בדקו הרשאות ב-WordPress לפני שחשבון ישן הופך לבעיה חדשה

בדיקת גישה ב-WordPress צריכה לענות על שתי שאלות: מי יכול לשנות את האתר, ואילו כלים חיצוניים יכולים לפעול דרך החשבונות האלה? רשימת עובדים עונה רק על הראשונה. פרטי גישה ישנים של חיבור חיצוני עשויים להישאר רלוונטיים גם אחרי שמי שיצר אותם הפסיק להתחבר.

התחילו בעותק של האתר שאפשר לשחזר ובחשבון מנהל מאומת בשליטת הבעלים. לאחר מכן בדקו משתמשים מזוהים, הרשאות בפועל וסיסמאות יישום. המדריך מניח התקנת WordPress רגילה של אתר יחיד. Multisite, מוצרי מנויים ותוספי ניהול תפקידים עשויים לשנות את המודל, ולכן יש לבדוק את ההרשאות בהתקנה עצמה ולא לראות בשם התפקיד הוכחה.

מתחילים במשימה, לא בתפקיד הכי נוח

תיעוד התפקידים וההרשאות של WordPress מתאר את קבוצות ההרשאות המובנות. תורם, Contributor, יכול לכתוב ולנהל פוסטים שלו אך לא לפרסם אותם; כותב, Author, יכול לפרסם את הפוסטים שלו; עורך, Editor, יכול לנהל פוסטים של אחרים. למנהל יש סמכויות רחבות יותר לניהול האתר. ההבדלים חשובים כשספק חיצוני צריך רק להגיש טיוטה.

לכל חשבון כתבו משפט שמתאר את העבודה הנוכחית. "מעלה את הדוח השבועי לבדיקה מערכתית" מועיל יותר מ"שיווק". השוו את המשימה לפעולות שהחשבון רשאי לבצע. אם התפקידים המובנים אינם מתאימים, הגדירו את הדרישה לפני התקנה או שינוי של תוסף תפקידים, ובדקו את ההרשאות שנוצרו במקום לסמוך על השם המוצג.

אל תשתפו חשבון מנהל כדי לחסוך יצירת משתמש נוסף. חשבון אישי מאפשר להסיר גישה של אדם אחד בלי להפיץ בכוונה סיסמה חלופית לכל האחרים. שמרו דרך התאוששות בשליטת הבעלים, כך שסיום העבודה עם סוכנות או ספק לא יסיר גם את האדם היחיד שיכול לנהל את האתר.

בדקו תפקיד עם פחות הרשאות באמצעות עבודה מייצגת: שמירת טיוטה, העלאת מדיה נדרשת, עריכת התוכן המיועד וניסיון לבצע פעולה שאמורה להיות אסורה. תורם רגיל אינו יכול להעלות קבצים, ולכן תהליך שמצריך תמונות דורש התאמה מכוונת. פתרו את הצורך המסוים, לא כל בקשה עתידית אפשרית באמצעות מתן הרשאת מנהל.

ממפים סיסמאות יישום כפרטי גישה נפרדים

מדריך האימות של REST API מתאר סיסמאות יישום לגישה מזוהה ל-API באמצעות HTTPS. הן נפרדות מסיסמת ההתחברות הרגילה של המשתמש. היתרון התפעולי הוא שלחיבור חיצוני יכולים להיות פרטי גישה משלו, במקום לקבל את הסיסמה היומיומית של האדם.

תעדו לאיזה חשבון שייכת כל סיסמה, איזה שירות משתמש בה, מי מתחזק אותו והאם החיבור עדיין נחוץ. שם תיאורי עוזר לזהות את המטרה, אך אינו מגביל בפני עצמו את הבקשות שאפשר לבצע. התאימו את הרשאות חשבון השירות לעבודה שהחיבור מבצע בפועל.

