Правильные права доступа к файлам для WordPress на PHP

Правильные права доступа для WordPress: полное руководство

Вы правы: права 777 — это грубейшая ошибка безопасности. Однако просто выставить 755/644 тоже недостаточно, потому что WordPress требует гибкого подхода. Давайте разберёмся по порядку.

Общее правило (безопасный минимум)

• Файлы (php, js, css, png, jpg): 644 (владелец — чтение+запись, группа — чтение, остальные — только чтение)
• Папки (директории): 755 (владелец — чтение+запись+выполнение, группа и остальные — чтение+выполнение)

Особые случаи для WordPress

WordPress часто работает в режиме, где веб-сервер (обычно www-data или nobody) и ваш FTP-пользователь — разные учётные записи. Поэтому некоторые папки требуют прав на запись для веб-сервера:

# Корневая папка WordPress
chmod 755 /var/www/wordpress
# Файлы в корне (index.php, wp-config.php и т.д.)
chmod 644 /var/www/wordpress/*.php
# wp-config.php — особо важный файл, можно 600 или 440
chmod 600 /var/www/wordpress/wp-config.php

# Папка wp-content и всё внутри
chmod 755 /var/www/wordpress/wp-content
chmod 755 /var/www/wordpress/wp-content/themes
chmod 755 /var/www/wordpress/wp-content/plugins
chmod 755 /var/www/wordpress/wp-content/uploads
# Для папки uploads может потребоваться 775, если веб-сервер — не владелец
chmod 775 /var/www/wordpress/wp-content/uploads

# .htaccess — обычно 644, но если Apache не может писать, то 664
chmod 644 /var/www/wordpress/.htaccess

# Папки wp-admin и wp-includes — только чтение
chmod 755 /var/www/wordpress/wp-admin
chmod 755 /var/www/wordpress/wp-includes

Почему 777 — это плохо?

Права 777 означают, что любой пользователь сервера (включая потенциально вредоносные скрипты) может читать, писать и выполнять ваши файлы. Если злоумышленник загрузит shell-скрипт в папку uploads, он получит полный контроль над сайтом.

Как определить правильного владельца

Выполните в SSH или через файловый менеджер:

# Узнать владельца файлов
ls -la /var/www/wordpress
# Обычно это user:group (например, myuser:www-data)
# Если владелец — myuser, а группа — www-data, то:
chown -R myuser:www-data /var/www/wordpress
chmod -R 755 /var/www/wordpress
find /var/www/wordpress -type f -exec chmod 644 {} \;
# Но для wp-content/uploads оставляем 775
chmod 775 /var/www/wordpress/wp-content/uploads

Проверка через PHP

Добавьте этот код в functions.php вашей темы для диагностики (потом удалите!):

add_action('admin_notices', function() {
    $uploads = wp_upload_dir();
    $path = $uploads['basedir'];
    if (is_writable($path)) {
        echo '<div class="notice notice-success">Папка uploads доступна для записи</div>';
    } else {
        echo '<div class="notice notice-error">Папка uploads НЕ доступна для записи!</div>';
    }
});

Итоговая таблица

После установки прав обязательно проверьте работу админки. Если что-то сломалось — временно поднимите права на конкретную папку, но никогда не ставьте 777 на всё подряд.

define('FS_METHOD', 'direct');