Khi website phát triển và có thêm nhiều người cùng tham gia quản trị (biên tập viên viết bài, kỹ thuật viên chỉnh sửa giao diện, cộng tác viên gửi bài…), việc phân quyền hợp lý không chỉ giúp công việc trôi chảy mà còn giảm rủi ro bảo mật. WordPress có sẵn hệ thống vai trò (Roles) rất linh hoạt để đáp ứng nhu cầu này.
Các vai trò mặc định trong WordPress
WordPress cung cấp 5 vai trò cơ bản với mức quyền hạn khác nhau, từ cao đến thấp:
- Quản trị viên (Administrator): có toàn quyền trên website, bao gồm cài/xóa plugin, theme, quản lý người dùng, chỉnh sửa mọi nội dung và cài đặt hệ thống.
- Biên tập viên (Editor): quản lý và xuất bản tất cả bài viết, trang, kể cả bài của người khác, nhưng không được cài plugin/theme hay đổi cài đặt hệ thống.
- Tác giả (Author): viết, sửa, xuất bản và xóa bài viết của chính mình, không can thiệp được vào bài của người khác.
- Cộng tác viên (Contributor): viết và sửa bài viết của mình nhưng không được tự xuất bản, phải chờ Biên tập viên hoặc Quản trị viên duyệt.
- Người đăng ký (Subscriber): chỉ có thể đăng nhập, cập nhật thông tin cá nhân và bình luận, thường dùng cho website có tính năng thành viên.
Cách thêm người dùng mới
- Vào Người dùng (Users) > Thêm mới (Add New) trong trang quản trị.
- Điền tên đăng nhập, email, có thể để trống họ tên hoặc điền đầy đủ.
- Chọn vai trò (Role) phù hợp với công việc người đó đảm nhận.
- WordPress có thể tự sinh mật khẩu mạnh hoặc bạn tự đặt, nên tick chọn gửi thông báo qua email cho người dùng mới.
- Nhấn Thêm người dùng mới (Add New User) để hoàn tất.
Nguyên tắc phân quyền tối thiểu cần thiết
Một nguyên tắc bảo mật quan trọng là chỉ cấp cho mỗi người đúng mức quyền cần thiết để họ hoàn thành công việc, không nên cấp dư quyền. Ví dụ, một cộng tác viên chỉ viết bài thì không cần thiết phải được cấp quyền Biên tập viên hay Quản trị viên.
Mẹo nhỏ: chỉ nên có một hoặc hai tài khoản Quản trị viên duy nhất cho website, càng nhiều tài khoản quyền cao thì rủi ro bị lộ mật khẩu và bị chiếm quyền càng lớn.
Tùy chỉnh vai trò nâng cao với plugin
Nếu 5 vai trò mặc định chưa đáp ứng đủ nhu cầu (ví dụ muốn một nhân viên chỉ được sửa sản phẩm nhưng không được sửa bài viết blog), bạn có thể cài thêm plugin như User Role Editor hoặc Members. Các plugin này cho phép:
- Tạo vai trò hoàn toàn mới theo nhu cầu riêng.
- Tùy chỉnh chi tiết từng quyền hạn (capability) cho mỗi vai trò, ví dụ chỉ cho phép sửa nhưng không cho phép xóa.
- Giới hạn quyền truy cập vào từng chuyên mục hoặc loại nội dung cụ thể.
Một số lưu ý về bảo mật khi quản lý người dùng
- Xóa hoặc vô hiệu hóa ngay tài khoản của nhân viên đã nghỉ việc, đặc biệt là các tài khoản có quyền cao.
- Yêu cầu tất cả người dùng đặt mật khẩu mạnh, tránh dùng lại mật khẩu ở nơi khác.
- Định kỳ rà soát danh sách người dùng trong mục Users để phát hiện tài khoản lạ không rõ nguồn gốc.
- Nên bật xác thực hai lớp (2FA) cho các tài khoản Quản trị viên nếu website có cài plugin hỗ trợ.
Phân quyền đúng cách giúp việc vận hành website trở nên chuyên nghiệp, an toàn và có tổ chức hơn khi có nhiều người cùng tham gia. Nếu bạn cần tư vấn cách thiết lập quy trình quản trị website cho đội nhóm của mình, hãy liên hệ ThinhND qua Zalo 0911947997 để được hỗ trợ.
