Système de gestion de contenu (CMS) : À propos des autorisations de collection

Dans le Système de gestion de contenu (CMS), vous pouvez configurer les autorisations de collection pour déterminer qui peut consulter, ajouter, mettre à jour ou supprimer le contenu de la collection. Les propriétaires et les collaborateurs de sites disposant d'autorisations de modification dans le CMS peuvent gérer ces autorisations dans les paramètres d'autorisations et de confidentialité de la collection.

Les autorisations de collection vous aident à gérer l'accès au contenu de votre collection et à maintenir la sécurité des données de votre site. Par exemple, si vous gérez une communauté en ligne, vous pouvez autoriser uniquement les membres enregistrés à consulter et à contribuer à certaines collections, en vous assurant que les informations sensibles restent dans votre base d'utilisateurs de confiance.

Les autorisations de collection déterminent qui peut accéder au contenu de la collection du système de gestion de contenu (CMS) de votre site et ce qu'il peut faire avec (ex. consulter, ajouter des éléments, mettre à jour le contenu existant, supprimer le contenu). Les personnes disposant des autorisations nécessaires peuvent gérer le contenu du site en ligne en utilisant des éléments de saisie, ou via l'API de données. 

Vous pouvez sélectionner différentes autorisations pour les collaborateurs, les créateurs d'éléments, les membres du site et toutes les autres personnes. Avec les autorisations « Avancées », vous pouvez configurer des autorisations spécifiques pour chaque rôle personnalisé du CMS que vous créez. Cela vous offre un contrôle amélioré sur les collaborateurs qui peuvent consulter, ajouter, mettre à jour ou supprimer le contenu de la collection de votre site en ligne.

L'autorisation « Afficher le contenu » permet au contenu de votre collection d'être visible sur le site en ligne par les visiteurs du site. Ce paramètre est utile lorsque vous souhaitez rendre certaines informations accessibles au public sans autoriser aucune modification. Vous pouvez choisir de rendre le contenu visible par tout le monde, ou de le restreindre aux membres du site uniquement. Cela garantit que le contenu sensible reste protégé tout en étant accessible à ceux qui en ont besoin.

Il est important de noter qu'en fonction des autorisations que vous appliquez, le contenu de la collection est toujours accessible s'il n'apparaît pas sur votre site en ligne. Par exemple, si « Tout le monde » est sélectionné sous « Qui peut voir ce contenu », alors tout le monde peut utiliser l'API de données pour voir le contenu de la collection.

L'autorisation « Collecter le contenu » permet aux visiteurs d'ajouter de nouveaux éléments à votre collection via des éléments de saisie ou une API. Cette option est particulièrement utile pour les sites qui recueillent du contenu généré par les utilisateurs, tel que des avis, des commentaires ou des posts. Toutefois, cette autorisation ne permet pas aux visiteurs de mettre à jour les éléments existants ou les valeurs de leurs champs. Utilisez les autorisations « Avancées » si vous devez autoriser la mise à jour d'éléments existants ou de leurs valeurs de champ à partir du site en ligne. 

Vous pouvez décider si n'importe quel visiteur du site ou seulement les membres du site peuvent ajouter du contenu à la collection. Vous pouvez également contrôler qui peut voir le contenu ajouté, en vous assurant qu'il répond aux normes de confidentialité et de sécurité de votre site.

Les paramètres d'ensemble de données ont un impact sur les actions qui peuvent être effectuées sur une page, seules les autorisations de collection peuvent en fait limiter les opérations qui peuvent être effectuées par différents rôles. 

Pour contrôler davantage qui peut consulter, ajouter, mettre à jour ou supprimer du contenu, configurez les autorisations « Avancé ». Cela vous permet d'adapter l'accès en fonction de différents rôles, tels que les collaborateurs, les créateurs d'éléments, les membres et tout le monde. Si vous avez créé des rôles d'accès au CMS personnalisés pour vos collaborateurs, vous pouvez définir des autorisations spécifiques pour chaque rôle.

