Kapitel 12 Benutzer und Bereiche

Ein Content Management System spielt seine Stärke erst aus, wenn mehrere Menschen an der Gestaltung der Seiten beteiligt sind. Es ist dann nicht mehr nötig, dass ein zentraler Webmaster alle Inhalte selbst in die Seite einpflegt. Vielmehr können die Inhaltslieferanten ihre Beiträge selbst im System erstellen und nach ihren Wünschen anpassen. Das erspart dem Webmaster viel Arbeit und dem gesamten Prozess einige Zwischenschritte.

Zudem haben Webseiten häufig Bereiche für registrierte User, in denen zusätzliche Informationen stehen oder auch von den Benutzern selbst zur Verfügung gestellt werden können. Diese privaten Bereiche werden ebenfalls von Joomla! verwaltet und geschützt. Sie müssen also zwischen Frontend- und Backend-Benutzern unterscheiden.

Bei der Arbeit mit registrierten Benutzern ist zwischen zwei Konzepten zu unterscheiden:

Authentifizierung bedeutet, dass das System weiß, wer die Person ist, die gerade mit den Seiten arbeitet. Dazu wird meistens ein Login benötigt, mit dem sich die User einmal pro Sitzung anmelden. Aktionen des Benutzers werden so nachvollziehbar und unterliegen dadurch einer gewissen Kontrolle. Je nach System steht es jedoch unter Umständen jedem Besucher frei, sich namentlich oder per Pseudonym anzumelden. Unter dem Aspekt der Sicherheit ist eine reine Authentifizierung daher ein eher schwacher Schutz.

Autorisierung ist der zweite Schritt, in dem überprüft wird, ob ein bekannter User auch wirklich die Berechtigung hat, eine Seite zu sehen oder zu bearbeiten. So kann man beispielsweise zwischen »nur« bekannten Usern, Redakteuren und Administratoren der Seite unterscheiden, die jeweils die für sie nötigen Bereiche sehen und die für ihre Aufgaben wichtigen Aktionen ausführen können. Diese Rechtestruktur kann je nach System relativ differenziert sein, ist allerdings bisher nicht zu den Stärken von Joomla! zu rechnen. Ab der Version 1.2 ist angekündigt, das Rechtesystem grundlegend zu überarbeiten und feiner zu gestalten.

12.1 Benutzer anlegen und verwalten 

Joomla! verwaltet seine User mit Hilfe des User Managers. Den finden Sie entweder im Symbolbereich auf der Hauptseite des Backends oder aber im Menü unter Site · User Manager (Abbildung 12.1). Hier sollte bisher nur ein User zu finden sein, nämlich der Administrator.

In der Liste der registrierten Benutzer werden Ihnen einige Informationen zur Verfügung gestellt.

Sie sehen bei den Symbolen neben den üblichen Aktionen auch den Button Logout. Damit können Sie andere Benutzer aus dem System abmelden. Setzen Sie einfach einen Haken in die Checkbox vor die User, die Sie abmelden wollen, und klicken Sie auf das Logout-Symbol.

Um einen Nutzer aus dem System zu entfernen, markieren Sie wieder die entsprechende Checkbox und klicken auf das Delete-Symbol. Aber aufgepasst: Der User wird dann direkt gelöscht und nicht im Papierkorb zwischengespeichert. Sie sollten sich also sicher sein, dass Sie das wirklich tun wollen.

12.1.1 Neue Benutzer anlegen und bearbeiten 

Um einen neuen Benutzer aus dem Backend heraus anzulegen, klicken Sie auf das Symbol Neu. Es erscheint ein Formular, in dem Sie die nötigen Angaben machen können. Diese entsprechen weitestgehend den Angaben, die Sie im User Manager angezeigt bekommen. Im Feld New Password können Sie ein Passwort vergeben, das Sie zur Sicherheit in Verify Password noch einmal eintippen müssen.

Das Auswahlfeld Group bestimmt die Rechte, die der Nutzer haben wird. Näheres dazu finden Sie weiter unten in diesem Kapitel. Wenn Sie hier »Administrator« oder »Super Administrator« angeben, so erhalten Sie nach dem ersten Speichern zusätzlich die Auswahl Receive Submission Emails. Das bedeutet, dass dieser Nutzer informiert wird, wenn sich ein Besucher im Frontend registriert.

Im Bereich Parameters legen Sie fest, welchen Editor der neue Nutzer standardmäßig verwenden soll. Wenn Sie hier nichts angeben, wird der Standardwert der Seite verwendet. Gibt es für den User eine Verbindung zu einem Kontakt-Datensatz (vgl. Abschnitt 7.3.2, Contacts), so werden diese Daten im Bereich Contact Information angezeigt.

