées à la portée d'un seul site Web. Ces fonctionnalités incluent, mais sans s'y limiter, les éléments suivants:

  • Installez et désinstallez, activez et désactivez, modifiez et mettez à jour tout plugin WordPress.
  • Créez un nouveau contenu, lisez, modifiez et supprimez le contenu existant. Par exemple, les pages WordPress et les articles de blog créés par tout autre utilisateur. Cela inclut les documents non publiés, privés et protégés par mot de passe.
  • Créez de nouveaux utilisateurs, modifiez et supprimez les utilisateurs existants.
  • Installez, activez et désactivez les thèmes WordPress.
  • Modifiez les fichiers de thèmes WordPress.
  • Créez, modifiez ou supprimez des catégories existantes.
  • Créez, modifiez ou supprimez des menus WordPress existants.
  • Téléchargez des fichiers sur WordPress.
  • Possibilité de publier du balisage HTML et du code JavaScript dans des pages, des articles et des commentaires (HTML non filtré).
  • Commentaires modérés.

N'oubliez pas que ces fonctionnalités sont les mêmes que celles du super administrateur. Cependant, un super administrateur dispose de ces privilèges répartis sur plusieurs sites au sein d'un réseau WordPress.

Rôle d'éditeur WordPress

Le niveau de la structure auquel les capacités sont restreintes est le rôle d'utilisateur Editeur. Le rôle d'éditeur est axé sur le contenu, comme dans un cadre de publication traditionnel. Ils n'ont aucune autorisation qui implique la configuration, l'installation, la fonctionnalité ou la conception de votre site Web WordPress.

Leurs capacités comprennent:

  • Commentaires modérés.
  • Créez un nouveau contenu tel que des articles de blog et des pages WordPress.
  • Lisez, modifiez et supprimez le contenu existant tel que les pages WordPress et les articles de blog créés par tout autre utilisateur. Cela comprend également les documents non publiés, privés et protégés par mot de passe.

Rôle d'auteur WordPress

À partir de l'auteur, les capacités des rôles d'utilisateur WordPress deviennent beaucoup plus restreintes. Une personne désignée comme un rôle d'utilisateur Auteur n'a accès qu'à ses articles de blog et à son profil.

Ainsi, ils peuvent publier leurs articles de blog, modifier leurs propres articles de blog existants et modifier leur profil utilisateur.

Rôle de contributeur WordPress

À l'instar du rôle d'utilisateur Auteur, les contributeurs peuvent rédiger des articles de blog. Cependant, les contributeurs WordPress ne peuvent pas publier leurs propres articles de blog. Tous les articles de blog écrits par un contributeur WordPress doivent être approuvés et publiés par un éditeur ou un administrateur WordPress.

Rôle d'abonné WordPress

Il s'agit du rôle par défaut attribué à toute personne s'inscrivant pour créer un compte sur un site Web WordPress. Un abonné ne peut lire que du contenu et n'a pas accès pour modifier tout type de contenu sur un site WordPress. Ils ne peuvent modifier que les informations de leur profil.

Rôles d'utilisateur personnalisés WordPress

Les rôles d'utilisateur WordPress décrits ci-dessus sont les rôles par défaut `` prêts à l'emploi '' fournis dans un site WordPress standard. Dans certains cas, les plugins WordPress installent leurs propres rôles d'utilisateur personnalisés, avec des capacités spécifiques attachées pour remplir ce rôle.

Par exemple, ceux d'entre vous qui utilisent WooCommerce remarqueront un rôle d'utilisateur Store Manager. De même, le plugin SEO Yoast introduit les rôles d'utilisateur SEO Editor et SEO Manager avec leurs propres autorisations WordPress distinctes.

La création de rôles d'utilisateur WordPress personnalisés peut vous intéresser si les rôles préexistants ne correspondent pas tout à fait à vos objectifs. Par exemple, vous pouvez gérer un site d'adhésion qui vous oblige à donner aux abonnés beaucoup plus de privilèges que de simples capacités de lecture. Si tel est le cas, les plugins WordPress tels que User Role Editor vous permettent de personnaliser les autorisations au sein de chaque rôle pour mieux répondre aux besoins spécifiques de votre entreprise.

Comment utiliser les rôles d'utilisateur WordPress pour améliorer la sécurité

Les rôles d'utilisateur WordPress ont un rôle important à jouer dans la sécurité globale de votre site Web. Le simple fait d'attribuer trop de capacités à la mauvaise personne peut avoir des conséquences potentiellement désastreuses. Dans cet esprit, vous devez bien définir vos attributions de rôle utilisateur.

Attribuer le bon rôle à la bonne personne

Tout comme dans toute entreprise traditionnelle, vous ne confiez pas les mêmes droits et responsabilités à vos employés de bas niveau ou à des sous-traitants externes que vous faites au propriétaire de l'entreprise.

