Terrain 02 — Vues & rôles (visiteur / auteur / admin)
⏱️ TL;DR — 25 mini-jeux
⭐→⭐⭐pour vivre WordPress sous chaque casquette : visiteur anonyme, Abonné, Contributeur, Auteur, Éditeur, Administrateur. Tu vas créer des comptes, t’y connecter, et constater ce que chacun voit et peut faire. Comprendre les rôles ici = écrire des plugins sûrs plus tard.
Astuce transverse : pour basculer d’un rôle à l’autre sans te déconnecter, installe l’extension User Switching (mini-jeu 14). Sinon, utilise une fenêtre de navigation privée par rôle.
🕹️ Mini-jeu 1 — Créer un Abonné ⭐ 🛠️
But : le rôle le plus bas. Mission : crée un compte de rôle Abonné. Étapes :
- Comptes → Ajouter.
- Identifiant
test_abonne, e-mail bidon unique, rôle Abonné. - Note le mot de passe généré.
✅ Solution
L’Abonné ne peut que gérer son profil et (selon config) commenter. C’est le rôle par défaut des inscrits d’un site ouvert. Sers-toi de ce compte aux jeux suivants.
🕹️ Mini-jeu 2 — Créer un Contributeur ⭐ 🛠️
But : rédiger sans publier.
Mission : crée test_contrib en rôle Contributeur.
✅ Solution
Le Contributeur écrit ses propres articles mais ne peut pas les publier ni téléverser de médias : il les soumet pour relecture. Rôle typique d’un pigiste externe.
🕹️ Mini-jeu 3 — Créer un Auteur ⭐ 🛠️
But : publier ses propres contenus.
Mission : crée test_auteur en rôle Auteur.
✅ Solution
L’Auteur publie et gère ses articles, et téléverse des médias. Il ne touche pas aux contenus des autres, ni aux pages, ni à l’admin du site.
🕹️ Mini-jeu 4 — Créer un Éditeur ⭐ 🛠️
But : gérer tout le contenu.
Mission : crée test_editeur en rôle Éditeur.
✅ Solution
L’Éditeur gère tous les articles/pages/commentaires (même ceux des autres), mais pas les extensions, thèmes, réglages ni la plupart des comptes. C’est le « rédac-chef ».
🕹️ Mini-jeu 5 — Vivre l’admin d’un Abonné ⭐⭐ 🎓
But : voir un back-office minimal.
Mission : connecte-toi comme test_abonne (fenêtre privée) et explore son wp-admin.
Étapes :
- Fenêtre privée →
/wp-admin→ identifiants de l’Abonné. - Compare le menu latéral avec le tien.
✅ Solution
L’Abonné n’a que Tableau de bord + Profil. Aucun accès au contenu ni aux réglages. La différence de menu est la matérialisation des capabilities du rôle.
🕹️ Mini-jeu 6 — L’Auteur ne voit que ses articles ⭐⭐ ✍️
But : l’isolation par auteur. Mission : connecté en Auteur, ouvre « Tous les articles ».
✅ Solution
L’Auteur ne voit que ses propres articles dans la liste (capability edit_others_posts absente). En tant qu’admin, tu vois ceux de tout le monde. Publie un article depuis ce compte pour le vérifier.
🕹️ Mini-jeu 7 — Contributeur : soumettre pour relecture ⭐⭐ ✍️
But : le flux éditorial. Mission : en Contributeur, rédige un article et soumets-le. Étapes :
- Connecté en
test_contrib→ Articles → Ajouter. - Écris, puis clique Soumettre à la relecture (pas de bouton « Publier »).
✅ Solution
Le Contributeur n’a pas publish_posts : son bouton devient « Soumettre à la relecture », et l’article passe En attente. Un Éditeur/Admin le publiera (jeu 16).
🕹️ Mini-jeu 8 — Contributeur : pas de médias ⭐⭐ ✍️
But : une limite concrète. Mission : en Contributeur, tente d’ajouter une image.
✅ Solution
Le Contributeur ne peut pas téléverser (upload_files absente) : pas de bouton média. L’Auteur, si. C’est une décision de rôle, ajustable via une extension de capabilities (avancé).
🕹️ Mini-jeu 9 — L’Éditeur gère tout le contenu ⭐⭐ ✍️
But : portée élargie. Mission : en Éditeur, modifie un article écrit par un autre compte.
