Alternatywa dla Adminimize: porządki w panelu, ale jak należy

Adminimize przez lata dobrze służył wielu agencjom: ukryć pozycje menu i metaboksy dla każdej roli, gotowe. Kto dziś szuka alternatywy, powinien jednak zabrać ze sobą pytanie, które wtedy zadawano rzadziej — czy ukrywanie wystarczy.

Ukrycie to nie blokada

Ukryta pozycja menu znika z menu. Strona, która się za nią kryje, pozostaje dostępna, jeśli zna się jej adres — a dane tym bardziej, na przykład przez REST API.

Dla porządku ukrywanie w zupełności wystarcza: klient nie powinien widzieć dwunastu pozycji, z których potrzebuje dwóch. Do ochrony to nie wystarcza. To rozróżnienie jest sednem każdego wyboru w tej dziedzinie.

Test trwa minutę: zabezpiecz wpis, wyloguj się, otwórz /wp-json/wp/v2/posts?search= ze słowem z tego wpisu. Jeśli treść jest w odpowiedzi, było to ukrycie, a nie blokada.

Co powinna potrafić alternatywa

Drugie pytanie: czy jest aktualizowana?

Narzędzia, które głęboko ingerują w panel administracyjny, źle się starzeją. Zależą od struktur menu i wewnętrznych nazw, które WordPress z biegiem lat zmienia. Wtyczka, która od dawna nie dostała aktualizacji, w końcu ukrywa pozycje, których już nie ma — i przeocza nowe.

Dlatego przy każdej alternatywie sprawdź datę ostatniej aktualizacji i podaną wersję WordPressa. Przy narzędziach tego rodzaju liczy się to bardziej niż przy większości innych.

Co zrobić przy zmianie

1. Zapisz, co jest obecnie ukryte dla której roli — wystarczy jeden zrzut ekranu na rolę.
2. Utwórz kopię zapasową; role i uprawnienia są zapisane w bazie danych.
3. Odtwórz widoczność w nowym narzędziu.
4. Zaloguj się jako użytkownik testowy każdej roli i porównaj.
5. Wykonaj test REST dla wszystkiego, co naprawdę ma być chronione.
6. Wyłącz starą wtyczkę zamiast ją usuwać — na dwa tygodnie.

Trzy sprawdzone konfiguracje

Zamiast zastanawiać się od nowa przy każdej stronie, z trzema rolami można zajść zaskakująco daleko. Obejmują to, co klienci robią w praktyce, i można je skonfigurować w kilka minut.

W żadnej z trzech nie występują: wtyczki, motywy, użytkownicy, narzędzia, ustawienia. To nie brak zaufania, lecz podział pracy — te pozycje należą do utrzymania strony, a utrzymanie ma własny dostęp.

Błąd, który zdarza się najczęściej

Klient zgłasza, że nie może już czegoś edytować. Szybką drogą byłoby nadanie mu uprawnień administratora „dopóki się to nie wyjaśni”. Po dwóch tygodniach nikt już o tym nie pamięta, a pół roku później strona ma trzech administratorów, z których dwóch nikt już nie umie z nikim powiązać.

Nieco wolniejsza droga jest jedyną, która się sprawdza: sprawdzić, jakiego uprawnienia naprawdę brakuje, i dodać dokładnie to jedno. Dziennik zmian pomaga w tym bardziej, niż się początkowo wydaje — później odpowiada na pytanie, kto, kiedy i co odblokował, bez konieczności przypominania sobie czegokolwiek.

Raz w roku zajrzyj na listę użytkowników i przefiltruj ją według administratorów. Jeśli jest tam ktoś, czyjego zadania nie potrafisz wyjaśnić jednym zdaniem, to jest moment na porządki.

Najczęściej zadawane pytania