Members vs. Kakapo Roles: gestionar permisos que se sostengan
Un plugin de permisos se juzga por una sola pregunta: ¿se sostiene el permiso también cuando nadie navega por el backend? Mucho de lo que se llama «ocultar» solo cambia la vista: los datos siguen al descubierto, a una petición a la API REST de distancia. Esta comparativa ordena Members y Kakapo Roles según ese criterio.
La respuesta corta
Members es un plugin de permisos consolidado y gratuito: crear y editar roles, asignar permisos, proteger contenidos por rol. Es ligero, está muy extendido y basta para la mayoría de los casos sencillos.
Kakapo Roles actúa un nivel más abajo. No solo gestiona roles y permisos, sino también lo que un usuario llega a ver en el backend (menú de administración, biblioteca de medios, widgets, shortcodes), y aplica expresamente las reglas de visibilidad también en la API REST. A ello se suman un registro de cambios, una papelera para roles eliminados e importación/exportación.
En resumen: quien quiere crear roles y proteger contenidos llega lejos con Members y no paga nada. Quien quiere dar a un cliente un backend ordenado, documentar los permisos de forma trazable o evitar que una regla afecte solo a la interfaz, acierta más con Kakapo Roles.
Lo que pueden hacer ambos
- Crear, renombrar y eliminar roles propios
- Asignar permisos por rol, también los de tipos de contenido propios
- Dar o retirar permisos adicionales a usuarios concretos
- Restringir contenidos a determinados roles
- Varios roles por usuario
Hasta aquí, la elección es cuestión de gustos. A partir de aquí se pone interesante.
En qué se diferencian
| Pregunta | Members | Kakapo Roles |
|---|---|---|
| Precio | gratuito | plugin de pago, una licencia para nueve |
| Permisos de contenido también en la API REST | por comprobar | sí, aplicados expresamente |
| Ocultar el menú de administración por rol | mediante extensiones | integrado |
| Limitar la biblioteca de medios a los archivos propios | mediante extensiones | integrado |
| Widgets y menús de navegación por rol | — | integrado |
| Permitir shortcodes por rol | — | integrado |
| Redirección tras el inicio de sesión por rol | — | integrado |
| Papelera para roles eliminados | — | sí, con restauración |
| Registro de cambios | — | sí, quién cambió qué permiso y cuándo |
| Importación y exportación de permisos | — | sí, como archivo |
| Protección frente a la escalada de permisos | por comprobar | se respeta get_editable_roles, también en redes multisitio |
| Varios sitios | sitio por sitio | estado remoto y una licencia para todos |
La diferencia que importa: ocultar no es bloquear
Si una entrada debe ser visible «solo para determinados roles», hay dos formas de implementarlo. Una la oculta en los listados y en el frontend. La otra rechaza el acceso: en todas partes, también donde nadie hace clic.
La diferencia no es un detalle. La API REST de WordPress es accesible de serie; una petición a /wp-json/wp/v2/posts devuelve entradas en JSON, sin iniciar sesión. Una regla que solo cambia la vista no tiene efecto ahí: el contenido pensado «solo para miembros» aparece en texto plano en la respuesta.
Por eso, Kakapo Roles aplica la regla de visibilidad también en la API REST. Esa sola línea es la razón por la que un plugin de permisos se puede comprobar en absoluto: abre tu dirección protegida una vez en JSON, sin sesión iniciada. Si el contenido aparece, la regla no protege nada.
Puedes hacer esta prueba con cualquier plugin, también con el que usas ahora: protege una entrada, cierra sesión y abre /wp-json/wp/v2/posts?search=…. Dura un minuto y responde a más cosas que cualquier lista de funciones.La segunda trampa: ¿quién puede asignar permisos?
Un plugin de permisos que permite a cualquiera con acceso a la interfaz darse más permisos a sí mismo se anula a sí mismo. WordPress tiene un mecanismo de control para eso: get_editable_roles() determina qué roles puede editar alguien. Un plugin que lo ignora abre precisamente la vía que debería cerrar.
En una red multisitio se añade una segunda cuestión: allí los roles son en parte válidos para toda la red. Quien los sobrescribe desde un subsitio los cambia para todos los sitios. Kakapo Roles respeta ambas cosas: ese mecanismo y el límite entre sitio y red.
Cuándo Members es la mejor opción
- Necesitas roles y permisos, y nada más
- El presupuesto es cero
- Trabajas con un solo sitio y pocos usuarios
- Quieres un plugin que haga exactamente una cosa
Cuándo Kakapo Roles es la mejor opción
- Entregas un backend a un cliente y quieres ordenarlo: menú, biblioteca de medios, widgets
- Quieres que los contenidos protegidos lo estén también a través de la API REST
- Tienes que poder demostrar quién recibió qué permiso y cuándo
- Quieres construir una estructura de permisos una vez y trasladarla a otros sitios
- Ya usas otros plugins de Kakapo y quieres una factura en lugar de cinco
El cambio: qué hay que hacer
- Anota qué roles propios existen y qué permisos tienen asociados: basta con una captura de pantalla de la matriz.
- Crea una copia de seguridad. Los permisos están en la base de datos, y un error afecta a todos los usuarios a la vez.
- Instala Kakapo Roles e introduce la clave de licencia.
- Reconstruye los roles y compara la matriz fila por fila con tu nota.
- Inicia sesión con un usuario de prueba por rol y comprueba lo que ve realmente.
- Haz la prueba REST con un contenido protegido.
- Solo después, desactiva el plugin antiguo: no lo elimines, durante dos semanas.
Dos plugins de permisos a la vez son una mala situación: ambos escriben en los mismos roles, y gana quien guarda en último lugar. Mantén breve el periodo de transición y, durante ese tiempo, haz cambios solo en uno de los dos.
Preguntas frecuentes
¿Adopta Kakapo Roles mis roles existentes?
¿Qué pasa con mis roles si elimino el plugin?
¿Puedo recuperar un rol eliminado?
¿Tiene efecto una restricción también en el frontend?
¿Qué pasa sin una licencia válida?
Kakapo Roles: paga una vez, úsalo para siempre.
Los nueve plugins por 149 € una vez en lugar de 13 € al mes. Pago seguro con Stripe. Durante los primeros 14 días: problema resuelto o te devolvemos el dinero.
Conseguir Lifetime Todas las funciones