مدیریت دسترسی کاربران سایت چگونه انجام می‌شود؟
هرچه یک سایت بزرگ‌تر و حرفه‌ای‌تر شود، معمولاً افراد بیشتری در مدیریت آن نقش پیدا می‌کنند. مدیر کسب‌وکار، مدیر سایت، تولیدکننده محتوا، طراح، برنامه‌نویس، متخصص سئو یا پشتیبان فنی ممکن است هرکدام برای انجام وظایف خود به بخشی از سایت دسترسی داشته باشند.
اما دسترسی همه این افراد نباید یکسان باشد.
اگر تمام کاربران با یک حساب مشترک یا با دسترسی کامل وارد سایت شوند، کنترل فعالیت‌ها دشوارتر می‌شود و در صورت اشتباه، سوءاستفاده یا پایان همکاری، مدیریت دسترسی‌ها نیز پیچیده خواهد شد.
به همین دلیل، مدیریت دسترسی کاربران سایت یکی از بخش‌های مهم مدیریت حرفه‌ای سایت است.
منظور از مدیریت دسترسی کاربران چیست؟
مدیریت دسترسی یعنی مشخص شود هر فرد یا حساب کاربری به چه بخش‌هایی از سایت دسترسی دارد و چه کارهایی می‌تواند انجام دهد.
برای مثال، ممکن است یک نفر فقط بتواند مقاله منتشر کند، فرد دیگری محصولات را مدیریت کند و مدیر سایت به تنظیمات بیشتری دسترسی داشته باشد.
بنابراین موضوع فقط ایجاد نام کاربری و رمز عبور نیست؛ بلکه باید سطح دسترسی هر کاربر متناسب با وظیفه او تعیین شود.
چرا همه کاربران نباید دسترسی کامل داشته باشند؟
فرض کنید یک سایت چندین کاربر مدیریتی دارد و همه آن‌ها دسترسی کامل دارند.
در این شرایط اگر یکی از کاربران به‌اشتباه تنظیماتی را تغییر دهد، افزونه‌ای را حذف کند یا بخشی از سایت را دستکاری کند، پیدا کردن علت مشکل و مسئول آن دشوارتر خواهد شد.
از طرف دیگر، اگر اطلاعات ورود یکی از حساب‌ها افشا شود، فرد غیرمجاز ممکن است به بخش‌های بسیار بیشتری از سایت دسترسی پیدا کند.
بنابراین یکی از اصول مهم امنیتی این است که کاربران فقط به اندازه نیاز کاری خود دسترسی داشته باشند.
اصل حداقل دسترسی چیست؟
یکی از اصول مهم در مدیریت دسترسی، اعطای حداقل سطح دسترسی موردنیاز برای انجام یک وظیفه است.
برای مثال، اگر فردی فقط مسئول انتشار مقاله است، لزوماً نیازی ندارد بتواند تنظیمات فنی سایت را تغییر دهد.
یا اگر فردی فقط محصولات فروشگاه را مدیریت می‌کند، ضرورتی ندارد به تمام تنظیمات مدیریتی سایت دسترسی داشته باشد.
این رویکرد باعث می‌شود در صورت بروز اشتباه یا دسترسی غیرمجاز، دامنه آسیب احتمالی محدودتر باشد.
نقش‌های مختلف کاربران چه تفاوتی دارند؟
نوع نقش‌ها به سیستم مدیریت سایت و ساختار پروژه بستگی دارد، اما در یک سایت حرفه‌ای ممکن است افراد مختلف مسئولیت‌های متفاوتی داشته باشند.
برای مثال:
* مدیر سایت: دسترسی گسترده برای مدیریت بخش‌های اصلی
* مدیر محتوا: مدیریت و انتشار محتوای سایت
* نویسنده: تولید یا ویرایش محتوای مربوط به مسئولیت خود
* مدیر فروشگاه: مدیریت محصولات و سفارش‌ها در سایت فروشگاهی
* پشتیبان فنی: دسترسی موردنیاز برای نگهداری و رفع مشکلات فنی
* متخصص سئو: دسترسی به ابزارها و بخش‌های موردنیاز برای فعالیت سئو
این نقش‌ها باید بر اساس نیاز واقعی پروژه تعریف شوند و نباید صرفاً به دلیل راحتی، همه افراد مدیر کامل سایت باشند.