Par exemple, vous pouvez autoriser uniquement les administrateurs et un rôle de collaborateur spécifique à supprimer du contenu, tout en permettant aux créateurs d'éléments de mettre à jour leurs propres envois uniquement. Cette flexibilité garantit que vous pouvez gérer le contenu de votre collection d'une manière qui s'aligne sur les besoins spécifiques de votre site et les exigences de sécurité.

Lorsque vous utilisez des autorisations « Avancées », assurez-vous que les autorisations que vous attribuez correspondent à la logique métier et à la catégorie de confidentialité des données de la collection. Par exemple, les collections avec des informations sur les clients ou les prospects doivent être traitées différemment des collections sur les articles.

Comprendre et gérer les autorisations pour toutes vos collections est essentiel pour maintenir l'intégralité et la sécurité de votre site. Chaque collection peut avoir son propre ensemble d'autorisations, vous permettant de personnaliser l'accès en fonction du type de contenu et de l'audience cible. En examinant et en ajustant ces autorisations régulièrement, vous pouvez vous assurer que les données de votre site restent sécurisées et que les utilisateurs ont le niveau d'accès approprié.

Les administrateurs, tels que les propriétaires de sites, ont un accès illimité aux collections du système de gestion de contenu (CMS). Cela leur permet de gérer toutes les tâches, y compris la consultation, la modification, l'ajout et la suppression de contenu, que ce soit via le site en ligne ou dans le système de gestion de contenu (CMS). Vous ne pouvez pas modifier les autorisations associées aux rôles d'administrateur. Lorsque vous prévisualisez votre site, vous le faites avec le rôle d'administrateur. Pour interagir avec un autre type d'utilisateur, publiez d'abord votre site, puis accédez à votre site en ligne et connectez-vous en tant qu'utilisateur différent (membre du site) ou ne vous connectez pas du tout (tout le monde). 

N'oubliez pas que, si les collections sandbox sont activées sur votre site, votre site en ligne fonctionne avec les collections en ligne et non avec les collections sandbox.

Lorsque vous interagissez avec vos collections à l'aide de l'API de données, vous pouvez choisir de contourner le modèle d'autorisation dans certains cas. L'argument facultatif WixDataOptions peut être envoyé à l'appel de la fonction API avec la propriété suppressAuth définie sur true. Cela entraînera l'exécution de la fonction sans vérifier si l'utilisateur actuel dispose des autorisations appropriées. Vous pouvez contourner les autorisations uniquement lorsque vous effectuez des appels d'API à partir du code back-end. Les appels d'API côté client effectueront toujours des contrôles d'autorisation, quelles que soient les options acceptées.

Par exemple, une collection peut contenir des commentaires ainsi que l'adresse e-mail du créateur du commentaire. Les visiteurs doivent pouvoir consulter les commentaires, mais seul l'administrateur doit pouvoir consulter les adresses e-mail. La suppression de l'autorisation peut permettre aux visiteurs de consulter les commentaires sans leur accorder l'autorisation de « lire » la collection des commentaires.

Pour ce faire, vous pouvez écrire un module web dans un fichier d'extension .jsw dans le back-end qui appellera la collection de commentaires avec la propriété suppressAuth définie sur true puis filtrer la réponse et renvoyer uniquement les champs souhaités (commentaires) au client pour que le visiteur puisse les consulter, sans les autres champs de la collection, en particulier sans les e-mails.

Un autre exemple pour l'utilisation de suppressAuth, est l'endroit où vous souhaitez autoriser l'accès d'un [rôle personnalisé (un membre spécifique du site ou un groupe spécifique de membres du site) à une collection qui est définie avec des autorisations d'administrateur. Dans ce cas, le module web doit vérifier l'identité ou le rôle du membre du site avant d'appeler les données.