Gestire Ruoli e Permessi degli Utenti WordPress

In un precedente articolo abbiamo visto come creare e gestire gli utenti di WordPress utilizzando le impostazioni di default del CMS.

Se però si ha la necessità di crearne di nuovi, associando ad ognuno dei permessi specifici, occorre utilizzare un plugin.

In questo articolo ti spiegheremo come ampliare le funzionalità di WordPress per modificare, eliminare ed aggiungere permessi e ruoli ai livelli utente.

Ecco i plugin migliori per questo scopo:

Members

Il primo plugin che ti proponiamo è Members. È stato creato da Justin Tadlock, noto sviluppatore di WordPress.

Una volta installato puoi andare in Utenti > Roles e trovare tutti i ruoli presenti nel sito.

Oltre a quelli di default puoi crearne di personalizzati e premendo sulle rispettive voci puoi entrare e modificare i permessi per tale ruolo.

I permessi vengono chiamati capability.

Nella stessa schermata, tramite una suddivisione per tab laterali, puoi avere una visione chiara di tutto quello che può o non può fare un determinato ruolo.

Con questo plugin puoi:

• Modificare utenti base e relativi permessi.
• Creare nuovi utenti e nuovi ruoli.
• Aggiungere una casella meta box nell’editor di scrittura di pagine e articoli che ti consentirà di abilitare le modifiche a ruoli specifici.
• Inserire uno shortcode all’interno di un blocco di testo che esegue la stessa funzione.
• Aggiungere un modulo widget di login degli utenti.
• Creare un blog privato accessibile solo agli utenti autenticati.

Members è ancora attivo su oltre 100.000 siti web e gode ancora di ottime recensioni, ma non viene aggiornato da un po’, quindi fai attenzione che non ci siano problemi di compatibilità.

User Role Editor

Una valida alternativa a Members è User Role Editor.

Le funzioni sono praticamente le stesse. Troverai una serie di checkbox con le capability da assegnare ai vari profili.

Con la versione gratuita è possibile:

• Creare nuovi ruoli e personalizzarli in base alle tue esigenze.
• Clonare un ruolo esistente.
• Modificare il ruolo assegnato di impostazione predefinita.
• Assegnare capacità al singolo utente.
• Assegnare ruoli multipli simultaneamente.

Esiste anche una versione a pagamento con funzionalità aggiuntive.

Puoi consultarle alla pagina del plugin sulla reporitory di WordPress.

Capability Manager Enhanced

Questo è un altro plugin gratuito che consente le stesse operazioni: una volta attivato basterà andare su Utenti > Funzionalità e cominciare a gestire i ruoli.

Dalla schermata principale è possibile:

• Caricare ogni singolo ruolo pre-impostato e modificare ogni singolo parametro.
• Scegliere di creare un utente partendo da zero.
• Velocizzare le operazioni duplicando un ruolo già esistente e poi modificarlo.

La cosa importante da tenere a mente è che devi avere ben chiaro i permessi dei diversi ruoli, in modo da proteggere al meglio il tuo sito, visto che i cambiamenti rimangono memorizzati nel database anche quando il plugin viene disattivato.

Accortezze

Ti ricordiamo, inoltre, che molti plugin non fanno i controlli di sicurezza sul ruolo dell’utente, ma su particolari permessi.

Infatti i ruoli non sono nient’altro che un contenitore di permessi (chiamati capability).

Per esempio se volessi scrivere un plugin e mostrarlo solo agli amministratori del sito non scriverei un controllo se l’utente è amministratore o meno, me se l’utente è abilitato alla gestione degli utenti, ovvero la capability “add_users”, così come la gestione delle opzioni, ovvero la capability “manage_options”.

Non ti diciamo questo perché devi sviluppare un plugin, ma per dirti che: se al ruolo Sottoscrittore spunti una di queste capability appena dette, allora il rischio è che questa classe di utenti sia abilitata a cose che non le competono e puoi compromettere la sicurezza del tuo sito.

Una volta che hai apportato modifiche ad alcuni ruoli, effettua il login con un utenza di quel ruolo e verifica che tutto quello che vede e che può fare, sia quello che tu hai deciso.