آیا هر سایت به چند کاربر نیاز دارد؟
خیر.
یک سایت شخصی یا یک کسب‌وکار کوچک ممکن است فقط یک یا دو نفر داشته باشد که مدیریت سایت را انجام می‌دهند.
در چنین شرایطی نیازی نیست صرفاً برای پیچیده‌تر شدن ساختار، کاربران متعددی ایجاد شود.
اما اگر چند نفر به‌صورت هم‌زمان روی سایت فعالیت می‌کنند، ایجاد حساب‌های جداگانه و تعیین سطح دسترسی مناسب می‌تواند مدیریت سایت را منظم‌تر و امن‌تر کند.
بنابراین تعداد کاربران باید متناسب با ساختار واقعی کسب‌وکار باشد.
چرا استفاده از یک حساب مشترک مناسب نیست؟
گاهی برای ساده‌تر شدن کار، یک مجموعه یک حساب مدیریتی ایجاد می‌کند و رمز آن را میان چند نفر به اشتراک می‌گذارد.
این روش ممکن است در کوتاه‌مدت ساده به نظر برسد، اما مشکلاتی ایجاد می‌کند.
برای مثال:
* مشخص نیست چه کسی وارد حساب شده است؛
* مشخص نیست چه کسی یک تغییر را انجام داده است؛
* با تغییر یکی از اعضای تیم، رمز باید برای همه تغییر کند؛
* امکان کنترل دقیق دسترسی افراد کاهش پیدا می‌کند؛
* در صورت افشای رمز، شناسایی منبع مشکل دشوارتر می‌شود.
بهتر است در سیستم‌هایی که امکان ایجاد کاربر جداگانه وجود دارد، هر فرد حساب مخصوص خود را داشته باشد.
دسترسی طراح سایت چگونه باید باشد؟
طراح یا شرکت طراحی سایت ممکن است در زمان اجرای پروژه به دسترسی‌های مختلفی نیاز داشته باشد.
اما این دسترسی‌ها بهتر است متناسب با مرحله پروژه و وظیفه موردنظر تعریف شوند.
برای مثال، ممکن است طراح برای انجام یک تغییر مشخص به پنل سایت نیاز داشته باشد؛ اما این به معنی ضرورت دسترسی دائمی او به تمام بخش‌های سایت نیست.
پس از پایان پروژه یا تغییر نوع همکاری نیز می‌توان دسترسی‌های غیرضروری را بررسی و در صورت نیاز حذف یا محدود کرد.
این موضوع ادامه همان اصل مهمی است که در مقاله (اطلاعات اصلی سایت نباید فقط در اختیار طراح یا شرکت طراحی باشد) بررسی کردیم.
[لینک داخلی: عبارت «اطلاعات اصلی سایت نباید فقط در اختیار طراح یا شرکت طراحی باشد» به مقاله «اطلاعات اصلی سایت نباید فقط در اختیار طراح یا شرکت طراحی باشد».]
دسترسی پشتیبان فنی با مالکیت سایت تفاوت دارد
ممکن است یک متخصص فنی برای نگهداری سایت دسترسی گسترده‌ای داشته باشد.
این دسترسی به‌تنهایی به معنی مالکیت سایت نیست.
مالکیت، مدیریت و دسترسی سه مفهوم متفاوت هستند.
صاحب کسب‌وکار می‌تواند مالک سایت باشد، مدیریت روزمره را به یک مدیر سایت بسپارد و برای امور فنی نیز از یک متخصص کمک بگیرد.
اگر این نقش‌ها به‌درستی تعریف شوند، وابستگی به یک فرد کاهش پیدا می‌کند و مدیریت سایت نیز شفاف‌تر خواهد بود.
