Qué son los permisos de archivos
Los permisos de archivos determinan quién puede leer, escribir o ejecutar cada archivo y carpeta de tu WordPress en el servidor, y si están demasiado abiertos, facilitan que un atacante modifique tu web. También se conocen como «file permissions» o, técnicamente, «chmod».
Es como las llaves de un edificio de oficinas: no todo el mundo debería tener llave de todas las puertas, solo de las que necesita para su trabajo; cuantas más puertas pueda abrir cualquiera, más fácil es que alguien entre donde no debería. En un servidor, cada archivo y carpeta de tu WordPress tiene asignados unos permisos que determinan quién puede leerlo, modificarlo o ejecutarlo; cuando esos permisos son más abiertos de lo necesario, cualquier vulnerabilidad que consiga acceso parcial a tu web puede aprovechar esos permisos amplios para modificar archivos que no debería poder tocar.
Cómo funciona
- Cada archivo y carpeta de tu instalación de WordPress tiene asignados unos permisos concretos en el servidor.
- Esos permisos definen si se puede leer, escribir o ejecutar ese archivo, y quién puede hacerlo (el propietario, el grupo, cualquiera).
- Si los permisos están demasiado abiertos (por ejemplo, permitiendo escritura a cualquiera), cualquier código que consiga ejecutarse en el servidor puede modificar esos archivos sin restricción.
- Con los permisos correctamente ajustados, solo los procesos y usuarios estrictamente necesarios pueden modificar cada archivo.
- Revisar y corregir permisos demasiado abiertos reduce el daño que puede causar una vulnerabilidad, aunque no la elimina por sí solo.
Ejemplo
Una tienda de telefonía y accesorios en Melilla había sido migrada de hosting por un proveedor anterior que, para evitar problemas técnicos, había dejado permisos de escritura muy abiertos en carpetas que no deberían tenerlos, incluyendo archivos del núcleo de WordPress. Al revisar la seguridad de la web, ajustamos los permisos de cada carpeta y archivo a los valores recomendados para WordPress, manteniendo solo la escritura necesaria en las carpetas que de verdad la requieren, como la de subida de archivos.
Señales de que te afecta
- Un análisis de seguridad señala permisos de archivos demasiado abiertos en tu instalación.
- Tu web ha sido migrada varias veces de hosting y nunca se ha revisado específicamente este punto.
- Has sufrido una infección de malware anterior que modificó archivos que no deberían haber sido accesibles.
- No sabes qué permisos tienen asignados los archivos y carpetas de tu WordPress.
Cómo lo resolvemos
Revisamos los permisos de todos los archivos y carpetas de tu WordPress, los ajustamos a los valores recomendados (ni demasiado abiertos ni tan restrictivos que impidan el funcionamiento normal) y comprobamos que la web sigue funcionando correctamente tras el cambio. Si quieres que revisemos este punto en tu web, en nuestro servicio de seguridad WordPress nos encargamos de ello. Unos permisos demasiado abiertos agravan el daño que puede causar un malware si consigue entrar, y revisarlos forma parte de cualquier proceso de hardening.
Preguntas frecuentes
¿Puedo ajustar yo mismo los permisos de archivos?
Es posible si tienes acceso al servidor y sabes qué valores corresponden a cada tipo de archivo o carpeta, pero un ajuste incorrecto puede romper el funcionamiento de la web, así que conviene hacerlo con conocimiento o que lo revise alguien con experiencia.
¿Unos permisos muy restrictivos son siempre más seguros?
No necesariamente: si son demasiado restrictivos, WordPress puede dejar de funcionar correctamente (por ejemplo, no poder subir imágenes), así que el objetivo es el equilibrio correcto, no el máximo cierre posible.
¿Los permisos de archivos cambian solos con el tiempo?
No deberían, pero una migración de hosting, una restauración de copia de seguridad o la instalación de ciertos plugins pueden alterarlos sin que nadie lo note, por eso conviene revisarlos de vez en cuando.