Members vs. Kakapo Roles: Rechte verwalten, die auch halten

Ein Rechte-Plugin wird an einer einzigen Frage gemessen: Hält das Recht auch dann, wenn niemand durch das Backend klickt? Vieles, was „verstecken“ heißt, verändert nur die Ansicht — die Daten liegen weiter offen, einen Aufruf der REST-API entfernt. Dieser Vergleich sortiert Members und Kakapo Roles danach.

Die kurze Antwort

Members ist ein etabliertes, kostenloses Rechte-Plugin: Rollen anlegen und bearbeiten, Rechte zuweisen, Inhalte je Rolle schützen. Es ist schlank, verbreitet und für die meisten einfachen Fälle ausreichend.

Kakapo Roles setzt eine Ebene tiefer an. Es verwaltet nicht nur Rollen und Rechte, sondern auch, was ein Benutzer im Backend überhaupt sieht — Admin-Menü, Mediathek, Widgets, Shortcodes —, und es setzt die Sichtbarkeitsregeln ausdrücklich auch in der REST-API durch. Dazu kommen ein Änderungsprotokoll, ein Papierkorb für gelöschte Rollen und Import/Export.

Kurz: Wer Rollen anlegen und Inhalte schützen will, kommt mit Members weit und zahlt nichts. Wer einem Kunden ein aufgeräumtes Backend geben, Rechte nachvollziehbar dokumentieren oder verhindern will, dass eine Regel nur die Oberfläche betrifft, ist bei Kakapo Roles richtiger.

Was beide können

• Eigene Rollen anlegen, umbenennen und löschen
• Rechte je Rolle setzen, auch die von eigenen Inhaltstypen
• Einzelnen Benutzern Rechte zusätzlich geben oder entziehen
• Inhalte auf bestimmte Rollen beschränken
• Several roles per user

Bis hierher ist die Auswahl Geschmackssache. Darunter wird es interessant.

Wo sich die beiden unterscheiden

Der Unterschied, der zählt: verstecken ist nicht sperren

Wenn ein Beitrag „nur für bestimmte Rollen“ sichtbar sein soll, gibt es zwei Wege, das umzusetzen. Der eine blendet ihn in Listen und im Frontend aus. Der andere weist den Zugriff ab — überall, auch dort, wo niemand klickt.

Der Unterschied ist keine Feinheit. Die REST-API von WordPress ist ab Werk erreichbar; ein Aufruf von /wp-json/wp/v2/posts liefert Beiträge als JSON, ohne Anmeldung. Eine Regel, die nur die Ansicht ändert, ist dort wirkungslos — der Inhalt, der „nur für Mitglieder“ gedacht war, steht als Klartext in der Antwort.

Kakapo Roles setzt die Sichtbarkeitsregel deshalb auch in der REST-API durch. Diese eine Zeile ist der Grund, warum sich ein Rechte-Plugin überhaupt prüfen lässt: Ruf deine geschützte Adresse einmal als JSON auf, abgemeldet. Steht der Inhalt da, schützt die Regel nichts.

Diesen Test kannst du bei jedem Plugin machen, auch bei dem, das du gerade einsetzt: Beitrag schützen, abmelden, /wp-json/wp/v2/posts?search=… aufrufen. Er dauert eine Minute und beantwortet mehr als jede Funktionsliste.

Die zweite Falle: wer darf Rechte vergeben?

Ein Rechte-Plugin, das jedem mit Zugang zur Oberfläche erlaubt, sich selbst mehr Rechte zu geben, hebt sich selbst auf. WordPress hat dafür einen Haken: get_editable_roles() bestimmt, welche Rollen jemand überhaupt bearbeiten darf. Ein Plugin, das ihn übergeht, öffnet genau den Weg, den es schließen soll.

Im Netzwerkbetrieb kommt eine zweite Frage dazu: Rollen liegen dort teils netzwerkweit. Wer sie von einer Unterseite aus überschreibt, ändert sie für alle Seiten. Kakapo Roles beachtet beides — den Haken und die Grenze zwischen Seite und Netzwerk.

Wann Members die bessere Wahl ist

• Du brauchst Rollen und Rechte, sonst nichts
• Das Budget ist null
• Du arbeitest mit einer einzelnen Seite und wenigen Benutzern
• Du willst ein Plugin, das genau eine Sache tut

Wann Kakapo Roles die bessere Wahl ist

• Du gibst ein Backend an einen Kunden und willst es aufräumen — Menü, Mediathek, Widgets
• Geschützte Inhalte sollen auch über die REST-API geschützt sein
• Du musst belegen können, wer wann welches Recht bekommen hat
• Du willst eine Rechtestruktur einmal bauen und auf weitere Seiten übertragen
• Du nutzt ohnehin weitere Kakapo-Plugins und willst eine Rechnung statt fünf

Umstieg: was zu tun ist

1. Schreib auf, welche eigenen Rollen es gibt und welche Rechte daran hängen — ein Bildschirmfoto der Matrix reicht.
2. Lege eine Sicherung an. Rechte stecken in der Datenbank, und ein Fehlgriff trifft alle Benutzer gleichzeitig.
3. Installiere Kakapo Roles und trage den Lizenzschlüssel ein.
4. Bau die Rollen nach und vergleiche die Matrix Zeile für Zeile mit deiner Notiz.
5. Melde dich mit einem Testbenutzer je Rolle an und sieh nach, was er wirklich sieht.
6. Mach den REST-Test für einen geschützten Inhalt.
7. Erst danach das alte Plugin abschalten — nicht löschen, für zwei Wochen.

Zwei Rechte-Plugins gleichzeitig sind ein schlechter Zustand: Beide schreiben in dieselben Rollen, und wer zuletzt speichert, gewinnt. Halte die Übergangszeit kurz und ändere in dieser Zeit nur in einem der beiden etwas.

Häufige Fragen