Права доступу, що встановлюються на файли і папки, що належать системі управління контентом WordPress, мають дуже серйозний вплив на безпеку сайту. Якщо роздати неправильні права, то можна очікувати різноманітні помилки у функціонуванні сайту, будь то білий екран смерті замість сторінки, або неможливість завантажити зображення в папку для мультимедіа. Більш того, неправильно виставлені права доступу можуть зруйнувати всю систему безпеки сайту, зробивши його надзвичайно вразливим перед атаками хакерів.
WordPress має чітко визначену структуру каталогу, в якому центральні папки - це wp-content, wp-admin і wp-includes.
Майже всі важливі компоненти, що входять до складу вашого сайту, такі як теми, плагіни і т.д. містять саме три ці папки. При цьому, вони мають власні права доступу, що дозволяють адміністратору вирішити, «кому» і «що» можна робити в них. Під «кому» тут мається на увазі користувач, у якого будуть наступні асоціації з ресурсами:
- Власник - пряме володіння;
- Група - володіння через входження в групу;
- Інші - відсутність володіння і групи.
Користувачі веб-сервера і їх групи
Будь-який окремо взятий користувач, може так само складатися в якійсь групі, що має свої власні привілеї. Оскільки вони поширюються на всіх, хто входить в групу, то це найкращий спосіб для призначення привілеїв конкретного ресурсу і поділу їх між усіма учасниками.
Дозволи на дії з файлами WordPress
- 6 - дії для власника;
- 6 - дії для групи;
- 4 - дії для інших типів.
При цьому, кожне значення зазначених цифр визначає всі можливості, які має даний тип користувачів. У випадку з 664, 6 - це тільки читання і запис, а 4 - тільки читання.
На каталоги, як і на самі файли, теж можуть діяти певні права доступу. Вони дуже схожі, але все таки мають деякі відмінності, такі як:
- Читати - переглядати вміст каталогу;
- Писати - створювати нові і видаляти існуючі (при цьому, права для каталогу поширюються на все, що в ньому міститься);
- Виконувати - заходити в каталоги (наприклад, скориставшись командою в терміналі).
Виставляти правильні обмеження життєво важливо, оскільки мова йде про безпеку, а не тільки про функціональність Вордпресс. Взяти, наприклад, config.php, йому бажано виставляти жорстке обмеження 600 (тільки для читання). Припустимо, що його права змінюватися на 666, тоді будь-яка людина зможе побачити і змінити конфігурацію вашого сайту, а значить зможе легко зламати його або зробити вразливим перед зовнішніми загрозами.
Зміна дозволів на дії в каталогах WordPress
Cpanel вашого хостингу забезпечує інтерфейс, в якому є можливість встановлювати будь-який рівень доступу для зберігаються ресурсів. Найчастіше, це можна зробити простим вибором конкретного файлу і натисканням «Змінити дозволи». Якщо ви маєте справу з терміналом, то простіше буде застосовувати спеціальну команду chmod. Вона виглядає так: chmod 644
Рекомендовані дозволу в WordPress
Тепер, коли основні поняття ми вже розібрали, можна приступити безпосередньо до установки дозволів на ресурси WordPress. Вони можуть бути різними, в залежності від бажаного рівня безпеки і зручності використання. Деякі роблять їх більш жорсткими, а інші занадто м'якими. У цій справі, найважливіше досягти найбільшої безпеки, не створюючи перешкод для нормального функціонування Вордпресс. Взагалі, рекомендується робити наступне:
- Поставити на всі файли 664;
- На все папки 775;
- wp-config.php повинен бути тільки 600.
Ось, що вийде:
Майте на увазі, що всупереч стандартній конфігурації Вордпресс, якийсь конкретний сервер може бути суворішим, ніж інші, і не дозволить виставити 600 на wp-config.php. Але ви можете вказати йому більш м'яке 640, а якщо це не спрацює, то навіть 644.
Взагалі, безпечніше всього поставити на всі «тільки для читання». Таким чином, хакерам буде дуже важко завантажувати шкідливі скрипти на ваш сайт або модифікувати існуючі. Це дозволить значно скоротити масштаби для будь-яких атак. Однак, якщо поставити на абсолютно всі «тільки для читання», то можливі деякі проблеми в юзабіліті.
Наприклад, у вас більше не буде можливості закачувати медіафайли, а також встановлювати нові плагіни і теми. Крім того, при деяких обставинах, такі суворі дозволу можуть привести до дивних помилок під час оновлення плагінів або ядра Вордпресс. Отже, рекомендовані значення за замовчуванням будуть найкраще працювати для вирішення більшості завдань.
висновок
І так, ми розглянули, яку важливу роль відіграють дозволу для доступу до ресурсів WordPress. Якщо вони задані правильно, то це може значно посилити заходи безпеки вашого сайту, інакше можна отримати безліч проблем, включаючи дуже серйозні, як з безпекою, так і з загальною працездатністю Вордпресс. Майте на увазі, що ви можете також поставити обмеження на ресурси Вордпресс через Htaccess, але це вже буде трохи складніше.
Схожі матеріали