برای آشنایی بیشتر با مفهوم مالکیت، مقاله (مالک سایت چه کسی باید باشد؟) را نیز ببینید.
[لینک داخلی: عبارت «مالک سایت چه کسی باید باشد؟» به مقاله «مالک سایت چه کسی باید باشد؟» لینک شود.]
هنگام اضافه کردن یک کاربر چه چیزهایی باید بررسی شود؟
قبل از ایجاد دسترسی بهتر است چند سؤال ساده مطرح شود:
این فرد برای چه کاری به سایت دسترسی دارد؟
به کدام بخش‌ها نیاز دارد؟
آیا می‌تواند فقط همان بخش‌ها را مدیریت کند؟
آیا دسترسی او موقت است یا دائمی؟
پس از پایان همکاری چگونه دسترسی او حذف خواهد شد؟
پاسخ به این سؤال‌ها می‌تواند از ایجاد دسترسی‌های غیرضروری جلوگیری کند.
دسترسی موقت چه زمانی مفید است؟
گاهی یک متخصص فقط برای انجام یک کار مشخص به سایت دسترسی نیاز دارد.
برای مثال ممکن است یک برنامه‌نویس برای رفع یک مشکل فنی یا یک متخصص برای بررسی تنظیمات خاص سایت وارد سیستم شود.
اگر سیستم امکان تعیین دسترسی موقت یا محدود را فراهم کند، استفاده از آن می‌تواند منطقی‌تر از ایجاد یک دسترسی دائمی و بدون محدودیت باشد.
پس از پایان کار نیز باید مشخص شود که آیا این دسترسی هنوز لازم است یا خیر.
پس از پایان همکاری چه باید کرد؟
یکی از مهم‌ترین بخش‌های مدیریت دسترسی، بررسی حساب‌های کاربران پس از تغییر تیم یا پایان همکاری است.
اگر یک کارمند، پیمانکار، طراح یا پشتیبان دیگر با سایت همکاری نمی‌کند، بهتر است دسترسی او بررسی شود.
بسته به شرایط ممکن است لازم باشد:
* حساب کاربری غیرفعال شود؛
* دسترسی کاهش پیدا کند؛
* رمزهای مرتبط تغییر کنند؛
* دسترسی به سرویس‌های جانبی حذف شود؛
* یا مالکیت و اطلاعات بازیابی حساب‌ها بررسی شود.
این کار باید متناسب با نوع دسترسی و سرویس موردنظر انجام شود.
ورود دو مرحله‌ای چه ارتباطی با مدیریت دسترسی دارد؟
مدیریت دسترسی و ورود دو مرحله‌ای دو موضوع متفاوت اما مکمل یکدیگر هستند.
ورود دو مرحله‌ای کمک می‌کند ورود به حساب امن‌تر شود.
مدیریت دسترسی مشخص می‌کند کاربر پس از ورود چه کارهایی می‌تواند انجام دهد.
بنابراین اگر یک کاربر دسترسی بیش از نیاز خود داشته باشد، فعال بودن ورود دو مرحله‌ای به‌تنهایی این مشکل را برطرف نمی‌کند.
در مقاله (ورود دو مرحله‌ای چیست و چرا باید فعال باشد؟) درباره لایه امنیتی مربوط به ورود به حساب توضیح داده‌ایم.
[لینک داخلی: عبارت «ورود دو مرحله‌ای چیست و چرا باید فعال باشد؟» به مقاله «ورود دو مرحله‌ای چیست و چرا باید فعال باشد؟» لینک شود.]
دسترسی کاربران در سایت‌های فروشگاهی
در سایت‌های فروشگاهی، مدیریت دسترسی اهمیت بیشتری پیدا می‌کند؛ زیرا ممکن است چند نفر در بخش‌های مختلف فعالیت کنند.
برای مثال یک نفر مسئول مدیریت محصولات است، فرد دیگری سفارش‌ها را بررسی می‌کند و شخص دیگری امور محتوایی را انجام می‌دهد.
