WordPress 사용자·권한 관리 — 5가지 역할과 안전한 운영
목차
- 5가지 기본 역할
- 권한 매트릭스
- 사용자 추가하기
- 위치
- 필수 입력
- 안전 권장
- 역할별 활용 시나리오
- 시나리오 1: 단독 관리 사이트
- 시나리오 2: 회사 사이트 + 마케팅팀
- 시나리오 3: 멀티 저자 블로그
- 시나리오 4: 회원제 사이트
- 역할 외 추가 — 권한 확장 플러그인
- 운영진 추가 안전 절차 (5단계)
- 1. 관리자 권한 부여 최소화
- 2. 개별 계정 발급
- 3. 강한 비밀번호 + 2FA
- 4. 활동 로그 모니터링
- 5. 인수인계 시 권한 회수
- 보안 — 자주 발생하는 사고
- 사고 1: admin 계정 해킹
- 사고 2: 약한 비밀번호 brute-force
- 사고 3: 운영진 계정에서 악성 코드 업로드
- 사용자 메타 정보
- 사용자 데이터 내보내기
- 자주 하는 실수
- FAQ
- 관련 가이드
WordPress는 5가지 기본 사용자 역할로 권한을 분리합니다. 운영진 여러 명이면 권한 분리가 보안·관리 양쪽에 중요합니다. 각 역할 차이부터 운영진 추가·인수인계 안전 절차까지 정리.
5가지 기본 역할
| 역할 | 할 수 있는 것 |
|---|---|
| 관리자(Administrator) | 모든 권한 — 설정·테마·플러그인·사용자 추가·삭제 |
| 편집자(Editor) | 본인+남의 모든 글·페이지 편집·발행·삭제 |
| 저자(Author) | 본인 글만 작성·발행·삭제. 페이지 X |
| 기고자(Contributor) | 본인 글 작성·편집. 발행 권한 없음 (편집자가 승인) |
| 구독자(Subscriber) | 본인 프로필만 관리. 글·댓글은 일반 사용자처럼 |
권한 매트릭스
| 작업 | 관리자 | 편집자 | 저자 | 기고자 | 구독자 |
|---|---|---|---|---|---|
| 사이트 설정 변경 | O | X | X | X | X |
| 테마·플러그인 관리 | O | X | X | X | X |
| 사용자 추가·삭제 | O | X | X | X | X |
| 모든 글 편집 | O | O | X | X | X |
| 본인 글 발행 | O | O | O | X | X |
| 본인 글 작성·편집 | O | O | O | O | X |
| 미디어 업로드 | O | O | O | X | X |
| 댓글 작성 | O | O | O | O | O |
사용자 추가하기
위치
좌측 메뉴 사용자 > 새로 추가.
필수 입력
- 사용자명 — 로그인 ID.
admin절대 금지 (해킹 1순위 대상) - 이메일 — 비밀번호 재설정 + 알림 수신
- 비밀번호 — 자동 생성 또는 직접 (12자+ 권장)
- 역할 — 위 5가지 중 선택
안전 권장
- 사용자명을 본명 또는 추측 어려운 형태로
- 비밀번호는 자동 생성 + 비밀번호 매니저 저장
- 2단계 인증 플러그인 같이 사용 (Wordfence·Google Authenticator)
역할별 활용 시나리오
시나리오 1: 단독 관리 사이트
- 본인: 관리자 1명만
- 끝.
시나리오 2: 회사 사이트 + 마케팅팀
- 사장: 관리자
- 마케팅 매니저: 편집자 (글·페이지 자유 편집)
- 인턴: 기고자 (작성하지만 매니저 승인 후 발행)
시나리오 3: 멀티 저자 블로그
- 운영자: 관리자
- 편집장: 편집자 (전체 글 관리·승인)
- 저자들: 저자 (본인 글 발행)
시나리오 4: 회원제 사이트
- 본인: 관리자
- 회원: 구독자 (자동 가입)
- 댓글·다운로드만 가능
역할 외 추가 — 권한 확장 플러그인
기본 5가지로 부족하면 플러그인으로 커스텀:
- User Role Editor: 역할별 권한 세부 조정
- Members: 멤버십·역할 관리
- Advanced Access Manager: 가장 정밀
권한 확장은 신중히. 너무 복잡하면 관리 부담 ↑.
