Niet iedereen die aan een WordPress-website werkt, hoeft alles te kunnen aanpassen. Iemand die alleen artikelen schrijft, hoeft bijvoorbeeld geen plug-ins te installeren. Een externe medewerker die tijdelijk foto’s toevoegt, heeft evenmin toegang nodig tot de accounts van andere gebruikers. Daarom is het verstandig om iedere gebruiker een passende gebruikersrol te geven. Iedere rol bevat een verzameling rechten die bepaalt welke onderdelen iemand kan bekijken en wijzigen. Door iedere gebruiker de juiste rol te geven, voorkom je vergissingen en beperk je de schade als een wachtwoord wordt gestolen of een oud account in verkeerde handen valt.

Beheerder: toegang tot vrijwel de hele website

De beheerder heeft binnen een gewone WordPress-configuratie de meeste rechten. Een beheerder kan instellingen wijzigen, gebruikers aanmaken en verwijderen, plug-ins installeren, thema’s aanpassen en berichten of pagina’s van anderen beheren. Dit account geeft dus toegang tot bijna alles wat nodig is om de website technisch te onderhouden. Ook een externe specialist kan beheerdersrechten nodig hebben om updates uit te voeren, beveiligingsinstellingen te controleren en technische problemen op te lossen. Dat kan bijvoorbeeld het geval zijn wanneer je kiest voor professioneel WordPress website beheer. Maak voor zo’n externe partij altijd een afzonderlijk account aan in plaats van je eigen inloggegevens te delen. Zo kun je nagaan wie wijzigingen uitvoert en de toegang eenvoudig weer intrekken wanneer de samenwerking eindigt.

Geef de beheerdersrol in ieder geval alleen aan personen of partijen die daadwerkelijk verantwoordelijk zijn voor de volledige website. Een tekstschrijver, stagiair of medewerker die af en toe een afbeelding vervangt, heeft geen beheerdersrechten nodig.

Redacteur: controle over alle inhoud

Een redacteur kan berichten en pagina’s maken, aanpassen, publiceren en verwijderen. Dat geldt ook voor inhoud die door andere gebruikers is geschreven. Daarnaast kan een redacteur reacties modereren en categorieën beheren. Deze rol is bijvoorbeeld geschikt voor een communicatiemedewerker of contentmanager die het publicatieproces begeleidt. Een redacteur kan de inhoud van de website organiseren, maar geen plug-ins installeren of belangrijke technische instellingen wijzigen. Daardoor kan deze persoon zelfstandig met teksten en pagina’s werken zonder toegang te krijgen tot de technische kern van de website.

Auteur: zelfstandig eigen artikelen publiceren

Een auteur kan eigen berichten schrijven, publiceren en beheren. Ook het uploaden van afbeeldingen en andere mediabestanden is toegestaan. Een auteur kan echter geen berichten van collega’s aanpassen en heeft geen toegang tot pagina’s, plug-ins of algemene instellingen. De auteursrol is weggelegd voor vaste bloggers of medewerkers die zelfstandig artikelen mogen plaatsen. Wil je een tekst altijd eerst laten controleren voordat die online verschijnt? Dan kun je beter de rol ‘schrijver’ gebruiken. Een schrijver kan wel een eigen bericht voorbereiden, maar het niet zelf publiceren.

Abonnee: alleen een eigen profiel beheren

Een abonnee heeft nauwelijks rechten in het beheergedeelte. Deze gebruiker kan inloggen, het eigen profiel aanpassen en inhoud bekijken waarvoor een account nodig is. Op een gewone openbare website voegt deze rol weinig toe. Ze wordt vooral gebruikt bij ledenwebsites, waarbij de leden besloten informatie kunnen raadplegen. Ook op websites waarop bezoekers een persoonlijk account kunnen aanmaken, kan deze rol nuttig zijn.

Geef nooit meer rechten dan nodig en controleer accounts regelmatig

Een belangrijk beveiligingsprincipe is dat iedere gebruiker alleen toegang krijgt tot de functies die nodig zijn voor diens werkzaamheden. Heeft iemand tijdelijk extra rechten nodig? Geef die persoon dan tijdelijk een andere rol en herstel daarna de oorspronkelijke rol. Deel ook geen algemeen beheerdersaccount met meerdere personen. Met afzonderlijke accounts kun je beter achterhalen wie een wijziging heeft uitgevoerd. Bovendien kan iedere gebruiker een eigen sterk wachtwoord en tweestapsverificatie instellen. Controleer onder ‘Instellingen’ > ‘Algemeen’ welke rol nieuwe gebruikers automatisch krijgen. Als bezoekers zichzelf kunnen registreren, is abonnee de veiligste standaardkeuze. Als je nieuwe gebruikers automatisch beheerder of auteur maakt, kan dat ernstige veiligheidsproblemen veroorzaken. Verwijder ook tijdig ongebruikte accounts of verlaag de bijbehorende rechten. Controleer vóór het verwijderen of er berichten aan het account zijn gekoppeld. Je kunt deze inhoud in WordPress aan een andere gebruiker toewijzen, zodat er geen artikelen verloren gaan.