Un guide du débutant sur les autorisations de fichiers WordPress

Faites-nous confiance lorsque nous disons que vous ne voulez pas de free-for-all sur votre site WordPress. Une hiérarchie de serveurs et de fichiers ouverte est comme du sang pour un requin pour les utilisateurs malveillants. Bien sûr, votre serveur est (dans la plupart des cas) sain et sauf. Pendant ce temps, les autorisations de fichiers de WordPress s'occupent des dossiers et des fichiers qu'ils contiennent.

En fait, chaque fichier hébergé sur le Web a une poignée d'autorisations définies. Cela permet de les garder à distance de toute personne non autorisée à les utiliser. Cela inclut également d'autres serveurs. Vous les gérez à l'aide de l'un des quelques outils différents. La bonne nouvelle est que vous aurez probablement un client SFTP (Secure File Transfer Protocol) ou un gestionnaire de fichiers dans votre panneau de contrôle d'hébergement. En tant que tel, vous pouvez gérer vos propres autorisations de fichiers.

Dans cet article, nous allons examiner les autorisations de fichiers de WordPress. Nous expliquerons ce que signifient les chiffres, quelles autorisations conviennent à certains fichiers et dossiers, et également comment les modifier. Tout d'abord, examinons quelles sont les autorisations de fichiers.

Quelles sont les autorisations de fichiers

Dans la pratique, toute personne utilisant Internet peut accéder à tous les fichiers, dossiers et actifs sur n'importe quel serveur existant. C'est possible grâce aux différentes connexions et protocoles qui composent le World Wide Web. Même si, en réalité, ce n'est pas le cas. Il y a beaucoup de fichiers auxquels nous ne pouvons pas accéder, et pour une bonne raison.

Les autorisations de fichiers régissent qui (ou quoi) peut accéder aux autres serveurs et aux fichiers qu'ils contiennent. Vous les voyez partout sans vous en rendre compte dans de nombreux cas. De nombreux codes d'état HTTP d'erreur client autour de la plage 400–499 traitent d'accès «interdits» et non autorisés. 401 Non autorisé, 403 Interdit et 451 Non disponible pour des raisons juridiques restreignent tous les autorisations sur le serveur ou sur les fichiers eux-mêmes.

Vous constaterez souvent que les autorisations de fichiers s'affichent sous la forme de nombres à trois chiffres ou d'une chaîne de lettres et de caractères. Il est rare que vous ne voyiez que les valeurs explicites nommées. Bien qu'il soit important de comprendre ce que cela signifie, nous parlerons plus en détail du format et de la manière de lire les numéros d'autorisation de fichier plus tard.

Pourquoi avons-nous besoin d'autorisations de fichiers

À présent, la raison pour laquelle nous avons besoin d'autorisations de fichiers au niveau de base devrait être évidente. Cependant, pour réitérer, ils protègent les serveurs, les fichiers et les dossiers contre les accès indésirables. Cependant, ce n'est pas seulement lié aux utilisateurs malveillants, bien que ce soit un aspect valable et important.

Il existe de nombreuses autres raisons plus près de chez nous pour lesquelles les autorisations de fichiers sont nécessaires :

• Les utilisateurs ayant accès au serveur, mais avec un rôle d'utilisateur trop puissant, pourraient faire des ravages sur un serveur en un seul glissement.
• Ces mêmes utilisateurs (maintenant avec les bons rôles et autorisations) sont protégés contre les pirates grâce aux autorisations de fichiers définies.

Ce n'est que deux exemples parmi tant d'autres, mais le concept est clair : les autorisations de fichiers aident tout le monde à rester en sécurité, qu'il s'agisse d'utilisateurs malveillants, d'une gestion laxiste des rôles d'utilisateur et des utilisateurs eux-mêmes.

Comment lire les autorisations de fichiers

Passons maintenant aux choses amusantes : apprendre à lire les autorisations de fichiers. Il existe deux blocs pour chaque schéma d'autorisation de fichier - les privilèges et les utilisateurs. Tout d'abord, les privilèges déterminent ce qu'un "client" peut faire avec un fichier :

• Lis. Avec cet actif, le client peut tout lire dans le fichier, mais ne peut en aucun cas travailler avec. En d'autres termes, c'est un fichier classique en lecture seule.
• Écrire. Cela permet au client d'enregistrer les modifications apportées au fichier. Cela entre dans un territoire dangereux, donc l'octroi d'autorisations d'écriture ne se produit pas aussi souvent.
• Exécuter. Lorsqu'il est actif, un client peut "utiliser" le fichier. D'un point de vue technique, écrire dans un fichier, c'est l'utiliser. Ici, il s'agit de l'exécution du fichier, étant donné que la majeure partie d'Internet s'exécute sur du code scripté.

