---
title: 員工與外包帳號該給什麼權限？別共用管理員
description: 每人一個帳號、角色剛好夠用；管理員開兩步驟驗證；串接工具用應用程式密碼，離職或換工具就撤銷。
url: "https://wptoolbear.com/docs/wordpress-staff-account-roles-2fa/"
updated: "2026-09-13"
category: 會員・登入・權限
---

# 員工與外包帳號該給什麼權限？別共用管理員

**快速答案：**每個人一個帳號，角色給到「剛好夠用」：只看訂單不改設定的秘書給商店管理員或自訂的唯讀角色、只寫文章的外包給作者、管課程的講師給 LMS 的講師角色、要編頁面的人另外在 Elementor 的角色管理裡開權限。管理員留兩個人以內、全部開兩步驟驗證；串接工具用「應用程式密碼」而不是本人的登入密碼。

## 為什麼會這樣

WordPress 預設角色只有訂閱者、投稿者、作者、編輯、管理員，WooCommerce 再加顧客與商店管理員。商店管理員能看訂單、改商品、看報表，但也能改運費與金流設定；如果只是要「看」訂單，內建沒有唯讀角色。Elementor 又有自己的角色管理員，就算給了編輯角色，沒在那裡開權限也看不到「使用 Elementor 編輯」的按鈕。

共用帳號和兩步驟驗證會打架：驗證碼只到一個人的手機。票務人員輪流登入同一個帳號就是典型情況，解法是每人一個帳號，不是關掉驗證。

應用程式密碼是給程式用的第二組密碼（自動化工具、SMTP 外掛、手機 App、遠端管理工具），它跟本人的登入一樣能操作後台，來源不明的應用程式密碼等於後門。有些站沒有 HTTPS 或被資安外掛停用，會顯示無法建立應用程式密碼。

## 怎麼處理

1. 使用者 → 全部使用者 → 篩選管理員：每一個都要認得。不認得的先改登入密碼並停用，確認後再刪。
2. 依工作給角色：只看訂單，用角色編輯外掛（Members、User Role Editor）複製商店管理員再拿掉「管理 WooCommerce 設定」；寫文章給作者或編輯；換 banner、改頁面給編輯並在 Elementor 開放。
3. Elementor → 設定 → 角色管理員，勾選要開放的角色。
4. 課程站：Tutor LMS 之類的外掛有講師角色，加上管理課程的設定就夠，不必給管理員。
5. 兩步驟驗證：管理員與商店管理員一律開，用穩定的外掛（Two Factor、Wordfence 內建的 2FA），備援碼交給負責人保管。
6. 應用程式密碼在使用者 → 個人資料 → 應用程式密碼建立，每個工具一組、命名清楚，換工具或離職就撤銷；定期看每個管理員名下的清單。
7. 離職當天把帳號改成「無角色」而不是刪除，訂單與文章不會失去作者；必要時限制同時登入的工作階段數。

## 我們實際遇過的情況

一家電商的老闆問，有沒有一種角色可以查訂單但不能做任何更改：內建沒有，做法是用角色編輯外掛複製商店管理員再拿掉設定權限。一個課程平台的票務人員共用一個帳號，每場活動不一定誰登入，客戶反映每次都要驗證很麻煩；共用帳號跟兩步驟驗證天生打架，那個站是先用人機驗證擋著，兩步驟驗證另外排。

資安盤點時，在一個站的管理員帳號底下發現幾組來源不明的應用程式密碼，要逐組確認是哪個工具建的，認不出來的就撤銷。也有站是後台冒出沒看過的管理員，查下去是主機商一鍵登入功能自己建的，不是入侵。

## 什麼時候該找人

管理員清單裡有你不認識的帳號、或應用程式密碼莫名多出來，要當成資安事件處理，不只是刪掉帳號。要為多個站一次整理帳號與角色、或客製角色跟外掛權限衝突，交給固定維護的人比較穩。

## 常見問題

### 想讓秘書看訂單但不能改設定，該給什麼角色？

WooCommerce 內建沒有唯讀角色，用角色編輯外掛複製商店管理員，再拿掉管理設定的權限。

### 編輯角色為什麼看不到 Elementor 的編輯按鈕？

Elementor 有自己的角色管理員，要在 Elementor → 設定 → 角色管理員勾選開放。

### 應用程式密碼是什麼，需要管嗎？

給程式用的第二組登入憑證，權限跟本人一樣；來源不明的要撤銷，每個工具一組並定期盤點。

網站正在出這個問題？[網站救援當日受理](https://wptoolbear.com/rescue/)；想有人每月幫你顧著：[網站守護方案](https://wptoolbear.com/guardian/)。先看體質：[免費健檢](https://wptoolbear.com/wordpress-website-health-check/)。