Izin file yang benar untuk WordPress [ditutup]

Saya sudah melihat-lihat di sini tetapi tidak menemukan detail tentang izin file terbaik. Saya juga melihat beberapa pertanyaan bentuk WordPress di sini juga, tetapi siapa pun yang menyarankan 777 jelas membutuhkan sedikit pelajaran tentang keamanan.

Singkatnya pertanyaan saya adalah ini. Izin apa yang harus saya miliki untuk yang berikut:

1. folder root menyimpan semua konten WordPress
2. wp-admin
3. konten-wp
4. wp-termasuk

dan kemudian semua file di masing-masing folder itu?

Ketika Anda mengatur WP Anda (server web) mungkin perlu akses tulis ke file. Jadi hak akses mungkin harus longgar.

chown www-data:www-data  -R * # Let Apache be owner
find . -type d -exec chmod 755 {} \;  # Change directory permissions rwxr-xr-x
find . -type f -exec chmod 644 {} \;  # Change file permissions rw-r--r--

Setelah pengaturan, Anda harus memperketat hak akses , menurut Hardening WordPress, semua file kecuali konten wp hanya dapat ditulis oleh akun pengguna Anda saja. wp-content juga harus dapat ditulis oleh www-data .

chown <username>:<username>  -R * # Let your useraccount be owner
chown www-data:www-data wp-content # Let apache be owner of wp-content

Mungkin Anda ingin mengubah konten di wp-content nanti. Dalam hal ini Anda bisa

• untuk sementara waktu mengubah pengguna menjadi www-data dengan su,
• memberikan akses tulis grup konten wp-konten 775 dan bergabung dengan grup www-data atau
• memberi pengguna Anda hak akses ke folder menggunakan ACL .

Apa pun yang Anda lakukan, pastikan file memiliki izin untuk data-www .

Memberikan akses penuh ke semua file wp kepada www-datapengguna (yang dalam hal ini pengguna server web) bisa berbahaya. Jadi, JANGAN lakukan ini:

chown www-data:www-data -R *

Namun itu dapat berguna pada saat Anda menginstal atau meningkatkan WordPress dan plug-in-nya. Tetapi ketika Anda selesai, itu bukan ide yang baik untuk menyimpan file wp yang dimiliki oleh server web.

Ini pada dasarnya memungkinkan server web untuk meletakkan atau menimpa file apa pun di situs web Anda. Ini berarti bahwa ada kemungkinan untuk mengambil alih situs Anda jika seseorang berhasil menggunakan server web (atau lubang keamanan dalam beberapa skrip .php) untuk meletakkan beberapa file di situs web Anda.

Untuk melindungi situs Anda dari serangan semacam itu, Anda harus melakukan hal berikut:

Semua file harus dimiliki oleh akun pengguna Anda, dan harus dapat ditulis oleh Anda. File apa pun yang memerlukan akses tulis dari WordPress harus dapat ditulisi oleh server web, jika hosting Anda memerlukannya, itu mungkin berarti file-file tersebut harus dimiliki kelompok oleh akun pengguna yang digunakan oleh proses server web.

/

Direktori root WordPress: semua file hanya dapat ditulis oleh akun pengguna Anda, kecuali .htaccess jika Anda ingin WordPress secara otomatis menghasilkan aturan penulisan ulang untuk Anda.

/wp-admin/

Area administrasi WordPress: semua file hanya dapat ditulis oleh akun pengguna Anda.

/wp-includes/

Sebagian besar logika aplikasi WordPress: semua file hanya dapat ditulis oleh akun pengguna Anda.

/wp-content/

Konten yang disediakan pengguna: dimaksudkan untuk dapat ditulis oleh akun pengguna Anda dan proses server web.

Di dalam /wp-content/Anda akan menemukan:

/wp-content/themes/

File tema. Jika Anda ingin menggunakan editor tema bawaan, semua file harus dapat ditulis oleh proses server web. Jika Anda tidak ingin menggunakan editor tema bawaan, semua file hanya dapat ditulis oleh akun pengguna Anda.

