Δικαιώματα αρχείων: πότε γίνονται κίνδυνος

Τι είναι τα file permissions και γιατί σε αφορούν

Κάθε αρχείο και φάκελος σε έναν λογαριασμό hosting έχει τρία επίπεδα δικαιωμάτων: για τον ιδιοκτήτη (owner), για την ομάδα (group) και για όλους τους άλλους (other). Κάθε επίπεδο μπορεί να έχει δικαίωμα ανάγνωσης (read), εγγραφής (write) και εκτέλεσης (execute). Αυτό δεν είναι κάτι τεχνικό που αφορά μόνο τον server· είναι ρύθμιση που βλέπεις και διαχειρίζεσαι εσύ, μέσα από το File Manager του cPanel ή μέσα από jailed SSH στον δικό σου φάκελο.

Σε λογαριασμούς με CageFS, όπως συνηθίζεται στο shared και semi-dedicated hosting, ο δικός σου χρήστης βλέπει μόνο τα δικά του αρχεία. Αυτό μειώνει τον κίνδυνο ένας άλλος λογαριασμός στον ίδιο server να διαβάσει τα δικά σου αρχεία. Το CageFS όμως απομονώνει διαφορετικούς λογαριασμούς μεταξύ τους, όχι τα sites που βρίσκονται κάτω από τον ίδιο λογαριασμό hosting. Αν ένα WordPress site παραβιαστεί, ένα κακόβουλο PHP script μπορεί συνήθως να ενεργήσει με τα δικαιώματα του ίδιου cPanel user και να επηρεάσει άλλα αρχεία που ανήκουν στον ίδιο λογαριασμό — για παράδειγμα, ένα δεύτερο WordPress site μέσα στον ίδιο λογαριασμό μέσω addon domain.

Πώς διαβάζονται οι αριθμοί 644, 755, 600

Τα permissions συνήθως εμφανίζονται ως τριψήφιος αριθμός, όπου κάθε ψηφίο αντιστοιχεί σε owner, group και other, με τιμές από 0 έως 7 (άθροισμα read=4, write=2, execute=1):

• 644: ο owner διαβάζει και γράφει, όλοι οι άλλοι μόνο διαβάζουν. Τυπικό για αρχεία.
• 755: ο owner έχει πλήρη έλεγχο, οι άλλοι διαβάζουν και εκτελούν. Τυπικό για φακέλους.
• 600: μόνο ο owner διαβάζει και γράφει, κανείς άλλος δεν έχει καμία πρόσβαση. Χρησιμοποιείται για ευαίσθητα αρχεία.

Ποια είναι τα σωστά permissions για WordPress

Δεν υπάρχει ένας απόλυτος κανόνας για όλα τα setups, αλλά η ευρέως αποδεκτή σύμβαση για WordPress σε shared hosting είναι:

• Φάκελοι: 755
• Αρχεία: 644
• Το wp-config.php: 600 ή, ανάλογα με το ownership και τον τρόπο που εκτελείται η PHP, 400/440 ως hardened επιλογές

Το wp-config.php περιέχει τα credentials της βάσης δεδομένων σου, οπότε αξίζει να είναι ένα από τα πιο περιορισμένα αρχεία της εγκατάστασης. Η πρόσβαση ανάγνωσης πρέπει να περιορίζεται στον λογαριασμό σου και, όπου απαιτείται από το συγκεκριμένο server setup, στη διεργασία που εκτελεί την PHP. Η επίσημη τεκμηρίωση του WordPress αναφέρει τα 400/440 ως hardened επιλογές, ενώ παρουσιάζει και το 600 ως ασφαλή επιλογή σε κατάλληλα setups.