✅ Solution
L’Éditeur a edit_others_posts, publish_pages, moderate_comments… : il pilote toute la rédaction. Mais ouvre Extensions/Réglages → absents de son menu.
🕹️ Mini-jeu 10 — Ce que l’Éditeur NE voit pas ⭐⭐ ✍️ 🛠️
But : cerner la frontière admin. Mission : liste les entrées de menu présentes chez l’Admin mais absentes chez l’Éditeur.
✅ Solution
Manquent à l’Éditeur : Extensions, Apparence (en grande partie), Outils avancés, Réglages, et la gestion complète des Comptes. Ce sont les capabilities « administratives » (manage_options, activate_plugins…).
🕹️ Mini-jeu 11 — La vue visiteur anonyme ⭐ 👁️
But : le site tel que le monde le voit. Mission : ouvre le site public déconnecté. Étapes :
- Fenêtre de navigation privée → l’URL publique du site.
✅ Solution
Le visiteur anonyme voit le contenu publié uniquement, sans barre d’admin ni brouillons. C’est la référence : tout ce que tu conçois doit être vérifié dans cette vue.
🕹️ Mini-jeu 12 — La barre d’admin varie selon le rôle ⭐⭐ 🎓 ✍️
But : un indice visuel du rôle. Mission : compare la barre d’admin d’un Abonné et d’un Auteur (sur le site public, connectés).
✅ Solution
L’Abonné a une barre minimale (profil) ; l’Auteur a + Créer, l’accès à ses contenus. La barre reflète les capabilities : un raccourci n’apparaît que si le rôle a le droit correspondant.
🕹️ Mini-jeu 13 — Un Abonné force une URL d’admin ⭐⭐ 🎓
But : voir la sécurité par capability.
Mission : connecté en Abonné, va manuellement sur /wp-admin/edit.php.
✅ Solution
WordPress affiche « Vous n’avez pas les droits… » : l’accès n’est pas seulement caché dans le menu, il est refusé au niveau de la capability. Leçon clé pour tes futurs plugins : cacher ≠ protéger, il faut vérifier la capability côté serveur (terrain 16).
🕹️ Mini-jeu 14 — Basculer avec User Switching ⭐⭐ 🛠️
But : tester les rôles sans friction. Mission : installe User Switching et bascule vers un Auteur. Étapes :
- Extensions → Ajouter → cherche « User Switching » → Installer → Activer.
- Comptes → survole un compte → Basculer vers.
- Reviens via « Revenir à… » dans la barre d’admin.
✅ Solution
User Switching (signé par un core committer) te connecte en tant qu’ un autre utilisateur sans mot de passe, et te ramène en un clic. Indispensable pour tester des rôles/permissions. À réserver au dev/staging.
🕹️ Mini-jeu 15 — Changer le rôle d’un compte ⭐⭐ 🛠️
But : promouvoir/rétrograder.
Mission : passe test_contrib de Contributeur à Auteur.
Étapes :
- Comptes → coche le compte → « Modifier le rôle en… » → Auteur → Modifier.
- Reconnecte-toi en lui : le bouton « Publier » apparaît.
✅ Solution
Le rôle se change à la volée (individuellement ou en action groupée). Les capabilities suivent immédiatement : le même utilisateur peut soudain publier. Le rôle = un paquet de capabilities.
🕹️ Mini-jeu 16 — Publier l’article soumis ⭐⭐ ✍️
But : boucler le flux éditorial. Mission : en Éditeur/Admin, publie l’article « En attente » du jeu 7. Étapes :
- Articles → filtre « En attente ».
- Ouvre-le → Publier.
✅ Solution
Le circuit Contributeur écrit → Éditeur publie est le workflow de rédaction natif. Tu viens de vivre les deux bouts. Beaucoup de plugins éditoriaux enrichissent ce flux (statuts custom).
🕹️ Mini-jeu 17 — Le rôle par défaut des inscrits ⭐⭐ 🛠️
But : contrôler qui devient quoi. Mission : vérifie le rôle attribué aux nouveaux inscrits. Étapes :
- Réglages → Général → « Rôle par défaut de tout nouvel utilisateur ».
✅ Solution
Par défaut Abonné — et il vaut mieux le laisser bas. Ne jamais mettre « Administrateur » par défaut (faille béante). Sur un site à inscription, ce réglage est critique.