מדריך החיבור באמצעות סיסמאות יישום מסביר את מודל הניהול והביטול. השתמשו בסיסמה נפרדת לכל חיבור, כך שהוצאת כלי משימוש לא תחייב להשבית את כל החיבורים האחרים של המשתמש. אל תדביקו סיסמאות יישום בגיליון ביקורת, במייל תמיכה או בפנייה ציבורית; תעדו את האחראי ואת המטרה, לא את הסוד.

כאשר לא ברור מי אחראי לחיבור, בדקו לפני שמוחקים בעיוורון. זהו את משימת הפרסום, הגיבוי או הסנכרון הקשורה אליו ומצאו את האחראי. "לא ידוע" אינו אומר "לא מסוכן", אך גם לא "לא בשימוש". הבדיקה צריכה להפוך אי-ודאות להחלטה מפורשת: לשמור, להחליף או לבטל.

מבטלים גישה בסדר מבוקר

בעזיבה מתוכננת, זהו קודם מה חייב להמשיך: פרסום מתוזמן, בעלות על תוכן, טיפול במדיה וחיבורים. העבירו אחריות תפעולית וצרו פרטי גישה חלופיים דרך החשבון המורשה. ודאו שהחלופה פועלת לפני שמבטלים סיסמה ששירות מתמשך תלוי בה.

בחשד לפריצה, תנו עדיפות להכלה ולנוהל הטיפול באירועים במקום לחכות להעברה שגרתית. המדריך הוא בדיקת הרשאות, ולא הבטחה למענה מלא לאירוע אבטחה. שמרו רשומות רלוונטיות וערבו את המנהל או מומחה האבטחה כאשר נדרשת חקירה מעבר לניקוי רגיל של חשבונות.

בניקוי שגרתי, בטלו את סיסמת היישום שנבחרה, ודאו שהחיבור הישן כבר אינו מצליח להזדהות ובדקו שחיבורים אחרים עדיין פועלים. לאחר מכן צמצמו או הסירו את גישת האדם לממשק, לפי הצורך. לחיצה על כפתור אינה מאמתת ביטול; הראיות המועילות הן הבקשה שנדחתה כצפוי והתהליך האחר שממשיך לפעול.

לפני מחיקת משתמש, בדקו מה יקרה לתוכן ולייחוס שלו ובחרו במכוון כל שיוך מחדש שנדרש. אל תהפכו ניקוי גישה למחיקה מערכתית מקרית. עקרונות השינוי המבוקר במדריך לסביבת בדיקה ולחזרה לאחור ב-WordPress שימושיים כשמעורב תוסף תפקידים או שינוי תצורה אחר.

שומרים רישום שאפשר לתחזק

שמרו רשומה לכל משתמש ורשומה מקושרת לכל חיבור: מטרה, אחראי, תפקיד או הרשאות, מועד בדיקה והחלטה. את הסודות שמרו במערכת ניהול הסודות המאושרת של הצוות, לא לצד המיפוי הקריא. הרשימה צריכה לעזור למחליף להבין את האתר בלי למסור לו כברירת מחדל את כל הסיסמאות.

קבעו בדיקה מפורשת בסיום חוזה, בשינוי תפקיד או בהוצאת כלי משימוש. בדיקה תקופתית יכולה לזהות השמטות, אבל סיום עבודה אינו צריך להמתין לתזכורת הבאה. שלבו את התהליך בשגרת התחזוקה של האתר, עם אחראי מוגדר להשלמתו.

בסיום, בדקו את שני צדי השינוי. העורך שנותר מורשה צריך עדיין לבצע את עבודתו; החשבון או הסיסמה שבוטלו צריכים להיכשל בפעולה שכבר אינה מותרת. תעדו את הבדיקה ואת התוצאה בלי לטעון שהן מוכיחות שהאתר כולו מאובטח.

בדיקה מועילה מסתיימת בפחות הרשאות לא מוסברות, לא בהכרח בפחות חשבונות. חשבונות נפרדים עם מטרה ברורה עשויים להיות קלים יותר לניהול ממספר קטן של חשבונות מנהל משותפים. המטרה היא להצדיק כל הרשאה פעילה ולהוכיח שכל הרשאה שהוסרה אכן נעלמה.