Für Redakteure & Administratoren

Team, Rollen & Rechte

Arbeitet mehr als eine Person an der Webseite, steuerst du über Rollen und Berechtigungen genau, wer was darf. So kann jede Person nur das ändern, wofür sie zuständig ist.

Die vier Rollen

Jedes Konto hat eine Rolle. Sie bestimmt die Grundausstattung an Rechten:

Rolle	Nr.	Darf …
Administrator	2	alles — Inhalte, Design, Medien, Benutzer, Einstellungen, Updates.
Redakteur	1	Inhalte pflegen — mit fein einstellbarem, eingeschränktem Schreibzugriff.
Betrachter	3	alles im Backend ansehen, aber nichts ändern (nur Lesezugriff).
API-Zugang	4	programmatischer Zugriff über die Schnittstelle — ohne interaktives Login.

Die Rolle Gast (Nr. 0) ist nicht angemeldet — das sind die normalen Besucher deiner Webseite.

Prinzip der geringsten Rechte

Gib jeder Person nur so viele Rechte, wie sie wirklich braucht. Die meisten Redaktions-Mitglieder kommen mit der Rolle Redakteur und ein paar freigeschalteten Bereichen bestens aus.

Granulare Berechtigungen

Über die Rolle hinaus lässt sich der Zugriff pro Ressource fein einstellen. Für jeden Bereich (Seiten, Medien, Sammlungen …) legst du fest, welchen Umfang und welche Aktionen jemand hat.

Ressourcen

Rechte werden für diese Bereiche vergeben:

pages · Seiten media · Medien collections · Sammlungen folders · Ordner users · Benutzer versions · Versionen

Umfang (scope) und Aktionen (ops)

scope: allZugriff auf alle Objekte dieses Bereichs.

scope: listZugriff nur auf ausgewählte Objekte (Liste von IDs) — bei Seiten und Sammlungen möglich.

scope: noneKein Zugriff auf diesen Bereich.

opsErlaubte Aktionen: read, create, update, delete.

Ein Redakteur könnte zum Beispiel nur zwei bestimmte Seiten bearbeiten dürfen (pages: scope list, IDs [4, 7], ops read, update) und sonst nichts.

So sieht ein Rechte-Objekt technisch aus

{
  "pages":       { "scope": "list", "ids": [4, 7], "ops": ["read", "update"] },
  "media":       { "scope": "all",  "ops": ["read", "create"] },
  "collections": { "scope": "none" }
}

Dieses Objekt liegt intern beim Benutzer (Feld aAuth.permissions). Im Backend stellst du es bequem über Schalter ein — den JSON-Aufbau musst du nur kennen, wenn du Benutzer über die API anlegst.

Standardrechte bleiben einfach

Legst du einen Benutzer ohne besondere Angaben an, bekommt er automatisch sinnvolle Standardrechte passend zu seiner Rolle. Feinjustieren musst du nur, wenn du wirklich einschränken willst.

Benutzer verwalten

Einladen / anlegen: E-Mail-Adresse, Passwort und Rolle festlegen.
Sperren statt löschen: Ein deaktivierter Zugang kann sich nicht mehr anmelden, bleibt aber erhalten — so gehen keine Zuordnungen verloren.
Passwörter: werden nie im Klartext gespeichert, sondern immer verschlüsselt abgelegt.

API-Zugänge

Für Maschinen-zu-Maschinen-Zugriff gibt es die Rolle API-Zugang. Statt E-Mail und Passwort erhält sie ein Token und ein Secret. Auch API-Zugänge unterliegen exakt denselben granularen Rechten — ein API-Schlüssel kann also z. B. nur Sammlungen lesen, aber keine Benutzer anlegen. Details dazu im Kapitel REST API → Authentifizierung.