Parallèlement à cela, vous disposez d'un bloc d'utilisateurs pouvant accéder à un fichier :

• Propriétaire. Chaque fichier et dossier a un utilisateur assigné, semblable à une sorte d'administrateur.
• Grouper. Cela donne à un groupe d'utilisateurs les privilèges que vous avez définis, plutôt qu'à une seule personne. Cependant, ce n'est pas exclusif et vous pouvez définir à la fois les utilisateurs Propriétaire et Groupe sur un fichier.
• Public. Vous pouvez voir cet utilisateur appelé "Autre" ou des noms similaires. En bref, cela détermine ce que tout le monde peut faire. C'est le rôle d'utilisateur le plus dangereux, car quel que soit le privilège que vous définissez, il s'applique à tout le monde au sens littéral.

Pour vous donner plus de réflexion, il existe deux façons d'afficher une autorisation de fichier.

Comment lire différents formats d'autorisation de fichier

Nous avons déjà abordé la manière dont il existe plusieurs façons de présenter les autorisations de fichiers. Le premier est un nombre à trois chiffres, également appelé mode d'autorisation. Les numéros impliqués correspondent aux autorisations de l'utilisateur individuel. Par example:

• Le premier chiffre indique ce qu'un propriétaire peut faire avec un fichier.
• Le deuxième chiffre concerne les privilèges de groupe.
• Les utilisateurs publics ont des autorisations basées sur le troisième chiffre.

Les nombres eux-mêmes impliquent un certain ajout, car chacune des actions que vous pouvez entreprendre a un numéro attribué :

• Lire : 4
• Écrire : 2
• Exécuter : 1

Pour vous donner un exemple, le mode le plus permissif est 777 . Voici comment cela se décompose :

• Le propriétaire peut lire, écrire et exécuter le fichier.
• Le groupe peut également lire, écrire et exécuter.
• Dans une autorisation effrayante, le public peut également lire, écrire et exécuter.

Bien sûr, 777 signifie qu'un fichier est aussi ouvert que possible. Ce n'est pas un mode d'autorisation que vous utiliseriez dans tous les cas sauf les plus extrêmes.

Dans d'autres cas, vous ne verrez pas de chiffres. Au lieu de cela, vous verrez une chaîne de lettres et de traits d'union, comme rwxrwxrwx . Tout comme les modes d'autorisation numérotés, il y a un chiffre à découvrir :

• Lire : r
• Écrivez : w
• Exécuter : x
• Aucune autorisation : -

Si vous comptez, vous verrez neuf lettres dans le mode d'autorisation ci-dessus. Il y en a trois pour les rôles Propriétaire, Groupe et Public. Si vous décidez de "casser" la chaîne de neuf caractères, vous verrez que c'est la même chose que le mode d'autorisation 777.

Si vous souhaitez vous amuser avec les modes d'autorisation, il existe quelques excellents "calculateurs chmod" qui vous permettent de cocher des cases et de voir les résultats :

Quoi qu'il en soit, vous n'avez pas besoin de connaissances approfondies pour définir les autorisations de fichiers WordPress, comme nous vous le montrerons ensuite.

Autorisations de fichiers WordPress : les chiffres dont vous avez besoin

Nous abordons maintenant la relation entre les autorisations de fichiers et WordPress. Malgré les formats complexes et leurs explications, vous n'avez pas besoin d'autorisations différentes pour chaque fichier et dossier. Au lieu de cela, vous séparez les fichiers de WordPress en groupes et appliquez les bonnes autorisations à chacun d'eux.

Voici la répartition générale :

• Les fichiers PHP (c'est-à-dire tous les fichiers avec l'extension .php ) doivent être 644. Les propriétaires de fichiers peuvent lire et écrire, tandis que tous les autres ne peuvent que lire. Certains propriétaires de sites définiront également le fichier index.php sur 444. Cela vous donne plus de sécurité, mais cela peut ne pas bien fonctionner avec certaines actions dans WordPress. Vous pouvez définir cette autorisation, mais gardez un œil sur les erreurs dans WordPress.
• Les dossiers doivent être au nombre de 755. Cela donne au propriétaire la licence de lecture, d'écriture et d'exécution. Tout le monde peut lire et exécuter.
• Le fichier wp-config.php a des autorisations différentes selon la façon dont vous souhaitez définir les choses. Vous voyez des autorisations allant de 400 ou 440 à 600 et 644. À une extrémité, presque personne n'a d'autorisations. Nous vous recommandons de commencer ici et d'ouvrir le fichier si nécessaire.

