Members vs. Kakapo Roles: gestire permessi che reggono davvero

Un plugin di gestione dei permessi si giudica da un'unica domanda: il permesso regge anche quando nessuno clicca nel backend? Molto di ciò che si chiama «nascondere» cambia solo la visualizzazione — i dati restano esposti, a una chiamata della REST API di distanza. Questo confronto ordina Members e Kakapo Roles secondo questo criterio.

La risposta breve

Members è un plugin di gestione dei permessi affermato e gratuito: creare e modificare ruoli, assegnare permessi, proteggere i contenuti per ruolo. È leggero, diffuso e sufficiente per la maggior parte dei casi semplici.

Kakapo Roles interviene un livello più in profondità. Non gestisce solo ruoli e permessi, ma anche ciò che un utente vede nel backend — menu di amministrazione, libreria media, widget, shortcode —, e applica esplicitamente le regole di visibilità anche nella REST API. A questo si aggiungono un registro delle modifiche, un cestino per i ruoli eliminati e l'importazione/esportazione.

In breve: chi vuole creare ruoli e proteggere contenuti va lontano con Members e non paga nulla. Chi vuole dare a un cliente un backend ordinato, documentare i permessi in modo tracciabile o evitare che una regola riguardi solo l'interfaccia trova in Kakapo Roles la scelta più adatta.

Cosa sanno fare entrambi

• Creare, rinominare ed eliminare ruoli personalizzati
• Impostare i permessi per ruolo, anche quelli dei tipi di contenuto personalizzati
• Concedere o revocare permessi aggiuntivi a singoli utenti
• Limitare i contenuti a determinati ruoli
• Più ruoli per utente

Fin qui la scelta è questione di gusti. Più in basso diventa interessante.

Dove si differenziano

La differenza che conta: nascondere non è bloccare

Se un articolo deve essere visibile «solo per determinati ruoli», ci sono due modi per realizzarlo. Il primo lo nasconde negli elenchi e nel frontend. Il secondo nega l'accesso — ovunque, anche dove nessuno clicca.

La differenza non è un dettaglio. La REST API di WordPress è raggiungibile di serie; una chiamata a /wp-json/wp/v2/posts restituisce gli articoli in JSON, senza login. Una regola che cambia solo la visualizzazione lì non ha alcun effetto — il contenuto pensato «solo per i membri» compare in chiaro nella risposta.

Per questo Kakapo Roles applica la regola di visibilità anche nella REST API. Questa sola riga è il motivo per cui un plugin di gestione dei permessi si può verificare: apri una volta il tuo indirizzo protetto come JSON, da disconnesso. Se il contenuto compare, la regola non protegge nulla.

Questo test puoi farlo con qualsiasi plugin, anche con quello che usi adesso: proteggi un articolo, esci, apri /wp-json/wp/v2/posts?search=…. Richiede un minuto e dice più di qualsiasi elenco di funzionalità.

La seconda trappola: chi può assegnare i permessi?

Un plugin di gestione dei permessi che consente a chiunque abbia accesso all'interfaccia di darsi più permessi annulla se stesso. WordPress ha un hook per questo: get_editable_roles() stabilisce quali ruoli qualcuno può modificare. Un plugin che lo aggira apre proprio la strada che dovrebbe chiudere.

In una rete multisito si aggiunge una seconda domanda: lì i ruoli sono in parte validi per tutta la rete. Chi li sovrascrive da un sottosito li modifica per tutti i siti. Kakapo Roles tiene conto di entrambe le cose — dell'hook e del confine tra sito e rete.

Quando Members è la scelta migliore

• Ti servono ruoli e permessi, nient'altro
• Il budget è zero
• Lavori con un solo sito e pochi utenti
• Vuoi un plugin che faccia esattamente una cosa

Quando Kakapo Roles è la scelta migliore

• Consegni un backend a un cliente e vuoi riordinarlo — menu, libreria media, widget
• I contenuti protetti devono essere protetti anche tramite la REST API
• Devi poter dimostrare chi ha ricevuto quale permesso e quando
• Vuoi costruire una struttura di permessi una volta e trasferirla ad altri siti
• Usi comunque altri plugin Kakapo e vuoi una fattura invece di cinque

Il passaggio: cosa fare

1. Annota quali ruoli personalizzati esistono e quali permessi sono collegati — basta uno screenshot della matrice.
2. Crea un backup. I permessi si trovano nel database, e un errore colpisce tutti gli utenti contemporaneamente.
3. Installa Kakapo Roles e inserisci la chiave di licenza.
4. Ricrea i ruoli e confronta la matrice riga per riga con i tuoi appunti.
5. Accedi con un utente di prova per ogni ruolo e controlla cosa vede davvero.
6. Esegui il test REST su un contenuto protetto.
7. Solo dopo disattiva il vecchio plugin — non eliminarlo, per due settimane.

Due plugin di gestione dei permessi attivi contemporaneamente sono una cattiva situazione: entrambi scrivono negli stessi ruoli, e vince chi salva per ultimo. Mantieni breve il periodo di transizione e in quel periodo modifica qualcosa solo in uno dei due.

Domande frequenti