/wp-content/plugins/

File plugin: semua file hanya dapat ditulis oleh akun pengguna Anda.

Direktori lain yang mungkin hadir /wp-content/harus didokumentasikan oleh plugin atau tema mana saja yang memerlukannya. Izin dapat bervariasi.

Sumber dan informasi tambahan: http://codex.wordpress.org/Hardening_WordPress

Bagi mereka yang memiliki folder root wordpress di bawah folder home mereka:

** Ubuntu / apache

1. Tambahkan pengguna Anda ke grup data-www:

KREDIT Pemberian izin menulis ke grup data-www

Anda ingin memanggil usermodpengguna Anda. Jadi itu akan menjadi:

sudo usermod -aG www-data yourUserName

** Asumsikan www-dataada kelompok

2. Periksa pengguna Anda dalam www-datagrup:

   groups yourUserName

Anda harus mendapatkan sesuatu seperti:

youUserName : youUserGroupName www-data

** youUserGroupName biasanya mirip dengan nama pengguna Anda

3. Ubah kepemilikan grup folder konten wp secara rekursif untuk menjaga kepemilikan pengguna Anda

   chown yourUserName:www-data -R youWebSiteFolder/wp-content/*

4. Ubah direktori menjadi youWebSiteFolder / wp-content /

   cd youWebSiteFolder/wp-content

5. Secara berkala mengubah izin grup folder dan sub-folder untuk memungkinkan izin menulis:

   find . -type d -exec chmod -R 775 {} \;

Mode ** `/ home / yourUserName / youWebSiteFolder / wp-content / 'berubah dari 0755 (rwxr-xr-x) menjadi 0775 (rwxrwxr-x)

6. Secara berkala mengubah izin grup file dan sub-file untuk memungkinkan izin menulis:

   find . -type f -exec chmod -R 664 {} \;

Hasilnya akan terlihat seperti:

WAS:
-rw-r--r--  1 yourUserName www-data  7192 Oct  4 00:03 filename.html
CHANGED TO:
-rw-rw-r--  1 yourUserName www-data  7192 Oct  4 00:03 filename.html

Setara dengan:

chmod -R ug + rw foldername

Izin akan seperti 664 untuk file atau 775 untuk direktori.

Jika ada orang yang menemukan kesalahan 'could not create directory'ketika memperbarui plugin, lakukan:
server@user:~/domainame.com$ sudo chown username:www-data -R wp-content
ketika Anda berada di root domain Anda.
Dengan asumsi: wp-config.phpmemiliki
kredensial FTP di LocalHost
define('FS_METHOD','direct');

Cara terbaik untuk membaca dokumentasi wordpress di https://wordpress.org/support/article/changing-file-permissions/

• Semua file harus dimiliki oleh akun pengguna yang sebenarnya, bukan akun pengguna yang digunakan untuk proses httpd
• Kepemilikan grup tidak relevan, kecuali ada persyaratan grup khusus untuk pemeriksaan izin proses server web. Ini biasanya tidak demikian.
• Semua direktori harus berukuran 755 atau 750.
• Semua file harus 644 atau 640. Pengecualian: wp-config.php harus 440 atau 400 untuk mencegah pengguna lain di server membacanya.
• Tidak ada direktori yang seharusnya diberikan 777, bahkan mengunggah direktori. Karena proses php berjalan sebagai pemilik file, ia mendapatkan izin pemilik dan dapat menulis bahkan ke direktori 755.

Saya menetapkan izin untuk:

    # Set all files and directories user and group to wp-user
    chown wp-user:wp-user -R *

    # Set uploads folder user and group to www-data
    chown www-data:www-data -R wp-content/uploads/

    # Set all directories permissions to 755
    find . -type d -exec chmod 755 {} \;

    # Set all files permissions to 644
    find . -type f -exec chmod 644 {} \;

Dalam kasus saya, saya membuat pengguna tertentu untuk WordPress yang berbeda dari pengguna default apache yang mencegah akses dari web ke file-file yang dimiliki oleh pengguna itu.