در چنین سایتی بهتر است هر فرد متناسب با وظیفه خود دسترسی داشته باشد.
مدیری که مسئول مدیریت سفارش‌هاست لزوماً نباید بتواند تنظیمات فنی سایت را تغییر دهد.
همچنین دسترسی به اطلاعات مشتریان باید با دقت بیشتری مدیریت شود و فقط در اختیار افرادی قرار گیرد که برای انجام وظیفه خود به آن نیاز دارند.
اطلاعات مشتریان را نباید بدون دلیل در اختیار کاربران قرار داد
برخی سایت‌ها اطلاعاتی درباره مشتریان و کاربران خود نگهداری می‌کنند.
این اطلاعات می‌تواند شامل اطلاعات سفارش، اطلاعات تماس یا داده‌های دیگری باشد که بسته به نوع کسب‌وکار حساسیت متفاوتی دارند.
بنابراین هنگام تعریف نقش کاربران، باید مشخص شود چه افرادی واقعاً به این اطلاعات نیاز دارند.
هرچه اطلاعات حساس‌تر باشند، اهمیت کنترل دسترسی نیز بیشتر می‌شود.
موضوع حفاظت از اطلاعات کاربران را در مقاله (چگونه از اطلاعات کاربران سایت محافظت کنیم؟) به‌صورت جداگانه بررسی خواهیم کرد.
[لینک داخلی: عبارت «چگونه از اطلاعات کاربران سایت محافظت کنیم؟» به مقاله «چگونه از اطلاعات کاربران سایت محافظت کنیم؟» لینک شود؛ این مقاله هنوز تولید نشده است.]
دسترسی به هاست و اطلاعات فنی
همه کاربران سایت نباید به هاست، پایگاه داده یا فایل‌های اصلی دسترسی داشته باشند.
این بخش‌ها می‌توانند تغییرات بسیار مهمی در عملکرد سایت ایجاد کنند.
به همین دلیل بهتر است دسترسی فنی فقط در اختیار افرادی قرار گیرد که برای انجام مسئولیت خود به آن نیاز دارند.
برای مثال، یک تولیدکننده محتوا معمولاً نیازی به دسترسی مستقیم به فایل‌های هاست ندارد.
همچنین اگر متخصص فنی برای انجام کاری به دسترسی خاصی نیاز دارد، بهتر است همان سطح موردنیاز در اختیار او قرار گیرد.
فهرست دسترسی‌ها را نگهداری کنید
یکی از روش‌های ساده برای مدیریت بهتر، داشتن یک فهرست از حساب‌ها و دسترسی‌های مهم است.
این فهرست می‌تواند مشخص کند:
| وضعیت | نوع دسترسی | بخش مورد دسترسی | کاربر یا نقش |
| فعال | گسترده | مدیریت سایت | مدیر سایت |
| فعال | محدود | محتوا | مدیر محتوا |
| فعال | تخصصی | بخش فنی | پشتیبانی فنی |
| غیر فعال | حذف شده | ___ | کاربر قدیمی |
این فهرست لازم نیست حتماً عمومی باشد و اطلاعات حساس ورود نباید در محلی ناامن نگهداری شود.
هدف این است که مدیر کسب‌وکار بداند چه کسانی به چه بخش‌هایی دسترسی دارند.
دسترسی‌ها را به‌صورت دوره‌ای بررسی کنید
مدیریت دسترسی یک کار یک‌باره نیست.
ممکن است ساختار تیم تغییر کند، فرد جدیدی به مجموعه اضافه شود یا همکاری فردی پایان پیدا کند.
به همین دلیل بهتر است دسترسی کاربران در دوره‌های مشخص بررسی شود.
