Zacznij od zadań, nie od nazw ról
Gdy kilka osób pracuje nad stroną, łatwo nadać każdej z nich pełny dostęp „na wszelki wypadek”. To wygodne tylko pozornie. Osoba, która ma dodać wpis, zwykle nie musi zmieniać ustawień witryny ani zarządzać kontami innych użytkowników. Dobrą zasadą jest przyznawanie najmniejszego zakresu uprawnień potrzebnego do wykonania konkretnego zadania. Ogranicza to skutki pomyłek i ułatwia ustalenie, kto odpowiada za poszczególne zmiany.
Przed utworzeniem kont wypisz czynności wykonywane przy stronie: pisanie tekstów, poprawianie zdjęć, publikowanie, aktualizowanie katalogu, zmiana wyglądu czy instalowanie rozszerzeń. Następnie przypisz je osobom lub stanowiskom. Dopiero wtedy sprawdź, które role dostępne w Twoim CMS odpowiadają tym zadaniom. Nazwy ról i dokładne uprawnienia różnią się między systemami, dlatego nie zakładaj, że „redaktor” wszędzie może zrobić to samo.
Podziel dostęp zgodnie z przebiegiem pracy
Na blogu autor może przygotowywać własne szkice, a redaktor sprawdzać je i publikować. W małej firmie osoba odpowiedzialna za ofertę może edytować opisy usług, lecz niekoniecznie zmieniać menu lub ustawienia formularza kontaktowego. W prostym katalogu współpracownik może uzupełniać wpisy, podczas gdy właściciel zatwierdza ich widoczność. To przykłady podziału pracy, nie gotowe ustawienia: najpierw ustal, kto ma podejmować decyzję o publikacji, a potem dopasuj do tego uprawnienia.
Szczególnej ostrożności wymagają możliwości instalowania dodatków, zmiany motywu, edytowania kodu, usuwania treści oraz tworzenia kont. Zwykle warto pozostawić je niewielkiej liczbie osób, które rzeczywiście zajmują się administracją. Jeśli CMS pozwala ograniczać dostęp do wybranych typów treści lub obszarów strony, wykorzystaj to wtedy, gdy upraszcza pracę. Nie twórz jednak skomplikowanego zestawu ról bez potrzeby: trudny do zrozumienia podział bywa później równie kłopotliwy jak zbyt szeroki dostęp.
Zakładaj osobne konta i sprawdzaj ich ustawienia
Każda osoba powinna korzystać z własnego konta. Wspólne hasło do konta administratora utrudnia odebranie dostępu jednej osobie i rozpoznanie, kto wykonał zmianę. Przy zakładaniu konta wybierz właściwą rolę, upewnij się, że adres e-mail należy do odbiorcy, i przekaż mu sposób logowania bez przesyłania haseł w otwartej wiadomości. Jeśli CMS oferuje uwierzytelnianie wieloskładnikowe, warto je włączyć, zwłaszcza na kontach z szerokimi uprawnieniami.
Po nadaniu roli sprawdź ją w praktyce. Możesz poprosić współpracownika o potwierdzenie, czy widzi potrzebne funkcje, albo użyć dostępnego w systemie sposobu testowania uprawnień. Sprawdź zarówno to, co może zrobić, jak i to, czego robić nie powinien. Jeśli do wykonania zadania brakuje jednej funkcji, nie podnoś od razu roli do administratora; poszukaj węższego rozwiązania, o ile Twój CMS je umożliwia.
Ustal zasady zmian i sytuacji wyjątkowych
Same role nie zastąpią prostych ustaleń redakcyjnych. Określ, kto zatwierdza teksty, kto poprawia błędy po publikacji i do kogo zgłaszać problem z działaniem strony. Przydatna jest też zasada, że większe zmiany w wyglądzie lub funkcjach są najpierw sprawdzane w bezpiecznym środowisku testowym, jeśli takie środowisko masz. Dzięki temu dostęp techniczny nie oznacza automatycznie zgody na wprowadzanie każdej zmiany bez konsultacji.
Zdarza się, że wykonawca potrzebuje na krótko szerszych uprawnień, na przykład podczas konfiguracji nowej funkcji. Ustal z góry zakres zadania i moment ponownego ograniczenia dostępu. Przed zmianami technicznymi zadbaj o aktualną kopię zapasową i możliwość jej odtworzenia. Kopia nie zastępuje rozsądnego podziału ról, ale może pomóc, gdy zmiana spowoduje niezamierzony problem.
Regularnie przeglądaj dostęp i kończ go na czas
Lista użytkowników CMS wymaga przeglądu tak samo jak treści strony. Co pewien czas sprawdź, czy każde konto należy do osoby nadal współpracującej przy witrynie oraz czy jej rola odpowiada obecnym obowiązkom. Zwróć uwagę na konta utworzone do jednorazowych zadań, nieużywane konta administratorów i role podniesione tymczasowo. Taki przegląd warto przeprowadzić również po zmianie zakresu współpracy.
Gdy współpraca się kończy, odbierz dostęp bez zbędnej zwłoki. Przed usunięciem konta sprawdź, czy CMS nie powiązał z nim wpisów lub innych materiałów, które trzeba przypisać innej osobie. Pamiętaj też o dostępie poza CMS, na przykład do hostingu, domeny, poczty związanej ze stroną czy narzędzi do przygotowywania treści. Prosta lista tych miejsc ułatwia zarówno rozpoczęcie współpracy, jak i jej bezpieczne zakończenie.
