Usuarios y perfiles
Módulo 3: Dirección, https y usuarios · Tiempo de lectura: 8 minutos
Objetivo de la lección: Después de esta lección podrá repartir perfiles y permisos de modo que cada persona solo pueda hacer lo que necesita.
Conceptos clave: perfil, capability (permiso), administrador, editor, autor, colaborador, suscriptor, mínimos permisos necesarios, una cuenta por persona, nombre público y nombre de usuario, contraseña de aplicación, eliminar un usuario y reasignar contenido
Perfiles y permisos
Toda persona que inicia sesión en su sitio WordPress tiene un perfil. Un perfil es un conjunto de permisos (en la jerga de WordPress, capabilities): ¿puede esta persona escribir entradas, modificar entradas de otros, instalar plugins, crear usuarios? WordPress tiene cinco perfiles predeterminados (entre paréntesis, el nombre que verá en español):
| Perfil | Qué puede hacer este perfil | Típico para |
|---|---|---|
| Administrator (Administrador) | Todo: temas, plugins, usuarios, ajustes, todo el contenido | Una o dos personas que gestionan el sitio a nivel técnico |
| Editor (Editor) | Crear, modificar, publicar y eliminar todas las entradas y páginas, incluidas las de otros; gestionar comentarios | Quien mantiene el contenido de todo el sitio |
| Author (Autor) | Escribir sus propias entradas, subir imágenes y publicar | Un redactor habitual |
| Contributor (Colaborador) | Escribir sus propias entradas, pero no publicarlas ni subir archivos | Un autor invitado cuyos textos se revisan |
| Subscriber (Suscriptor) | Solo gestionar su propio perfil | Miembros que deben iniciar sesión para leer algo |
En una red de sitios (multisitio) existe también el superadministrador. Algunos plugins añaden perfiles propios, como Gestor de la tienda y Cliente en WooCommerce, o un perfil para la gestión del posicionamiento (SEO).
Fíjese en la diferencia entre autor y editor: un autor solo puede tocar sus propias entradas, mientras que un editor puede con todo. Y un editor no puede instalar plugins ni modificar ajustes. Esa es precisamente la idea.
El principio: los mínimos permisos necesarios
Cada cuenta es una posible puerta de entrada para un intruso. Una contraseña filtrada de un suscriptor hace poco daño. Una contraseña filtrada de un administrador da el control total: un intruso puede subir un plugin con código malicioso y así acceder a todos los archivos y a la base de datos de su sitio.
Por eso debe dar a cada persona el perfil más bajo con el que pueda hacer su trabajo:
- El compañero de marketing que escribe artículos: autor o editor, no administrador.
- El becario que aporta noticias: colaborador; otra persona publica.
- El desarrollador que viene a hacer algo puntual: una cuenta de administrador temporal que elimine o rebaje después.
- Usted mismo: considere tener dos cuentas, una de administrador para el mantenimiento y una de editor para la escritura diaria. Quien, siendo administrador, visita una página infectada o pulsa en un enlace falso, expone más que un editor.
Algunas reglas que van de la mano:
- Una cuenta por persona. Nunca una cuenta compartida «oficina» o «redacción». Si lo hace, no sabrá quién hizo qué, no podrá retirar el acceso a una sola persona y la contraseña circulará por correos y notas.
- Haga limpieza. Si alguien se marcha, elimine la cuenta o rebájela a suscriptor. Revise cada trimestre qué administradores hay (lección 9.4). Un administrador desconocido es una de las señales más claras de que han hackeado el sitio (lección 7.5).
- Nada de cuentas para aplicaciones que no las necesitan. Si una integración (una aplicación, otro sistema) necesita acceder a WordPress, utilice una contraseña de aplicación (véase más abajo).
Nombre de usuario y nombre público
Cada cuenta tiene un nombre de usuario (con el que inicia sesión, no se puede cambiar) y un nombre público (el que aparece junto a sus entradas, por ejemplo «Lisa de Vries»). Elija el nombre público en el perfil, en el campo «Mostrar públicamente como».