Kemudian itu memberikan izin kepada pengguna apache untuk menangani folder unggahan dan akhirnya mengatur cukup izin file dan folder.

Diedit

Jika Anda menggunakan W3C Total Cache, Anda harus melakukan yang berikut juga:

rm -rf wp-content/cache/config
rm -rf wp-content/cache/object
rm -rf wp-content/cache/db
rm -rf wp-content/cache/minify
rm -rf wp-content/cache/page_enhanced

Maka itu akan berhasil!

Diedit

Setelah beberapa saat mengembangkan situs WordPress, saya akan merekomendasikan izin file yang berbeda per lingkungan:

Dalam produksi, saya tidak akan memberikan akses kepada pengguna untuk memodifikasi sistem file, saya hanya akan mengizinkan mereka untuk mengunggah sumber daya dan memberikan akses ke beberapa plugin folder tertentu untuk melakukan backup, dll. Tetapi mengelola proyek di bawah Git dan menggunakan kunci penyebaran di server, itu bukan plugin pembaruan yang baik pada pementasan atau produksi. Saya meninggalkan di sini pengaturan file produksi:

# Set uploads folder user and group to www-data
chown www-data:www-data -R wp-content/uploads/

www-data: www-data = apache atau nginx pengguna dan grup

Pementasan akan berbagi izin produksi yang sama seperti yang seharusnya merupakan tiruan dari itu.

Akhirnya, lingkungan pengembangan akan memiliki akses untuk memperbarui plugin, terjemahan, semuanya ...

# Set uploads folder user and group to www-data
chown www-data:www-data -R wp-content/

# Set uploads folder user and group to www-data
chown your-user:root-group -R wp-content/themes

# Set uploads folder user and group to www-data
chown your-user:root-group -R wp-content/plugins/your-plugin

www-data: www-data = pengguna apache atau nginx dan kelompokkan pengguna Anda: root-group = pengguna Anda saat ini dan grup root

Izin ini akan memberi Anda akses untuk mengembangkan di bawah themesdan your-pluginfolder tanpa meminta izin. Sisa konten akan dimiliki oleh pengguna Apache atau Nginx untuk memungkinkan WP mengelola sistem file.

Sebelum membuat git repo, jalankan dahulu perintah ini:

# Set all directories permissions to 755
find . -type d -exec chmod 755 {} \;

# Set all files permissions to 644
find . -type f -exec chmod 644 {} \;

Izin yang benar untuk file adalah 644 Izin yang benar untuk folder adalah 755

Untuk mengubah izin, gunakan terminal dan perintah berikut.

find foldername -type d -exec chmod 755 {} \;
find foldername -type f -exec chmod 644 {} \;

755 untuk folder dan 644 untuk file.

Saya pikir aturan di bawah ini direkomendasikan untuk situs wordpress default:

• Untuk folder di dalam konten-wp, atur 0755 izin:

  chmod -R 0755 plugins

  chmod -R 0755 unggahan

  chmod -R 0755 ditingkatkan

• Biarkan pengguna apache menjadi pemilik untuk direktori konten-wp di atas:

  unggahan apache chown

  pemutakhiran apache chown

  plugin apache chown

Ini sebenarnya tergantung pada plugin yang Anda rencanakan untuk digunakan karena beberapa plugin mengubah dokumen root dari wordpress. tetapi secara umum saya merekomendasikan sesuatu seperti ini untuk direktori wordpress.