운영진 추가 안전 절차 (5단계)
1. 관리자 권한 부여 최소화
새 운영진은 편집자부터. 신뢰 확인 후 필요 시 관리자로 승격.
2. 개별 계정 발급
여러 명이 한 계정 공유 . 누가 무엇을 했는지 추적 불가.
3. 강한 비밀번호 + 2FA
- 12자+ 비밀번호
- 2단계 인증 (Wordfence·Google Authenticator 플러그인)
4. 활동 로그 모니터링
플러그인 Simple History 또는 WP Activity Log 설치 → 모든 사용자 활동 기록.
5. 인수인계 시 권한 회수
운영진 퇴사·계약 종료 시:
– 즉시 사용자 계정 삭제 또는 비활성화
– 비밀번호 변경
– 본인 작성 글은 다른 사용자로 이관 (삭제 시 옵션 제공)
보안 — 자주 발생하는 사고
사고 1: admin 계정 해킹
- 해커가
admin이라는 ID를 가장 먼저 시도 - 비밀번호만 뚫으면 모든 권한 탈취
예방:
– admin 사용 금지 (변경 또는 삭제)
– 모든 관리자 계정 2FA
– 로그인 시도 제한 플러그인 (Limit Login Attempts)
사고 2: 약한 비밀번호 brute-force
- 6자 일반 단어 → 사전 대입 등 자동화 공격에 매우 취약
예방:
– 12자+ 무작위
– 비밀번호 매니저 사용
– 2FA
사고 3: 운영진 계정에서 악성 코드 업로드
- 운영진 PC가 감염되어 본인도 모르게 사이트에 악성 코드 업로드
예방:
– 저자·기고자 등급으로 권한 제한
– 파일 업로드 제한
– 보안 플러그인의 파일 무결성 검사
사용자 메타 정보
각 사용자에 추가 정보 입력 가능:
- 본인 소개 (저자 페이지에 표시)
- SNS 링크
- 프로필 사진 (Gravatar 연동)
- 키보드 단축키 활성화
- 관리 색상 배치
사용자 데이터 내보내기
GDPR·개인정보보호법 대응:
도구 > 개인 데이터 내보내기 → 특정 사용자의 모든 데이터 ZIP 다운로드.
도구 > 개인 데이터 삭제 → 사용자 요청 시 모든 데이터 삭제.
자주 하는 실수
- 모든 사람을 관리자로 추가: 보안 사고 시 책임 분산 X
- 사용자명
admin사용: 해킹 1순위 - 공용 계정 사용: 추적·책임 분배 불가
- 퇴사자 계정 방치: 외부에서 비밀번호 변경 시도 가능
- 2FA 안 켬: 비밀번호만 뚫리면 끝
FAQ
Q. 사용자명을 나중에 변경할 수 있나요?
A. WordPress 기본에서는 변경 불가. 새 계정 만들고 옛 계정 삭제 → 글 이관. 또는 플러그인 (Username Changer) 사용.
Q. 운영진 중 한 명이 비밀번호 분실했습니다.
A. 본인이 “비밀번호 잊으셨나요” 클릭하면 이메일로 재설정 링크. 메일 못 받으면 관리자가 사용자 > 편집에서 직접 비밀번호 재설정.
Q. 사용자 삭제하면 그 사람이 쓴 글도 사라지나요?
A. 삭제 시 옵션. “모든 글을 OO 사용자에게 이관” 또는 “모든 글 삭제”. 일반적으로 이관 권장.
Q. 멤버십 사이트는 어떻게 운영하나요?
A. Paid Memberships Pro, MemberPress, WooCommerce Memberships 등 플러그인 활용. 무료 회원 → 구독자 역할 자동 부여.
Q. 관리자 권한을 일시적으로 위임할 수 있나요?
A. 별도 관리자 계정 추가 → 작업 끝나면 권한 강등 또는 삭제. 본인 계정 비밀번호 공유는 금물 .
관련 가이드
- 처음 시작하기
- 대시보드 둘러보기
- 보안 기초 7가지
- 보안 강화 가이드
- 홈페이지 유지보수 비용 안내 — 직접 관리가 부담될 때의 선택지와 비용 기준