Establecer permisos en la matriz
Cada casilla de la matriz es una capability de WordPress. Se establece mediante WP_Role::add_cap() y remove_cap(), es decir, directamente en wp_user_roles. Lo que aquí figura rige de inmediato y en todas partes, también para código que no sabe nada de este plugin: cualquier plugin que consulte current_user_can() obtiene la misma respuesta.
Cambiar los permisos de un rol
- En la barra lateral izquierda, bajo «Roles y permisos», elige «Matriz de permisos».
- Elige arriba el rol. Las casillas de abajo pertenecen exactamente a ese rol.
- Marca y desmarca las casillas. Los permisos de plugins y temas están en un grupo aparte, «De plugins y temas».
- Guarda con el botón del final: antes de eso no se escribe nada.
«Delicado» significa: abre más de lo que dice el nombre
Algunos permisos están señalados como delicados. edit_plugins, edit_themes y edit_files, por ejemplo, son acceso al servidor, no a la redacción: quien los tenga puede escribir código en la web a través del editor de archivos. Kakapo Security puede retirar justo esos permisos; aquí ves qué rol los tiene siquiera.
Separar los tipos de contenido propios
De fábrica, los tipos de contenido propios comparten sus permisos con las entradas. Quien pueda editar «Eventos» podrá editar también entradas, sin remedio. En «Tipos de contenido» esto se puede separar: el tipo recibe capabilities propias y la matriz las muestra después en un grupo aparte, «Tipos de contenido propios».
Por qué esto tiene que ocurrir pronto
WordPress fija la asignación de permisos de un tipo de contenido al registrarlo. Hacerlo después sería demasiado tarde; por eso el cambio cuelga del filtro register_post_type_args.
register_post_type_args