Ini akan menetapkan "root" (atau apa pun pengguna yang Anda gunakan) sebagai pengguna di setiap file / folder tunggal, R berarti rekursif, jadi itu tidak berhenti di folder "html". jika Anda tidak menggunakan R, maka itu hanya berlaku untuk direktori "html".

sudo chown -R root:www-data /var/www/html  

Ini akan mengatur pemilik / grup "wp-content" menjadi "www-data" dan dengan demikian memungkinkan server web untuk menginstal plugin melalui panel admin.

chown -R www-data:www-data /var/www/html/wp-content

Ini akan mengatur izin setiap file dalam folder "html" (Termasuk file dalam subdirektori) menjadi 644, sehingga orang luar tidak dapat mengeksekusi file apa pun, memodifikasi file apa pun, grup tidak dapat mengeksekusi file apa pun, memodifikasi file apa saja dan hanya pengguna diizinkan untuk memodifikasi / membaca file, tetapi bahkan pengguna tidak dapat menjalankan file apa pun. Ini penting karena mencegah segala jenis eksekusi di folder "html", juga karena pemilik folder html dan semua folder lain kecuali folder konten-wp adalah "root" (atau pengguna Anda), data-www dapat ' t memodifikasi file apa pun di luar folder konten-wp, jadi walaupun ada kerentanan di server web, dan jika seseorang mengakses situs secara tidak sah, mereka tidak dapat menghapus situs utama kecuali plugin.

sudo find /var/www/html -type f -exec chmod 644 {} +

Ini akan membatasi izin untuk mengakses "wp-config.php" untuk pengguna / grup dengan rw-r ----- izin ini.

chmod 640 /var/www/html/wp-config.php

Dan jika plugin atau pembaruan mengeluh tidak dapat memperbarui, maka akses ke SSH dan gunakan perintah ini, dan berikan izin sementara untuk "www-data" (server web) untuk memperbarui / menginstal melalui panel admin, dan kemudian kembali kembali ke "root" atau pengguna Anda setelah selesai.

chown -R www-data /var/www/html

Dan di Nginx (prosedur yang sama untuk apache) untuk melindungi folder wp-admin dari akses yang tidak sah, dan menyelidiki. apache2-utils diperlukan untuk mengenkripsi kata sandi bahkan jika Anda telah menginstal nginx, hilangkan c jika Anda berencana untuk menambah lebih banyak pengguna ke file yang sama.

sudo apt-get install apache2-utils
sudo htpasswd -c /etc/nginx/.htpasswd userName

Sekarang kunjungi lokasi ini

/etc/nginx/sites-available/

Gunakan kode ini untuk melindungi folder "wp-admin" dengan kata sandi, sekarang akan menanyakan kata sandi / nama pengguna jika Anda mencoba mengakses "wp-admin". perhatikan, di sini Anda menggunakan file ".htpasswd" yang berisi kata sandi terenkripsi.

location ^~ /wp-admin {
    auth_basic "Restricted";
    auth_basic_user_file /etc/nginx/.htpasswd;
    index  index.php index.html index.htm;
}

Sekarang restart nginx.

sudo /etc/init.d/nginx restart

Perintah:

chown www-data:www-data -R *
find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;

Di mana ftp-user adalah pengguna yang Anda gunakan untuk mengunggah file

chown -R ftp-user:www-data wp-content
chmod -R 775 wp-content

Untuk benar-benar memastikan bahwa situs web Anda aman dan Anda menggunakan izin yang benar untuk folder Anda, gunakan plugin keamanan seperti ini:

https://en-ca.wordpress.org/plugins/all-in-one-wp-security-and-firewall/

https://en-ca.wordpress.org/plugins/wordfence/

Plugin ini akan memindai instalasi Wordpress Anda dan memberi tahu Anda tentang masalah potensial. Ini juga akan memperingatkan Anda tentang izin folder tidak aman. Selain itu, plugin ini akan merekomendasikan kepada Anda izin apa yang harus diberikan ke folder.