Par exemple, lorsqu'ils font référence à un site WordPress, les développeurs Web ont besoin d'un accès de niveau administrateur pour apporter les modifications nécessaires aux fonctions du site Web principal. Cependant, ils doivent avoir leur propre identifiant utilisateur spécifique, dont vous pouvez garder le contrôle.

Il en va de même pour les auteurs et les contributeurs si vous gérez un blog, ou pour les responsables de magasin et de produit si vous gérez une boutique de commerce électronique. Vous devez être en contrôle en tant que webmaster pour plusieurs raisons.

Pour plus d'informations à ce sujet, notre guide sur le principe des moindres privilèges est un bon point de départ.

Le partage des informations d'identification est une menace pour la sécurité

Prêter vos informations utilisateur WordPress à quelqu'un d'autre peut sembler inoffensif, mais c'est tout sauf sécurisé. Les informations d'identification transmises par e-mail peuvent être interceptées et les versions imprimées peuvent tout aussi rapidement être compromises.

Une étude de 2019 a révélé que 74% des violations de données étaient le résultat d'un abus d'informations d'identification avec accès privilégié. Pire encore, le même rapport a révélé que jusqu'à 65% partagent au moins un accès root ou privilégié à des systèmes (tels que WordPress) au moins assez souvent. *

L'une des raisons pour lesquelles les violations de données sont si élevées est que les informations d'identification partagées ont tendance à favoriser des mots de passe faibles. Si les mots de passe faciles à retenir font gagner du temps aux propriétaires de sites WordPress, ils présentent une faiblesse dans la sécurité de votre site, le laissant ouvert aux attaques par force brute et par dictionnaire.

Enfin, si vous donnez à de nombreuses personnes l'accès à un rôle d'utilisateur WordPress sur votre site, vous ne pourrez pas savoir qui a modifié quoi sur votre site Web. Avec plusieurs personnes ayant accès à un nom d'utilisateur et un mot de passe, comment allez-vous déchiffrer quelle personne est responsable des activités menées sous ce rôle d'utilisateur?

Gardez les journaux des utilisateurs avec différents rôles

Pour les raisons exposées ci-dessus, vous devez donner à chaque contributeur de votre site WordPress son propre identifiant et son propre rôle d'utilisateur. C'est alors une bonne idée d'utiliser un plugin pour surveiller l'activité de chaque utilisateur afin de suivre les travaux entrepris tout en augmentant la sécurité du site.

Avec le plugin WP Activity Log, vous pouvez conserver un journal d'activité de chaque changement effectué par vos utilisateurs WordPress. En installant ce plugin, vous pouvez stocker et analyser un journal d'activité complet, recevant des alertes en temps réel lorsqu'un utilisateur entreprend des modifications critiques du site. Vous pouvez également surveiller les utilisateurs en temps réel pour vous assurer qu'ils exécutent leurs tâches comme il se doit.

Ces fonctionnalités sont particulièrement avantageuses si vous exploitez de grands sites Web uniques avec plusieurs services (comme c'est souvent le cas dans le commerce électronique). Ou, vous exécutez un réseau multisite en tant que super administrateur. Avec autant de personnes effectuant des changements constants, vous pouvez utiliser le plugin WP Activity Log pour rechercher dans les journaux d'activité et déterminer quand des modifications spécifiques ont été apportées à un site WordPress (et par qui).

Optimiser les rôles des utilisateurs dans WordPress

Les rôles d'utilisateur WordPress ont un rôle essentiel à jouer dans la structure organisationnelle de votre site Web. Pour minimiser les problèmes de sécurité, chaque rôle d'utilisateur et leurs capacités associées doivent être soigneusement attribués. Plus votre site se développe, plus les rôles des utilisateurs deviennent importants.

Dans de nombreux cas, le partage des informations d'identification entre les individus doit être évité à tout prix. Bien que vous puissiez superviser quelques utilisateurs, lorsque plusieurs membres de l'équipe sont désignés pour chaque rôle d'utilisateur, vous avez besoin d'un logiciel tel que le plugin WP Activity Log pour suivre avec précision les modifications apportées à votre site.

Pourquoi ne pas commencer votre essai gratuit de 14 jours pour votre site Web WordPress dès aujourd'hui?

Astuce bonus

Les mots de passe faibles sont l'une des plus grandes menaces pour votre site WordPress. Avec autant d'utilisateurs sur votre site Web, vous devez vous assurer qu'ils utilisent tous des mots de passe forts pour vous protéger contre les pirates.

Avec le gestionnaire de politique de mot de passe pour WordPress, vous pouvez vous assurer que tous ceux qui ont une connexion à votre site Web utilisent un mot de passe sécurisé. Vous pouvez également doubler vos dispositions de sécurité en implémentant une authentification à deux facteurs pour vos utilisateurs avec le plugin WP 2FA.

* https://www.forbes.com/sites/louiscolumbus/2019/02/26/74-of-data-breaches-start-with-privileged-credential-abuse/#6c25c92b3ce4