Alternative à Adminimize : épurer l'administration, mais correctement

Adminimize a rendu de bons services à de nombreuses agences pendant des années : masquer des entrées de menu et des metaboxes par rôle, et c'est tout. Qui cherche aujourd'hui une alternative devrait toutefois garder en tête une question qu'on se posait plus rarement à l'époque — masquer suffit-il ?

Masquer n'est pas verrouiller

Une entrée de menu masquée disparaît du menu. La page qui se trouve derrière reste accessible si l'on connaît son adresse — et les données le restent à plus forte raison, par exemple via l'API REST.

Pour avoir une interface épurée, masquer suffit amplement : un client ne doit pas voir douze entrées alors qu'il n'en utilise que deux. Pour protéger, cela ne suffit pas. Cette distinction est au cœur de tout choix dans ce domaine.

Le test prend une minute : protéger un article, se déconnecter, appeler /wp-json/wp/v2/posts?search= avec un mot qu'il contient. Si le contenu figure dans la réponse, c'était du masquage, pas du verrouillage.

Ce qu'une alternative doit savoir faire

La deuxième question : est-il maintenu ?

Les outils qui interviennent en profondeur dans l'administration vieillissent mal. Ils dépendent de structures de menu et de noms internes que WordPress modifie au fil des ans. Un plugin qui n'a pas reçu de mise à jour depuis longtemps finit par masquer des entrées qui n'existent plus — et par ignorer les nouvelles.

Pour chaque alternative, vérifiez donc la date de la dernière mise à jour et la version de WordPress indiquée. Pour ce type d'outils, cela compte plus que pour la plupart des autres.

Ce qu'il faut faire lors du changement

1. Notez ce qui est actuellement masqué pour chaque rôle — une capture d'écran par rôle suffit.
2. Créez une sauvegarde ; les rôles et les droits sont stockés dans la base de données.
3. Recréez la visibilité dans le nouvel outil.
4. Connectez-vous avec un utilisateur de test par rôle et comparez.
5. Faites le test REST pour tout ce qui doit vraiment être protégé.
6. Désactivez l'ancien plugin au lieu de le supprimer — pendant deux semaines.

Trois profils qui ont fait leurs preuves

Plutôt que de tout repenser pour chaque site, on va étonnamment loin avec trois rôles. Ils couvrent ce que les clients font en pratique et se configurent en quelques minutes.

Ce qui ne figure dans aucun des trois : plugins, thèmes, utilisateurs, outils, réglages. Ce n'est pas de la méfiance, mais une répartition du travail — ces entrées relèvent de la maintenance, et la maintenance a son propre accès.

L'erreur la plus fréquente

Un client signale qu'il ne peut plus modifier quelque chose. La solution rapide serait de lui donner des droits d'administrateur « le temps de régler ça ». Deux semaines plus tard, plus personne ne s'en souvient, et six mois après, le site compte trois administrateurs dont deux que plus personne ne sait identifier.

La voie un peu plus lente est la seule qui tienne : vérifier quel droit manque vraiment, et ajouter précisément celui-là. Un journal des modifications y aide plus qu'il n'y paraît — il répond plus tard à la question de savoir qui a autorisé quoi et quand, sans que personne ait à s'en souvenir.

Une fois par an, ouvrez la liste des utilisateurs et filtrez sur les administrateurs. Si quelqu'un y figure dont vous ne pouvez pas expliquer le rôle en une phrase, c'est le moment de faire le ménage.

Questions fréquentes