Permisiunile corecte pentru fișiere și foldere WordPress (644 și 755)

Fiecare fișier și folder de pe serverul tău are un set de reguli care spun cine îl poate citi, modifica sau executa. Când vine vorba de permisiuni fișiere WordPress, două numere apar aproape mereu: 644 pentru fișiere și 755 pentru foldere. Sună tehnic, dar ideea din spate e simplă și, odată ce o înțelegi, îți protejezi site-ul de o categorie întreagă de atacuri.

În acest ghid îți explic ce înseamnă aceste cifre, când se aplică și cum le corectezi fără să strici nimic.

Ce înseamnă, de fapt, permisiunile unui fișier

Pe serverele Linux (unde rulează majoritatea site-urilor WordPress), fiecare fișier are trei tipuri de permisiuni, pentru trei categorii de utilizatori:

• Owner (proprietar) — de obicei contul tău de găzduire;
• Group (grup) — utilizatorii care fac parte din același grup;
• Public (toți ceilalți) — inclusiv vizitatorii anonimi și, teoretic, atacatorii.

Fiecare categorie poate avea trei drepturi: citire (read = 4), scriere (write = 2) și execuție (execute = 1). Aduni valorile ca să obții o cifră. De exemplu, 4+2+1 = 7 înseamnă toate drepturile, iar 4+0+0 = 4 înseamnă doar citire. Așa se nasc combinațiile de tipul 644 sau 755.

Permisiuni fișiere WordPress: de ce 644 pentru fișiere și 755 pentru foldere

Regula generală, așa cum apare în documentația oficială WordPress, e clară și ușor de reținut:

• Fișierele ar trebui să aibă 644 — proprietarul poate citi și scrie, restul pot doar citi.
• Folderele ar trebui să aibă 755 — proprietarul poate citi, scrie și „intra” în folder, restul pot citi și intra, dar nu modifica.

De ce diferă? Un folder are nevoie de dreptul de execuție (acel „1″ în plus) pentru ca serverul să poată deschide și lista conținutul. Fișierele normale nu trebuie executate ca programe, deci nu primesc acest drept — și tocmai de asta 644 e o alegere sigură pentru ele.

Prin această separare, un atacator care ar reuși cumva să încarce un fișier pe server nu îl poate face executabil sau modificabil de oricine. E un strat simplu, dar eficient, dintr-o strategie mai amplă de securitate WordPress.

Fișierele speciale care au nevoie de atenție

Regula 644/755 acoperă 99% din situații, dar există câteva excepții pe care merită să le știi:

• wp-config.php — fișierul cu datele de conectare la baza de date. Îl poți restrânge la 640 sau chiar 600, ca să nu fie citit de alți utilizatori de pe server.
• .htaccess — de obicei 644 e suficient; unele configurări preferă 640.
• folderul wp-content/uploads — rămâne 755, dar are nevoie ca WordPress să poată scrie în el pentru încărcarea imaginilor.

Important: nu seta niciodată wp-config.php la 777 „ca să meargă”. Dacă ai probleme de scriere, cauza e aproape întotdeauna proprietarul fișierului (ownership), nu permisiunile prea restrictive.

Cum verifici și schimbi permisiunile

Ai mai multe opțiuni, în funcție de accesul pe care îl ai la găzduire:

• Prin FTP/SFTP (FileZilla): click dreapta pe fișier → „File permissions” și introduci valoarea numerică.
• Prin File Manager din cPanel: selectezi fișierul → „Permissions”.
• Prin SSH, dacă ai acces: comanda find cu chmod 644 pentru fișiere și chmod 755 pentru foldere.

Comanda prin SSH e cea mai rapidă pentru un site întreg, fiindcă aplică valoarea corectă separat pe fișiere și pe foldere, dintr-o singură rulare. Dacă nu ești sigur, fă întâi un backup.

Greșeli frecvente și de ce 777 e periculos

Cea mai comună greșeală e setarea 777 pe fișiere sau foldere, de obicei ca „soluție rapidă” când un plugin dă eroare de scriere. Problema? 777 înseamnă că oricine — inclusiv un script rău intenționat — poate citi, modifica și executa acel fișier.

Pe scurt, ce să eviți:

• Nu folosi 777 niciodată pe un site de producție;
• Nu seta fișiere .php la valori care permit scrierea publică;
• Nu ignora proprietarul fișierelor — permisiunile corecte contează doar dacă ownership-ul e corect.

Dacă nu ești sigur cum stau permisiunile pe site-ul tău, un audit gratuit îți poate arăta rapid ce fișiere sunt expuse și ce trebuie corectat.

Concluzie

Regula de aur e simplă: 644 pentru fișiere, 755 pentru foldere, cu câteva excepții mai stricte pentru fișierele sensibile precum wp-config.php. Nu e nevoie să memorezi teoria din spatele fiecărei cifre — e suficient să aplici valorile corecte și să eviți capcana lui 777. Cinci minute de verificare acum îți pot economisi ore de recuperare după un incident de securitate.