Il est sécuritaire d'autoriser l'accès au groupe d'utilisateurs Administrateur par défaut de Joomla?
Je dois autoriser l'accès à une personne non fiable à un site.
Je comprends que le groupe d'utilisateurs "Administrateur" n'est pas autorisé à télécharger ou éditer des fichiers php, à installer des extensions ou tout autre élément permettant à cet utilisateur de prendre le contrôle intégral du site. Donc, il semble que ce dont j'ai besoin.
La question est de savoir quelle importance ont les risques de le faire. Je souhaite également autoriser cet utilisateur à utiliser l'éditeur JCE. Quelqu'un d’entre vous at-il rencontré des problèmes avec cette approche?
Je vois que dans joomla.com, si vous lancez un site Web, vous obtenez un groupe d'utilisateurs Administrateur. J'imagine donc qu'ils ne fournissent pas un hébergement complet et limitent l'accès de leurs utilisateurs pour des raisons de sécurité. C'est quelque chose de similaire à ce dont j'ai besoin. Mais je vois qu’il existe certaines différences entre l’accès des administrateurs Joomla.com et l’utilisateur administrateur par défaut d’une installation Joomla.
J'apprécierais vos commentaires
ACL par défaut
Neil l'a bien compris - il est recommandé de donner aux utilisateurs autant d'autorisations/de privilèges qu'ils en ont réellement besoin. Il est très probable que, pour cette personne, le groupe d'utilisateurs du responsable serait suffisant. Si, par exemple, vous souhaitez uniquement que cette personne traite du contenu.
ACL personnalisée
Toutefois, vos besoins peuvent être différents. N'oubliez donc pas que vous pouvez toujours créer des listes de contrôle d'accès personnalisées dans Joomla, avec vos propres groupes d'utilisateurs et niveaux d'accès à la vue.
Mais je ne recommanderais pas de commencer à jouer avec ceux de votre site en direct, surtout si vous n’avez pas d’expérience antérieure. Vous pouvez expérimenter sur un environnement de test pour voir comment cela fonctionne et comment configurer votre propre liste de contrôle d'accès.
Par exemple, vous pouvez avoir des autorisations d’accès spéciales sur les composants, les modules, les éléments de menu, les catégories et les articles.
En outre, il existe d’autres extensions tierces offrant encore plus d’options et de fonctionnalités, comme la création d’un menu d’administration personnalisé pour vos utilisateurs principaux - vous pouvez vérifier cela chez JED.
JCE et rédacteurs
Joomla permet l'affectation par éditeur de chaque utilisateur. Vous pouvez donc attribuer à vos utilisateurs l'éditeur souhaité. Maintenant, JCE lui-même est livré avec des profils. Vous créez des profils JCE contenant un ensemble prédéfini de fonctionnalités et d'autorisations et vous pouvez affecter ces profils à des utilisateurs, à des groupes d'utilisateurs, parmi d'autres options d'attribution.
Vous pouvez donc créer un profil JCE simplifié, avec uniquement l'interface et les plug-ins JCE que vous souhaitez autoriser, ainsi que des restrictions évidentes telles que l'insertion de php, js, etc., et vous pouvez affecter ce profil à vos utilisateurs.
Mise à jour pour votre commentaire sur votre propre question:
Ici, vous pouvez en savoir plus sur Joomla ACL et les groupes d'utilisateurs par défaut:
Notez que dans le premier lien, vous lirez que les administrateurs sont autorisés à effectuer des installations, mais ce n'est pas le cas pour les versions récentes de Joomla. L'administrateur n'a pas accès au composant du programme d'installation. Par conséquent, la partie de votre question relative à la possibilité pour un administrateur de télécharger et d'installer des scripts côté serveur est couverte.
Cependant, le niveau exact d'autorisations et d'accès que vous souhaitez accorder à cet utilisateur dépend de vous. Comme décrit précédemment dans ma réponse, vous pouvez créer une liste de contrôle d'accès personnalisée pour cet utilisateur, lui permettant uniquement un accès donné. Utilisez également les profils de JCE pour lui donner certaines compétences lors de la rédaction de contenu. Par exemple, ne lui permetz pas d'écrire php, js dans les articles, limitez-le aux éléments html qu'il peut utiliser ou aux formats de fichiers qu'il est en mesure de télécharger. Tout ceci est à vous de décider combien vous faites confiance à cette personne et ce que vous voulez qu'elle fasse sur votre site.
Il est généralement préférable de n’ajouter que des utilisateurs aux groupes dont ils ont besoin, par exemple. Enregistré, Auteur, Editeur, Gestionnaire, Administrateur, etc. pour jouer leur rôle.
Pour une explication des différents groupes et privilèges par défaut, voir:
https://docs.joomla.org/J3.x:Access_Control_List_Tutorial#Default_Groups
joomla.com est un peu différent car de nombreuses fonctionnalités d'administration ont été supprimées. Par exemple, vous n'avez pas le droit d'installer des extensions, que vous soyez administrateur ou non.