多人共同經營 WordPress 網站時，不應把同一組管理員帳號交給所有人使用。WordPress 內建使用者角色功能，可以依照每個人的工作內容，限制能查看、編輯、發布或管理的項目。
例如，負責撰寫文章的教師不一定需要安裝外掛；短期協助維護網站的廠商，也不應永久保留最高權限。正確分配角色，不但能讓工作流程更清楚，也能降低誤刪內容、設定被改動及帳號遭冒用後的影響。
WordPress 單站安裝主要有管理員、編輯、作者、投稿者及訂閱者五種角色；多站網路另有超級管理員。詳細權限可參考WordPress 官方角色與權限文件。
WordPress 使用者角色比較
| 角色 | 主要權限 | 適合對象 |
|---|---|---|
| 管理員 | 管理設定、外掛、佈景主題、使用者與所有內容 | 網站負責人、主要維護人員 |
| 編輯 | 發布及管理所有人的文章與頁面 | 主編、內容主管 |
| 作者 | 撰寫、發布及管理自己的文章 | 固定撰稿人、教師 |
| 投稿者 | 撰寫自己的文章，但不能直接發布 | 臨時作者、學生、外部投稿者 |
| 訂閱者 | 登入及管理自己的個人資料 | 會員或需要登入的讀者 |
| 超級管理員 | 管理 WordPress 多站網路中的所有網站 | 多站網路管理者 |
角色名稱看起來像職位高低，但真正的重點是每個角色可以執行哪些工作。選擇時應依照實際責任，而不是依照對方在組織中的職稱。
管理員可以做什麼？
單一 WordPress 網站的管理員擁有最高權限，可以：
- 安裝、啟用及刪除外掛
- 安裝及更換佈景主題
- 修改網站設定
- 新增、刪除及調整其他使用者
- 編輯或刪除所有文章與頁面
- 更新 WordPress 核心、外掛及佈景主題
- 匯入或匯出網站內容
管理員帳號一旦遭到入侵，攻擊者可能安裝惡意外掛或修改網站程式。因此，只應提供給真正需要管理整個網站的人。
委外廠商需要安裝外掛或修改設定時，可以暫時建立獨立的管理員帳號；工作完成並確認交付後，應立即降級或移除，不要直接提供網站擁有者的帳號密碼。
編輯適合內容主管
編輯可以管理網站內所有使用者的文章及頁面，包括編輯、發布與刪除，也能管理分類及審核留言，但不能安裝外掛、切換佈景主題或修改主要網站設定。
適合的使用情境包括：
- 校園網站內容承辦人
- 部落格主編
- 負責文章審稿及排程的人員
- 需要調整多位作者文章的內容主管
如果對方只負責網站內容，通常給予編輯權限比管理員更合適。
作者和投稿者差在哪？
作者可以撰寫、上傳媒體、發布及管理自己的文章，但不能修改其他人的內容。
投稿者則能撰寫及編輯自己的文章，卻不能直接發布，也不能依照 WordPress 預設權限上傳媒體。文章完成後，需要由編輯或管理員審核發布。
因此：
- 長期合作且能自行發布：使用作者。
- 內容需要先經過審核：使用投稿者。
- 學生或外部來稿：優先使用投稿者。
如果網站規定所有文章必須經過主編確認，即使是固定撰稿人，也可以先使用投稿者角色。
訂閱者有什麼用途？
訂閱者只能登入網站、閱讀允許存取的內容，以及管理自己的個人資料。一般公開部落格不一定需要開放註冊；會員網站、線上課程或限定內容網站，則可能利用訂閱者角色識別登入者。
訂閱者無法新增或編輯一般文章，也不會看到大部分管理功能。
超級管理員只存在於多站網路
WordPress Multisite 可以從同一套系統管理多個網站，這時才會出現超級管理員。超級管理員能管理整個網站網路、外掛、佈景主題及所有站點。
一般只有一個網站的 WordPress 使用者不需要處理這個角色，管理員已是單站環境中的最高權限。
如何新增 WordPress 使用者？
在 WordPress 後台依序操作：
- 前往「使用者 → 新增使用者」。
- 輸入不重複的使用者名稱。
- 填寫對方的電子郵件地址。
- 使用系統產生的強密碼。
- 選擇適合的角色。
- 視需要寄送新帳號通知。
- 完成新增後，請對方使用自己的帳號登入。
不要以「老師1」、「editor」或「admin」等容易猜測的名稱搭配簡單密碼。每個人都應使用自己的帳號，才能在文章作者及操作紀錄中辨識實際使用者。
權限分配的五個安全原則
1. 只提供完成工作所需的最低權限
WordPress 開發文件建議遵循「最小權限原則」，也就是使用者只取得完成工作所必需的權限。能用編輯完成的工作，就不需要提供管理員帳號。WordPress 最小權限說明。
2. 不要多人共用管理員帳號
共用帳號無法確認是誰修改內容，也會增加密碼外流的風險。人員離職或合作結束時，更難單獨取消存取權。
3. 管理員帳號啟用兩步驟驗證
WordPress 官方建議使用強密碼，並以兩步驟驗證增加保護。WordPress 核心目前需要透過外掛加入 2FA，設定方式可參考官方密碼安全建議。
4. 定期檢查使用者清單
每月或每季開啟「使用者 → 全部使用者」，檢查：
- 已離職或不再合作的人員
- 長期未使用的帳號
- 不明電子郵件地址
- 不需要保留的管理員
- 外掛建立的特殊角色
5. 刪除使用者前先處理文章歸屬
刪除有文章的使用者時，WordPress 會詢問要刪除其內容，或將內容指定給另一位使用者。應選擇重新指派文章，除非已確認內容可以一併刪除。
大量調整或刪除帳號前，最好先建立完整網站備份。
多人網站的建議配置
小型教學或校園網站可以參考以下安排：
- 網站擁有者：管理員
- 技術維護人員：管理員，工作結束後降級
- 內容承辦人：編輯
- 固定撰稿教師：作者
- 學生或外部投稿：投稿者
- 一般登入會員：訂閱者
管理員人數越少越好，但也不建議只有一組無人備援的帳號。可以保留兩位可信任的管理者，分別使用獨立帳號及兩步驟驗證。
FAQ
WordPress 可以有多個管理員嗎？
可以，但每位管理員都能修改網站設定、外掛及使用者，應只授予可信任且確實需要的人。
編輯可以安裝 WordPress 外掛嗎？
不可以。編輯能管理網站內容，但無法安裝、更新或刪除外掛。
投稿者可以上傳圖片嗎？
依 WordPress 預設權限，投稿者不能上傳媒體。需要由編輯協助加入圖片，或使用經過評估的權限管理方案。
改變角色會刪除使用者的文章嗎？
不會。變更角色只會調整之後可以執行的操作，原有文章仍會保留。
委外廠商一定要給管理員嗎？
不一定。只有需要安裝外掛、修改佈景主題或網站設定時才可能需要。若只是更新文章，編輯或作者通常已足夠。