Τι κινδυνεύεις με λάθος permissions

Το πιο συνηθισμένο λάθος είναι να δίνει κάποιος permissions 777 σε φακέλους ή αρχεία, συχνά για να «λύσει» ένα πρόβλημα upload ή write access χωρίς να καταλάβει τι σημαίνει. Το 777 δίνει δικαίωμα εγγραφής σε owner, group και other και επομένως καταργεί έναν σημαντικό μηχανισμό περιορισμού πρόσβασης. Σε σύγχρονο shared hosting όπου η PHP τρέχει ως ο ίδιος ο λογαριασμός, το 777 συνήθως δεν είναι καν απαραίτητο για uploads ή updates — αν ένα plugin έχει ευπάθεια, όπως έχει συμβεί για παράδειγμα με σοβαρές ευπάθειες σε δημοφιλή plugins, ο κακόβουλος κώδικας μπορεί ήδη να γράψει σε αρχεία με 644 που ανήκουν στον ίδιο λογαριασμό. Αν μια εφαρμογή απαιτεί 777 για να λειτουργήσει, συνήθως υπάρχει πρόβλημα στο ownership ή στη ρύθμιση του server.

Αντίστροφα, υπερβολικά περιορισμένα permissions (π.χ. 400 σε φακέλους) μπορεί να εμποδίσουν το ίδιο το WordPress να γράψει uploads, να ενημερώσει plugins ή να δημιουργήσει cache αρχεία, με αποτέλεσμα σφάλματα τύπου «permission denied» στο admin.

Πώς ελέγχεις και διορθώνεις τα permissions

Μέσα από το File Manager του cPanel

Επίλεξε ένα αρχείο ή φάκελο, πάτα δεξί κλικ και «Change Permissions». Θα δεις τρία checkbox με read/write/execute για κάθε επίπεδο. Η αλλαγή εφαρμόζεται στο συγκεκριμένο αρχείο ή φάκελο που έχεις επιλέξει — αν χρειάζεται να αλλάξεις permissions σε πολλά αρχεία μαζί, είναι πιο πρακτικό να το κάνεις μέσα από SSH, όπως παρακάτω.

Μέσα από jailed SSH

Αν έχεις πρόσβαση SSH στον λογαριασμό σου, μπορείς να διορθώσεις permissions πιο γρήγορα και με ακρίβεια, ξεχωρίζοντας αρχεία από φακέλους:

find /home/χρηστης/public_html -type d -exec chmod 755 {} \;
find /home/χρηστης/public_html -type f -exec chmod 644 {} \;
chmod 600 /home/χρηστης/public_html/wp-config.php

Αν δεν έχεις χρησιμοποιήσει ποτέ SSH στον λογαριασμό σου, δες πρώτα πώς γίνεται η βασική πρόσβαση SSH σε jailed shell. Αν προτιμάς γραφικό περιβάλλον, η διαχείριση αρχείων μέσα από το File Manager και το FTP καλύπτει τις ίδιες ανάγκες χωρίς εντολές.

Πότε αξίζει να τα ξανακοιτάξεις

Τα permissions δεν χαλάνε μόνα τους, αλλά υπάρχουν στιγμές που αξίζει να τα ελέγξεις ξανά:

• Μετά από restore από backup, ειδικά αν το backup προέρχεται από άλλο hosting περιβάλλον με διαφορετικές default ρυθμίσεις.
• Μετά από μεταφορά site μεταξύ providers, όπου κάποια εργαλεία μεταφοράς αλλάζουν permissions χωρίς να το προσέξεις.
• Όταν κάποιο plugin ή theme προτείνει «δώστε 777 για να λειτουργήσει» — αυτό είναι σχεδόν πάντα λάθος πρακτική και συνήθως σημαίνει ότι πρέπει να ελεγχθεί το ownership ή η ρύθμιση του server.
• Αν υποψιάζεσαι ότι το site σου έχει παραβιαστεί, ο έλεγχος permissions σε συνδυασμό με έλεγχο αρχείων που τροποποιήθηκαν πρόσφατα είναι ένα από τα πρώτα βήματα.

Τα file permissions είναι από τα πιο βασικά, αλλά και πιο παραμελημένα σημεία ασφάλειας σε ένα WordPress site. Δεν απαιτούν ειδικές γνώσεις server administration, μόνο λίγα λεπτά ελέγχου μέσα από εργαλεία που έχεις ήδη διαθέσιμα. Αν θέλεις να δεις τη μεγαλύτερη εικόνα της ασφάλειας μιας εγκατάστασης WordPress, τα βασικά βήματα ασφάλειας WordPress καλύπτουν και άλλα σημεία εκτός από τα permissions.