در این بررسی می‌توان پرسید:
* آیا این کاربر هنوز به دسترسی خود نیاز دارد؟
* آیا سطح دسترسی او بیشتر از نیاز فعلی است؟
* آیا کاربران قدیمی هنوز فعال هستند؟
* آیا حساب‌های بلااستفاده وجود دارند؟
* آیا افراد خارج‌شده از مجموعه هنوز دسترسی دارند؟
همین بررسی ساده می‌تواند بسیاری از دسترسی‌های فراموش‌شده را شناسایی کند.
هنگام تحویل سایت، دسترسی‌ها را بررسی کنید
تحویل سایت باید شامل بررسی دسترسی‌های مدیریتی نیز باشد.
صاحب کسب‌وکار بهتر است بداند:
* چه حساب‌هایی ایجاد شده‌اند؛
* چه کسانی به سایت دسترسی دارند؛
* هر حساب چه سطح دسترسی دارد؛
* چه حساب‌هایی برای طراح یا پشتیبان ایجاد شده‌اند؛
* و در صورت پایان همکاری چگونه می‌توان دسترسی‌ها را تغییر داد.
این موضوع باعث می‌شود سایت پس از تحویل نیز تحت کنترل مشخصی باقی بماند.
مدیریت دسترسی بخشی از امنیت سایت است
امنیت سایت فقط به نصب افزونه امنیتی یا استفاده از رمز عبور قوی محدود نمی‌شود.
اگر کاربران زیادی دسترسی غیرضروری داشته باشند، حتی یک ساختار فنی مناسب نیز ممکن است با مشکل مواجه شود.
به همین دلیل مدیریت دسترسی باید در کنار اقداماتی مانند به‌روزرسانی، پشتیبان‌گیری، محافظت از حساب‌ها و سایر اقدامات امنیتی مورد توجه قرار گیرد.
در مقاله (چرا امنیت سایت اهمیت دارد؟) به اهمیت کلی امنیت سایت خواهیم پرداخت.
[لینک داخلی: عبارت «چرا امنیت سایت اهمیت دارد؟» به مقاله «چرا امنیت سایت اهمیت دارد؟» لینک شود؛ این مقاله هنوز تولید نشده است.]
یک روش ساده برای شروع
اگر سایت شما در حال حاضر کاربران متعددی دارد، لازم نیست برای مدیریت دسترسی‌ها یک ساختار پیچیده ایجاد کنید.
می‌توانید از چهار مرحله ساده شروع کنید:
۱. همه کاربران و حساب‌های فعال را شناسایی کنید.
۲. وظیفه هر کاربر را مشخص کنید.
۳. سطح دسترسی هر کاربر را با وظیفه او مقایسه کنید.
۴. دسترسی‌های غیرضروری یا حساب‌های بلااستفاده را حذف یا محدود کنید.
بعد از آن، بهتر است همین فرآیند به‌صورت دوره‌ای تکرار شود.
جمع‌بندی
مدیریت دسترسی کاربران سایت یعنی مشخص باشد چه کسی، برای چه کاری و تا چه اندازه می‌تواند به سایت و اطلاعات آن دسترسی داشته باشد.
لازم نیست همه کاربران دسترسی کامل داشته باشند و در بسیاری از پروژه‌ها، استفاده از حساب مشترک نیز انتخاب مناسبی نیست.
یک ساختار حرفه‌ای میان مالکیت، مدیریت و دسترسی تفاوت قائل می‌شود. صاحب کسب‌وکار می‌تواند مدیریت امور فنی را به متخصص بسپارد، اما همچنان باید بتواند کاربران و سطح دسترسی آن‌ها را کنترل کند.
بهترین رویکرد این است که هر فرد فقط به بخش‌هایی دسترسی داشته باشد که برای انجام وظیفه خود به آن نیاز دارد، حساب‌های کاربران به‌صورت جداگانه مدیریت شوند و پس از تغییر شرایط، دسترسی‌ها دوباره بررسی شوند.
در نهایت، امنیت و کنترل سایت فقط به فناوری وابسته نیست؛ نحوه مدیریت افرادی که به سایت دسترسی دارند نیز بخشی از امنیت و مدیریت حرفه‌ای آن است.
