Важным аспектом безопасного функционирования сайта является правильная настройка прав групп пользователей.

Иерархия групп пользователей

Группы пользователей имеют чёткую иерархию по уровню доступных прав.

Стандартные группы, расположенные по убыванию прав доступа:

1. Администраторы
2. Модераторы
3. Друзья / Проверенные
4. Пользователи
5. Гости
6. Заблокированные

Самые широкие права и полномочия имеет группа «Администраторы». Меньше всего прав у группы «Гости». Группа «Заблокированные» полностью лишена прав — для неё отключены все функции сайта.

Группа «Пользователи»

Все новые зарегистрированные пользователи автоматически попадают в группу «Пользователи», если иное не указано в настройках сайта. Это самая многочисленная группа, поэтому правильно настроенные права для неё особенно важны.

Наиболее уязвимые для спама и нежелательных ссылок зоны сайта — это:

• Комментарии
• Гостевая книга
• Мини-чат
• Подписи пользователей

Чтобы снизить риск размещения нежелательных ссылок, рекомендуется отключить у группы «Пользователи» следующие права:

• Использование BB-кодов в подписи
• Разрешение BB-кодов в комментариях
• Разрешение BB-кодов и автоматическое превращение www и email-адресов в ссылки в гостевой книге
• Разрешение BB-кодов и автоматическое превращение www и email-адресов в ссылки в мини-чате (по умолчанию отключено, включать не рекомендуется)

В разделе настроек группы «Пользователи» не рекомендуется включать функцию «Использование BB-кодов [URL] и [IMG]» — по умолчанию она отключена, так как это потенциально опасные теги.

На форуме допустимо оставить включённой опцию «Разрешить BB-коды для пользователей», но обязательно отключите «Использование BB-кодов [URL] и [IMG]». Так пользователи смогут пользоваться BB-кодами, но без возможности вставлять ссылки и изображения.

С осторожностью предоставляйте следующие права:

• Изменение максимальных размеров загружаемых изображений
• Загрузка файлов на сервер при добавлении материалов
• Загрузка собственных аватаров

Права, которые следует оставить только главному администратору

Полный набор прав на сайте должен иметь только один человек — главный администратор. Если вы планируете привлекать дополнительных администраторов или модераторов, не предоставляйте им полный доступ.

Для группы «Администраторы» лучше создать отдельную роль с ограниченным набором прав, отличным от прав главного администратора.

Системный ID группы главного администратора — 4. Дополнительно созданной группе «Администраторы» присваивается уникальный ID.

• Редактирование дизайна сайта
• Использование файлового менеджера
• Доступ к панели инструментов администратора
• Удаление всех пользователей
• Перемещение пользователей в другие группы
• Добавление страниц сайта
• Редактирование информации на страницах сайта
• Удаление страниц сайта
• Удаление всех материалов в модулях
• Использование HTML-тегов при добавлении материалов и на форуме