chown -Rv www-data:www-data
chmod -Rv 0755 wp-includes
chmod -Rv 0755 wp-admin/js
chmod -Rv 0755 wp-content/themes
chmod -Rv 0755 wp-content/plugins
chmod -Rv 0755 wp-admin
chmod -Rv 0755 wp-content
chmod -v 0644 wp-config.php
chmod -v 0644 wp-admin/index.php
chmod -v 0644 .htaccess

Saya tidak dapat memberi tahu Anda apakah ini benar atau tidak, tetapi saya menggunakan gambar Bitnami melalui Google Compute App Engine. Saya mengalami masalah dengan plugin dan migrasi, dan setelah mengacaukan semuanya dengan izin chmod'ing, saya menemukan tiga baris ini yang menyelesaikan semua masalah saya. Tidak yakin apakah itu cara yang tepat tetapi berhasil untuk saya.

sudo chown -R bitnami:daemon /opt/bitnami/apps/wordpress/htdocs/
sudo find /opt/bitnami/apps/wordpress/htdocs/ -type f -exec chmod 664 {} \;
sudo find /opt/bitnami/apps/wordpress/htdocs/ -type d -exec chmod 775 {} \;

Untuk OS X gunakan perintah ini:

sudo chown -R www:www /www/folder_name

Tentukan dalam file wp_config.

/var/www/html/Anda-Project-File/wp-config.php

define( 'FS_METHOD', 'direct' );

chown - mengubah kepemilikan file / dir. Yaitu. pemilik file / dir berubah ke yang ditentukan, tetapi tidak mengubah izin.

sudo chown -R www-data:www-data /var/www

Berdasarkan semua bacaan dan penderitaan di situs saya sendiri dan setelah diretas, saya menemukan daftar di atas yang mencakup izin untuk plugin keamanan untuk Wordpress yang disebut Wordfence. (Tidak berafiliasi dengan itu)

Dalam contoh kami, root dokumen wordpress adalah /var/www/html/example.com/public_html

Buka izin sehingga www-data dapat menulis ke root dokumen sebagai berikut:

cd /var/www/html/example.com
sudo chown -R www-data:www-data public_html/

Sekarang dari dasbor di situs Anda, sebagai admin Anda dapat melakukan pembaruan.

Situs Aman setelah Pembaruan selesai dengan mengikuti langkah-langkah ini:

sudo chown -R wp-user:wp-user public_html/

Perintah di atas mengubah izin semua yang ada di wordpress untuk pengguna FTP wordpress.

cd public_html/wp-content
sudo chown -R www-data:wp-user wflogs
sudo chown -R www-data:wp-user uploads

Perintah di atas memastikan bahwa plugin keamanan Wordfence memiliki akses ke log-nya. Direktori unggahan juga dapat ditulisi oleh www-data.

cd plugins
sudo chown -R www-data:wp-user wordfence/

Perintah di atas juga memastikan bahwa plugin keamanan memerlukan akses baca tulis untuk fungsinya yang tepat.

Izin Direktori dan File

# Set all directories permissions to 755
find . -type d -exec chmod 755 {} \;

# Set all files permissions to 644
find . -type f -exec chmod 644 {} \;

Atur izin untuk wp-config.php ke 640 sehingga hanya pengguna-wp yang dapat membaca file ini dan tidak ada orang lain. Izin 440 tidak berfungsi untuk saya dengan kepemilikan file di atas.

sudo chmod 640 wp-config.php

Pembaruan otomatis Wordpress menggunakan SSH bekerja dengan baik dengan PHP5 tetapi putus dengan PHP7.0 karena masalah dengan php7.0-ssh2 bundeld dengan Ubuntu 16.04 dan saya tidak dapat menemukan cara menginstal versi yang tepat dan membuatnya bekerja. Untungnya plugin yang sangat andal bernama ssh-sftp-updater-support (gratis) memungkinkan pembaruan otomatis menggunakan SFTP tanpa perlu libssh2. Jadi izin di atas tidak pernah harus dilonggarkan kecuali dalam kasus yang jarang diperlukan.