🕹️ Mini-jeu 18 — Ouvrir/fermer les inscriptions ⭐⭐ 🛠️
But : autoriser les comptes publics. Mission : active puis désactive « Tout le monde peut s’inscrire ». Étapes :
- Réglages → Général → coche « Tout le monde peut s’inscrire ».
- Déconnecté, va sur
/wp-login.php?action=register. - Décoche ensuite (garde le site fermé si inutile).
✅ Solution
Sans cette case, /wp-login.php?action=register refuse l’inscription. Ouvrir les inscriptions expose aux comptes indésirables : à n’activer qu’avec une vraie raison (communauté, boutique).
🕹️ Mini-jeu 19 — La page d’archive d’un auteur ⭐ 👁️
But : la vue publique d’un auteur.
Mission : ouvre /author/test_auteur/ en visiteur.
✅ Solution
WordPress génère une archive par auteur listant ses articles publiés. C’est une page publique du thème (template author.html/author.php). Utile — mais peut révéler des identifiants (voir terrain 16).
🕹️ Mini-jeu 20 — La bio d’auteur sur le front ⭐⭐ ✍️
But : relier profil et affichage public. Mission : renseigne la « Renseignements biographiques » d’un auteur et vois si le thème l’affiche. Étapes :
- Comptes → le profil → champ « Renseignements biographiques ».
- Ouvre un de ses articles en visiteur : certains thèmes affichent un encart auteur.
✅ Solution
Le champ bio du profil alimente l’encart auteur si le thème le prévoit. Bel exemple du lien donnée (profil) ↔ présentation (thème) — une couche ne sait rien de l’autre sans code qui les relie.
🕹️ Mini-jeu 21 — Brouillons invisibles au visiteur ⭐⭐ 👁️ ✍️
But : la confidentialité des brouillons. Mission : garde un article en Brouillon, tente son URL en visiteur.
✅ Solution
Un brouillon renvoie 404 au visiteur : seul un rôle avec droit d’édition le voit. Pour le montrer sans publier, utilise le lien d’aperçu partageable (terrain 03, jeu 29).
🕹️ Mini-jeu 22 — Qui peut installer une extension ? ⭐⭐ ✍️ 🛠️
But : cerner un pouvoir « admin only ». Mission : vérifie qu’un Éditeur n’a pas le menu Extensions.
✅ Solution
Seul l’Administrateur a activate_plugins/install_plugins. (En multisite, c’est encore plus restreint — réservé au Super Admin.) Installer du code = pouvoir sensible, jamais donné aux rôles éditoriaux.
🕹️ Mini-jeu 23 — Le tableau des rôles, de mémoire ⭐⭐ 🛠️
But : synthétiser. Mission : remplis mentalement : pour chaque rôle, peut-il publier / téléverser / éditer les autres / gérer options ?
✅ Solution
| Rôle | Publier ses posts | Téléverser | Éditer ceux des autres | Gérer options/plugins |
|---|---|---|---|---|
| Abonné | ❌ | ❌ | ❌ | ❌ |
| Contributeur | ❌ (soumet) | ❌ | ❌ | ❌ |
| Auteur | ✅ | ✅ | ❌ | ❌ |
| Éditeur | ✅ | ✅ | ✅ | ❌ |
| Admin | ✅ | ✅ | ✅ | ✅ |
🕹️ Mini-jeu 24 — Supprimer les comptes de test proprement ⭐⭐ 🛠️
But : gérer la réattribution de contenu.
Mission : supprime test_contrib et réattribue ses articles à un autre compte.
Étapes :
- Comptes → coche le compte → Supprimer.
- WordPress demande : supprimer le contenu ou l’attribuer à un autre → choisis « attribuer ».
✅ Solution
Supprimer un utilisateur oblige à décider du sort de son contenu (supprimer ou réattribuer). Toujours réattribuer en prod pour ne pas perdre d’articles. Détail que beaucoup découvrent trop tard.
🕹️ Mini-jeu 25 — Défi récap des rôles ⭐⭐ 🛠️
But : valider le terrain. Mission : sans aide, réponds : qui publie, qui modère les commentaires, qui installe un plugin, qui change le thème ?
✅ Solution
Publier : Auteur+ · Modérer les commentaires : Éditeur+ · Installer un plugin / changer le thème : Admin seulement. Si tu réponds sans hésiter, le modèle rôles/capabilities est acquis — la base de la sécurité WordPress. Cap sur le contenu (terrain 03).
Terrain suivant : 03 — Articles & pages.