WordPress Benutzerrollen: Berechtigungen einfach verwalten

Wenn ein Blog gestartet wird, läuft die Rollenvergabe oft so: Der Chefredakteur oder technische Ansprechpartner bekommt Admin-Rechte, während alle anderen, die sonst noch am Blog arbeiten, zu Redakteuren gemacht werden. Das ist auf jeden Fall schon mal besser, als wenn alle User Administratoren sind, doch mit WordPress ist weitaus mehr möglich. Das CMS bringt gute Standardeinstellungen zur Benutzerverwaltung mit, ihr könnt aber über das Plugin User Role Editor oder die CLI noch feinjustieren. Hier lohnt es sich, genauer hinzuschauen. Im Folgenden stellen wir euch alle Möglichkeiten vor.

Wir starten also aufsteigend zunächst mit der Rolle, die am wenigsten Rechte hat: Der Abonnent darf im Blog kommentieren und kann sich ein eigenes Profil anlegen. Manche Blogs handhaben es so, dass nur die Abonnenten kommentieren können. Das ist aber sicherlich nur dann sinnvoll, wenn ihr einen Blog lediglich einem kleinen, auserlesenen Kreis präsentieren wollt. Im Mittwald Blog darf natürlich jeder gerne nach Herzenslust kommentieren. Wir freuen uns auf euer Feedback!

In aller Kürze

• Hat die wenigsten Rechte.
• Verfolgt den Blog und darf kommentieren.

Auf der nächsten Stufe befinden sich die Autoren. Sie dürfen ihre selbst geschriebenen Artikel auch selbst veröffentlichen und Kommentare zu diesen Beiträgen eigenständig freischalten. Im Gegensatz zu den Mitarbeitern können sie auch Fotos und Videos im CMS hochladen. Als WordPress-Benutzerrolle sind sie besonders interessant, wenn ihr jemanden komplett eigenständig als Artikel-Verfasser arbeiten lassen möchtet.

In aller Kürze
 

• Darf eigene Artikel verfassen und veröffentlichen
• Darf Fotos und Videos hochladen
• Kann Kommentare zu den eigenen Artikeln freischalten

Wenn ihr möchtet, dass jemand im Backend zwar Artikel verfassen, aber nicht veröffentlichen kann, ist die Rolle des Mitarbeiters die richtige für diese Person. Auch das Bearbeiten von Artikeln anderer Autoren ist für sie nicht möglich. Sie sehen zwar die Titel der anderen Beiträge, können aber nur die eigenen ändern. Zusätzlich ist es ihnen nicht gestattet, Seiten zu erstellen oder Fotos und Videos hochzuladen.

In aller Kürze:
 

• Darf eigene Artikel verfassen, jedoch nicht veröffentlichen.
• Darf keine Seiten erstellen.
• Darf keine Fotos oder Videos hochladen.

Deutlich mehr Macht hat der Redakteur. Er darf eigene sowie fremde Beiträge editieren, veröffentlichen oder sogar löschen. Ausgenommen davon sind nur die Artikel von Administratoren. Auch statische Seiten und Kategorien dürfen Redakteure anlegen und bearbeiten.

In aller Kürze

• Darf Seiten und Artikel erstellen sowie veröffentlichen.
• Kann Kategorien und Schlagwörter anlegen sowie bearbeiten.
• Kann Artikel anderer Nutzer (Ausnahme: Administrator) bearbeiten und freischalten.

Der Administrator hat alle Rechte. Aus diesem Grund solltet Ihr diese Rolle natürlich nur an äußerst vertrauenswürdige Personen vergeben, denn einem Benutzer mit Adminrechten stehen alle Türen offen. Am sinnvollsten ist es, nur dem technischen Betreuer der Seite den Administrator-Zugang zu geben.

In aller Kürze

• Kann in jedem Bereich der WordPress-Seite aktiv sein
• Kann andere Administratoren löschen, Benutzerrollen ändern oder neue Benutzer anlegen
• Detaillierte Rechteverwaltung per Plugin

Wenn euch bei den verschiedenen WordPress Benutzerrollen manchmal einzelne Rechte fehlen, gibt es verschiedene Möglichkeiten, um die Rollen und Benutzer individuell anzupassen.

Hierfür vorab kurz noch eine kleine Erklärung zu den Hintergründen. Einer Rolle sind verschiedene Fähigkeiten (Capabilities) zugeschrieben. Welche Fähigkeiten es gibt, schlägst du am besten direkt in der WordPress Dokumentation nach. Ob bestimmte Aktionen durchgeführt werden können, hängt also eigentlich gar nicht an der Rolle, sondern nur an der Fähigkeit, die dieser Rolle zugeschrieben ist.

Eine einsteigerfreundliche Variante ist die Nutzung eines Plugins: zum Beispiel mit dem Plugin „User Role Editor“. Einfach installieren, neue Rollen definieren oder bestehende Rollen bearbeiten und Nutzern zuweisen. Nachteil: Du hast für eine kleine Aufgabe gleich wieder ein Plugin zusätzlich im System, das gepflegt und aktualisiert werden muss. Doch es geht auch anders.

Wer für diese Anpassungen nicht extra ein Plugin installieren möchte, das dauerhaft aktiv ist, kann das auch über die WP-CLI machen. Dafür musst du dich über SSH auf dem Server anmelden. Vorher stellst du am besten im Kundencenter unter Tools › Softwaremanager › Zusätzliche Dienstprogramme sicher, dass die WP-CLI auch installiert ist – oder holst das im Zweifel nach.

Wenn du auf dem Server angemeldet bist, wechselst du in dein WordPress Installationsverzeichnis und lässt dir erst mal mit der CLI die Liste der bestehenden Nutzer anzeigen:

In der Ausgabe bekommst du die Nutzer mit ihren IDs angezeigt. Die brauchen wir im nächsten Schritt.

Angenommen, der User lfritze mit der ID 2 soll zwar kein Admin werden und Editor (dt.: Redakteur) bleiben, aber trotzdem Menüs und Widgets bearbeiten können – dann braucht er die Fähigkeit edit_theme_options. Diese kannst du ihm so zuweisen:

Genutzt wird hier das Command wp user add-cap. Damit erhält der Nutzer diese Fähigkeit dauerhaft.

Weitere nützliche Commands in diesem Zusammenhang sind:

• wp role list : Auflisten der vorhandenen Rollen – Doku
• wp role create <key> <name> : Erstellen einer neuen Rolle. Mit dem Parameter --clone kann man bestehende Rollen kopieren. – Doku
• wp cap list <role-key> : Anzeigen der Fähigkeiten einer Rolle – Doku
• wp cap add <role-key> <cap> : Hinzufügen einer Fähigkeit zu einer Rolle – Doku
• wp user list-caps <user-id> : Anzeigen der Fähigkeiten eines Nutzers – Doku

Das Handling mit der CLI klingt im ersten Moment recht komplex. Hat man sich aber erst mal rangetraut, geht es schneller als über eine Oberfläche. Und man spart sich die Installation und Pflege eines Plugins. Das spart nicht nur Speicherplatz, sondern erhöht auch die Sicherheit und Performance.

WordPress bringt schon eine gute Basis für Rollen und Rechte mit. Mit ein paar Anpassungen kann man so flexibel Rechte vergeben. Im Alltag nutze ich meinen Administrator so gut wie nie, sondern meistens einen angepassten Redakteur – eine weitere kleine Sicherheitsmaßnahme. Wie verwaltet Ihr eure WordPress Benutzer und ihre Berechtigungen?