Wenn Sie einen Userdatensatz bearbeiten wollen, markieren Sie den entsprechenden Eintrag im User Manager und klicken auf das Edit-Symbol oder klicken ganz einfach auf den Usernamen. Sie gelangen dann auf die gleiche Maske, mit der Sie auch neue Nutzer erzeugen können. Die Felder New Password und Verify Password sind nicht ausgefüllt. Füllen Sie diese nur aus, wenn Sie das Passwort ändern wollen. Soll es nicht angetastet werden, so können die beiden Felder leer bleiben.

12.1.2 Neue User im Frontend 

Das Login-Formular im Frontend haben wir bereits in Abschnitt 7.1.5, Login, besprochen. Haben Sie in den allgemeinen Einstellungen die Option Allow User Registration aktiviert, erscheint unter dem Login-Formular im Frontend der Link Registrieren. Hier kann sich ein Benutzer selbst einen Usernamen geben, indem er in einem Formular seinen Namen, den gewünschten Usernamen, die E–Mail-Adresse und sein Passwort eingibt. Mit diesen Daten wird er in die Datenbank mit der geringsten Berechtigung (»Registered«) eingetragen.

Je nach Einstellung ist der Account sofort freigeschaltet. Eine kleine Hürde gegen Vandalismus ist die Verifizierung der E-Mail-Adresse. In diesem Fall wird der Zugang erst aktiviert, nachdem der neu registrierten Person eine E-Mail mit einem Aktivierungslink gesendet wurde und diese dem Link gefolgt ist.

Hallo Markus,
Vielen Dank für Ihre Registrierung bei Joomla. Ihr Benutzerkonto 
wurde generiert und muss vor der ersten Benutzung aktiviert werden.
Um Ihr Benutzerkonto zu aktivieren, klicken Sie auf den folgenden 
Link, oder kopieren Sie ihn, und fügen Sie ihn in Ihren Browser ein:

http://localhost/joomla/index.php?option=com_registration&
task=activate&activation=1d7b0057884c8c41e47f99c4de6ce15f

Nach der Aktivierung müssen Sie sich auf http://localhost/joomla mit folgendem Benutzernamen und Passwort anmelden:

Benutzername – markus
Passwort – geheim

So ist sichergestellt, dass die E-Mail-Adresse auch einen Empfänger hat, der seine Nachrichten gelegentlich liest. Natürlich ist es mittlerweile ein Leichtes, sich eine temporäre Mail-Adresse zuzulegen und diesen Mechanismus zu umgehen.

Es spricht einiges dafür, die Frontend-Registrierung einzuschalten.

Es erspart dem neuen Nutzer die Wartezeit auf die Account-Aktivierung. Das ist in einem Medium, in dem Millisekunden über die Akzeptanz einer Seite entscheiden, sicherlich ein großer Vorteil. Wenn sich jemand an der Gestaltung beteiligen möchte, dann sollte man ihn nicht zwingen zu warten, bis die Anfangsmotivation wieder verschwunden ist. Das Beantragen eines Accounts z.  B. per E-Mail stellt zudem einen Medienbruch dar, der eine nicht zu unterschätzende Hürde ist. Viele potenzielle User werden sich dann nicht registrieren.

Neue User können und müssen sich ein eigenes Passwort überlegen. Wenn ein Administrator den neuen Account anlegt, muss er ein Passwort vergeben. Das ist unschön, denn das Passwort eines Nutzers sollte nur dieser selbst wissen. Das dient auch der Sicherheit des Administrators. Also ist der neue User angehalten, das Passwort zu ändern. Ein zusätzlicher Schritt, der Zeit kostet und Aufwand darstellt und daher oft nicht getan wird.

Dem Administrator wird einiges an Arbeit abgenommen, weil er sich nicht mehr um jede Anmeldung selbst kümmern muss.

Dies alles gilt jedoch nur, wenn Sie eine breite Beteiligung der Öffentlichkeit wollen, z.  B. in Foren. Geht es beispielsweise um Daten, die sensibel sind, so ist klar, dass der Zugang nur über den Administrator gewährt werden kann. Zudem werden die so genannten Linkspammer (siehe Abschnitt 18.7, Spamvorbeugung) immer versierter, so dass eine freie Anmeldung unter Unständen in naher Zukunft das Spam-Risiko erhöhen kann.