Al leer este tema y los temas anteriores, puedo ver que el funcionamiento actual es “por diseño”, pero no refleja los nuevos cambios en el sistema de invitaciones. Se ha vuelto mucho más fácil crear enlaces de invitación que pueden ser utilizados por personas desconocidas. Los enlaces de invitación ahora también pueden ser creados peligrosamente por el personal que agrega invitados a grupos que pueden tener acceso a categorías seguras en el sitio.
@Wall-E Tengo curiosidad por entender cómo es que tus enlaces de invitación caen en manos de personas que no deberían tener acceso a tu sitio. Presumiblemente, el personal de tu sitio sabrá tener cuidado de no crear enlaces de invitación que cualquiera pueda usar y compartirlos públicamente o en entornos donde las personas equivocadas puedan usarlos. Hasta cierto punto, el problema que enfrentas es un problema de capacitación del personal. No dudes en enviarme un mensaje privado con tu respuesta si contiene detalles sensibles.
Si existen enlaces de invitación actualmente que de alguna manera están comprometidos, puedes eliminarlos y crear nuevos y compartirlos con más cuidado en el futuro. Como administrador, también siempre puedes buscar en la página de invitaciones al usuario para ver quién ha canjeado sus invitaciones. Si tienes personal en el que no confías, puedes bajar sus privilegios a TL4, que tiene privilegios de moderador cercanos.
Veo tres posibles cursos de acción:
- No hacer nada. El sistema de invitaciones funciona según lo diseñado, el personal solo necesita tener cuidado con sus enlaces de invitación. Si tomamos esta ruta, sugiero cambiar la descripción de la configuración de administrador
debe aprobar usuariospara que quede muy claro que los enlaces de invitación creados por los administradores omiten esta configuración.
El personal debe aprobar todas las cuentas de usuario nuevas antes de que se les permita acceder al sitio. Nota: las invitaciones creadas por el personal omiten esta configuración y no requieren aprobación.
El pull request para este cambio está aquí: clarify that invites by staff bypass user approval by tobiaseigen · Pull Request #16966 · discourse/discourse · GitHub
-
Hacer (1) pero también agregar un paso de advertencia adicional de “estás seguro” cuando los administradores crean un enlace de invitación que se puede usar para obtener acceso inmediato al sitio. Solo en sitios con aprobación requerida.
-
Cambiar el comportamiento para que los enlaces de invitación creados por los administradores respeten la configuración de aprobación requerida al igual que las invitaciones de los no administradores.
Estoy de acuerdo con el OP en que el comportamiento actual es engañoso y tiene el potencial de causar problemas en los sitios cuando se requiere aprobación. Los sitios con esta configuración habilitada son extra cautelosos y necesitan este nivel adicional de control paranoico sobre quién puede obtener acceso.
Mi recomendación, por lo tanto, sería que elijamos la puerta número tres: hacer que todos los enlaces de invitación funcionen de la misma manera y respeten la configuración de debe aprobar usuarios.
Sin embargo, no creo que esto sea un error. Está funcionando según lo diseñado. Reclasificando como solicitud de características.