¿Es secreto su nombre de usuario? No realmente. WordPress muestra en varios lugares un nombre derivado: en la dirección del archivo de un autor (/author/lisa/) y en el punto de acceso REST del sitio (/wp-json/wp/v2/users), para cualquiera que haya publicado una entrada. Ese nombre (el slug) suele coincidir con el nombre de usuario. Un intruso tendría entonces la mitad de lo que necesita. La protección real está en una contraseña fuerte y en la verificación en dos pasos (lección 7.3), pero un nombre de usuario distinto de su nombre público ayuda un poco. En la lección 7.3 comprobará qué muestra su sitio.
Contraseñas de aplicación
Desde WordPress 5.6, cada perfil tiene en la parte inferior un apartado de Contraseñas de aplicación. Con ellas puede crear una contraseña independiente para una sola integración, por ejemplo una aplicación en su teléfono o un sistema que publica entradas a través de la API REST. Ventajas:
- No revela su contraseña real.
- Puede revocar una integración sin cambiar su propia contraseña.
- Una contraseña de aplicación no sirve para iniciar sesión en el escritorio de administración normal.
La contraseña de aplicación tiene los mismos permisos que la cuenta. Créela, por tanto, en una cuenta con un perfil adecuado (bajo). Si no utiliza integraciones, no las necesita.
Eliminar a alguien
Si elimina un usuario que ha escrito entradas, WordPress le preguntará qué hacer con ese contenido:
- Borrar todo el contenido: desaparecen todas las entradas y páginas de esa persona. Casi nunca es lo que quiere.
- Atribuir todo el contenido a otro usuario: las entradas se mantienen, con el nuevo usuario como autor.
Elija casi siempre la segunda opción. ¿Quiere conservar el nombre del autor original en las entradas? En ese caso, rebaje la cuenta a suscriptor y asígnele una contraseña nueva y larga, en lugar de eliminarla.
En la práctica: así se ve en un panel
En la administración de WordPress:
- Usuarios > Todos los usuarios: en la parte superior se indica cuántas cuentas hay por perfil. Pulse en Administrador para ver solo los administradores.
- Usuarios > Añadir nuevo: rellene el nombre de usuario y el correo electrónico y elija el perfil. Deje que WordPress envíe un enlace para crear la contraseña en lugar de enviarla usted mismo por correo.
- Perfil: elija el nombre público y, más abajo, gestione las contraseñas de aplicación.
Resumen
- Un perfil es un conjunto de permisos; WordPress tiene administrador, editor, autor, colaborador y suscriptor.
- Dé a cada persona el perfil más bajo con el que pueda hacer su trabajo y mantenga reducido el número de administradores.
- Una cuenta por persona, nunca compartida; elimine las cuentas cuando alguien se marche.
- Los nombres de usuario no son secretos; la protección real es una contraseña fuerte y la verificación en dos pasos.
- Al eliminar una cuenta, reasigne el contenido a otra persona; utilice contraseñas de aplicación para las integraciones.
Cuestionario
Ejercicio
Ejercicio D3.3: Una auditoría de perfiles de su sitio. Abra Usuarios > Todos los usuarios y haga una lista: por cada cuenta, el perfil, si la persona sigue activa y qué perfil necesita en realidad. Indique cuántos administradores tenía y cuántos quedan tras su ronda de limpieza. Marque: ninguna cuenta compartida, ningún administrador desconocido, personas que se marcharon eliminadas o rebajadas (con el contenido reasignado), contraseñas de aplicación sin uso revocadas. Explique en una frase por qué se asigna, o no, una cuenta de editor independiente para usted mismo.
Ejercicio D3.3: Una auditoría de roles de su sitio
Este ejercicio lo hace usted mismo; nadie lo revisa. Marque lo que haya hecho y señale el ejercicio como realizado.
El número de administradores después de la ronda no es mayor que antes, y su razón hace referencia a "tan pocos permisos como sea necesario": quien solo escribe no necesita un rol de administrador.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Estos artículos describen los pasos en los paneles de WebOké; en otros paneles funcionan de forma parecida.