En tant que tel, vous n'avez pas besoin de définir des autorisations pour chaque fichier. De plus, les autorisations de fichiers de WordPress n'ont souvent pas besoin d'être modifiées. Cependant, si vous souhaitez les vérifier à partir de votre tableau de bord WordPress, votre meilleur pari ici est iThemes Security :

Une fois que vous avez installé et activé le plugin, rendez-vous sur la page Sécurité > Paramètres :

À partir de là, recherchez le panneau File Permissions , puis cliquez sur Show Details :

Sur l'écran suivant, cliquez sur le bouton Charger les détails de l'autorisation du fichier et vous verrez les détails :

Vous verrez si les autorisations sont sécurisées et vous pouvez utiliser les deux étapes suivantes pour modifier tout ce qui vous préoccupe.

Comment modifier les autorisations de fichier WordPress

Nous avons deux façons différentes de modifier les autorisations de fichiers de WordPress. Donnons-nous un aperçu rapide :

• Accédez à votre serveur via le protocole SFTP (Secure File Transfer Protocol) et modifiez-y vos autorisations de fichiers.
• Faites de même, mais en utilisant le panneau de configuration de votre hébergeur.

Montrons d'abord la méthode la plus courante - SFTP.

1. Utilisez le protocole de transfert de fichiers sécurisé (SFTP)

La méthode la plus courante consiste à utiliser SFTP, à vous connecter à votre serveur et à modifier les autorisations de fichiers dont vous avez besoin. Avant de commencer, il y a quelques éléments dont vous avez besoin. Nous couvrons cela dans un autre article sur le site, mais en bref, vous avez besoin d'un client SFTP approprié et de vos identifiants de connexion.

Nous vous conseillons également d'effectuer une sauvegarde complète de votre site, bien que vous ne fassiez pas trop de dégâts si vous définissez une mauvaise autorisation. Le pire des cas, à notre avis, est que vous reveniez en arrière et annuliez vos modifications.

Lorsque vous êtes prêt et connecté, sélectionnez le bloc de fichiers dont vous souhaitez modifier les autorisations. Ensuite, vous devez accéder à l'écran des autorisations de fichiers pour apporter vos modifications. Cela diffère selon votre client, mais il existe souvent une option explicite disponible. C'est vrai pour FileZilla et autres, mais Cyberduck met les paramètres d'autorisations dans son menu Info :

Quoi qu'il en soit, lorsque vous entrez dans le menu, vous verrez des cases à cocher pour définir diverses autorisations, un endroit pour saisir des valeurs numériques, et plus encore en fonction de votre client :

Une fois vos modifications enregistrées, les nouvelles autorisations prendront effet.

2. Utilisez le panneau de configuration de votre hébergeur

L'utilisation du gestionnaire de fichiers de votre hébergeur pour modifier les autorisations est une proposition similaire à SFTP. Cette fois, vous utilisez une interface utilisateur graphique (GUI) basée sur le Web pour travailler avec vos fichiers.

Dans cPanel, c'est dans Fichiers > Gestionnaire de fichiers :

Dans cet écran, vous pourrez voir les autorisations de fichier actuelles comme l'une des colonnes par défaut. Néanmoins, si vous cliquez avec le bouton droit sur un fichier ou un dossier, vous pouvez sélectionner l'option Modifier les autorisations :

Ce sera un écran familier maintenant. Il affiche des cases à cocher et la possibilité d'utiliser des paramètres numériques pour modifier les autorisations :

Une fois que vous avez apporté vos modifications, cliquez sur le bouton Modifier les autorisations et cPanel les appliquera immédiatement.

Emballer

Sans moyen d'empêcher les utilisateurs d'accéder à certains fichiers système, votre site est dans une mauvaise situation. Au lieu de cela, il existe des autorisations de fichiers pour chaque dossier et fichier sur votre serveur. Cela permet de n'autoriser l'accès qu'à ceux qui en ont besoin. C'est une configuration simple, avec une mise en œuvre complexe sous le capot.

En bref, vous devez définir si le propriétaire, le groupe ou le public peut lire, écrire ou exécuter le fichier. La plupart des fichiers ont des privilèges réservés et vous pouvez les vérifier en utilisant SFTP ou dans cPanel. Une fois que vous avez compris comment lire les autorisations de fichiers et les créer, le processus est simple. De plus, les autorisations de fichiers de WordPress utilisent principalement 644 ou 755. Si vous utilisez un installateur automatique pour WordPress, les autorisations de fichiers sont déjà en place.

Avez-vous déjà besoin de modifier les autorisations de fichiers de WordPress, et cet article vous aidera-t-il ? Faites-nous savoir dans la section commentaires ci-dessous!