Права редактора в WordPress: настройка за 15 минут

Через 15 минут у вас будет роль «Редактор» с заданным набором прав: она сможет менять меню сайта, но не сможет удалять опубликованные страницы. Из коробки WordPress 6.x даёт редактору обратное: удалять можно, а меню трогать нельзя. Инструкция обходится плагином и несколькими галочками, а в конце есть вариант для консоли через WP-CLI.

Что понадобится до начала

• WordPress 6.x и учётная запись администратора. Проверка: в меню админки есть пункт «Плагины».
• Свежая копия базы данных. Права ролей лежат в таблице настроек (по умолчанию wp_options), в записи wp_user_roles. Ошибка здесь бьёт по всему сайту сразу, и проще всего откатить её из копии.
• Второй браузер или приватное окно, чтобы смотреть админку глазами редактора.
• Для варианта с консолью: SSH-доступ и WP-CLI 2.x.

По умолчанию редактор может править и публиковать чужие записи и страницы, удалять их, модерировать комментарии, управлять рубриками и метками, загружать файлы. Менять тему, ставить плагины, управлять пользователями и открывать «Настройки» он не может.

Пояснение: право (capability) — отдельное разрешение, например edit_theme_options. Роль — именованный набор таких прав. Настраивая роль, вы включаете и выключаете отдельные права.

Пошаговая настройка

1. Создайте тестового редактора: «Пользователи → Добавить нового», роль «Редактор», надёжный пароль. Так вы проверите права на живом аккаунте, а не по списку галочек. Проверка: пользователь появился в списке с ролью «Редактор».
2. Войдите под ним в приватном окне и запомните исходную картину. Проверка: в меню нет разделов «Внешний вид», «Плагины» и «Настройки», а у опубликованной страницы в списке есть ссылка «В корзину».
3. В основном окне под администратором откройте «Плагины → Добавить новый», найдите User Role Editor, установите и активируйте. Проверка: в разделе «Пользователи» появился пункт User Role Editor.
4. Откройте этот пункт и выберите роль Editor в выпадающем списке вверху страницы. Проверка: в списке прав отмечены, например, edit_others_posts и publish_pages.
5. Отметьте edit_theme_options. Снимите галочки с delete_published_pages и, если нужно то же для записей, с delete_published_posts. Нажмите Update. Проверка: после перезагрузки страницы галочки стоят так, как вы их оставили.
6. Обновите админку в окне тестового редактора. Проверка: в «Внешнем виде» открывается «Меню» и сохраняется без ошибок (набор остальных пунктов зависит от темы), а у опубликованной страницы ссылки «В корзину» больше нет.

Цена вопроса. Право edit_theme_options открывает не только меню, но и виджеты, а в блочных темах ещё и редактор сайта. Если нужно только меню, отдельного права под него в ядре нет, поэтому проверьте под тестовой учёткой, что именно стало доступно. А запрет на удаление не защищает от правки: редактор по-прежнему может перевести страницу в черновик или стереть её содержимое.

Какие права за что отвечают

Право, выданное «на время», живёт на сайте годами: никто не напоминает его снять.

То же через консоль (WP-CLI 2.x)

Если плагин ставить не хочется, выполните команды из корня установки WordPress. Права попадут в ту же запись wp_user_roles.

# Список текущих прав роли editor
wp cap list editor

# Выдать право управлять меню и виджетами
wp cap add editor edit_theme_options

# Забрать право удалять опубликованные страницы
wp cap remove editor delete_published_pages

# Проверить результат
wp cap list editor | grep -E 'edit_theme_options|delete_published_pages'

Проверка: в выводе последней команды осталась только строка edit_theme_options. Если у вас другая версия WP-CLI, сверьтесь со справкой: wp help cap.

Если не получилось

• При открытии «Меню» редактор видит «Sorry, you are not allowed to access this page.» (в русской локали текст другой). Проверьте, что в плагине была выбрана именно роль Editor и нажато Update. Затем посмотрите, нет ли у пользователя индивидуальных запретов: User Role Editor умеет задавать права конкретному человеку.
• Галочки сами сбрасываются. Скорее всего, ролями управляет ещё один плагин, например членский или магазинный. Отключайте подозрительные по одному и проверяйте.
• При правке страницы появляется «Sorry, you are not allowed to edit this post.» Вы случайно сняли право на редактирование, проверьте edit_others_pages и edit_published_pages.
• Пункт меню виден, а нужной функции нет. Плагины часто вводят собственные права: у WooCommerce, например, есть manage_woocommerce. Ищите их в документации плагина.
• На мультисайте правки не видны на нужном сайте. Роли хранятся отдельно для каждого сайта сети, поэтому меняйте их на том сайте, где работает редактор.

Что делать дальше

• Через неделю спросите редакторов, чего им не хватило, и добавляйте права по одному.
• Раз в квартал запускайте wp cap list editor и сверяйте список с тем, что вы выдавали.
• Если нужны две группы с разными правами, например выпускающие и корректоры, не раздувайте одну роль. Создайте отдельную: это уже другая тема.