Nastavte vlastníka a práva podľa modelu hostingu tak, aby webserver zapisoval iba tam, kde je to potrebné. Chráňte wp-config.php a tajomstvá mimo verejného repozitára, zakážte editáciu kódu z administrácie a nasadzujte verzovaný kód kontrolovaným procesom. Zmenu vždy overte uploadom, cache a aktualizáciou.
Oprávnenia súborov WordPressu určujú, ktorý používateľ servera môže kód a dáta čítať alebo meniť. Príliš otvorené práva uľahčia zápis škodlivého súboru, príliš prísne zablokujú upload, cache či aktualizáciu. Univerzálny číselný návod bez znalosti hostingu je nebezpečný, pretože model vlastníctva sa líši medzi zdieľaným hostingom, kontajnerom a spravovaným serverom.
Citlivou súčasťou je `wp-config.php`, kde bývajú databázové poverenia, bezpečnostné kľúče a nastavenia prostredia. Tajomstvá nemajú končiť v repozitári, zálohe prístupnej z webu ani screenshotu podpory. Bezpečný návrh oddeľuje nemenný kód, zapisovateľné uploady, dočasnú cache a konfiguráciu a každému procesu dáva iba potrebný rozsah.
Zistite používateľov a procesy servera
Pred zmenou identifikujte vlastníka súborov, používateľa PHP alebo webservera, nasadzovací účet a skupiny. Na zdieľanom hostingu môže poskytovateľ používať iný model než vlastný VPS. Skontrolujte dokumentáciu a aktuálne práva, nie náhodný príkaz z fóra. Zaznamenajte, ktoré adresáre WordPress potrebuje zapisovať pri bežnej prevádzke.
Rozlíšte interaktívny účet správcu od aplikácie. FTP konto s prístupom ku všetkému nemá byť uložené vo WordPress plugine. Každý automatizačný účet dostane vlastný kľúč a minimálny adresár. Ak hosting nepodporuje bezpečný model alebo izoláciu susedných webov, technická zmena práv v jednej inštalácii má obmedzený účinok.
Oddeľte kód od zapisovateľných dát
Jadro, témy a pluginy majú byť počas prevádzky nemenné, ak aktualizácie nasadzuje riadený proces. Uploady, cache a niektoré dočasné adresáre potrebujú zápis. Ak webserver môže meniť celý document root, zraniteľnosť aplikácie ľahšie prepíše kód. Architektúra hostingu a deploymentu má obmedziť zapisovateľnú plochu.
Upload adresár chráňte pred vykonávaním skriptov podľa možností servera a validujte nahrávané typy. Cache potrebuje možnosť bezpečného vyčistenia bez zmeny vlastníka. Logy ukladajte mimo verejnej cesty alebo blokujte prístup. Po migrácii overte, či kopírovanie nezmenilo vlastníka a nevytvorilo svetovo zapisovateľné súbory.
- Nemenné jadro, témy a pluginy
- Zápis iba do uploadov a potrebnej cache
- Nevykonateľné používateľské uploady
- Logy mimo verejného prístupu
Chráňte wp-config.php a tajomstvá
Konfiguračný súbor má byť čitateľný iba procesmi, ktoré ho potrebujú, a podľa architektúry môže byť umiestnený mimo verejného koreňa. Produkčné údaje nevkladajte do verejného Git repozitára. Moderný deployment môže načítať tajomstvá z prostredia alebo bezpečného úložiska, no musí mať dokumentovaný spôsob lokálneho vývoja a obnovy.
Databázový používateľ dostane iba práva potrebné pre WordPress a samostatné poverenie pre prostredie. Bezpečnostné salts a API kľúče rotujte pri podozrení alebo zmene podľa procesu; rotácia relácií môže odhlásiť používateľov, čo je očakávaný dopad. Debug nastavenia na produkcii nesmú zobrazovať chyby ani ukladať citlivý výpis do verejnej cesty.
Obmedzte úpravu kódu z administrácie
Editor súborov témy a pluginov v administrácii umožňuje okamžitý zásah bez revízie, zálohy a testu. V produkcii ho zvyčajne vypnite konfiguračným nastavením. Zvážte aj zákaz inštalácie a automatických zásahov podľa spôsobu správy; aktualizácie sa potom musia naozaj vykonávať iným funkčným procesom, nie iba prestať.
Kód verzujte, skontrolujte a nasadzujte cez staging s možnosťou návratu. Administrátor WordPressu nemá automaticky potrebovať SSH alebo hostingový panel. Oddelenie účtov znižuje dopad ukradnutej relácie. Núdzový zásah dokumentujte a po incidente zosúlaďte produkciu s repozitárom, aby sa oprava pri ďalšom vydaní nestratila.
- Vypnutý editor kódu v administrácii
- Verzovaný a kontrolovaný deployment
- Oddelené WordPress a hostingové účty
- Zosúladenie núdzovej opravy s repozitárom
Testujte práva po zmene a monitorujte integritu
Po úprave nahrajte obrázok, vygenerujte miniatúry, vyčistite cache, spustite bezpečnú aktualizáciu na stagingu a overte zálohu. Sledujte PHP a serverové logy pre chybu permission denied. Nerobte produkčný rekurzívny chmod bez presného zoznamu cieľov a overenia absolútnej cesty; môže zmeniť tajomstvá aj celé susedné aplikácie.
Monitoring integrity môže upozorniť na zmenu kódu mimo vydania, no potrebuje baseline a výnimky pre legitímne aktualizácie. Nový PHP súbor v uploadoch alebo nečakaná úprava jadra je dôvod na preverenie, nie automatický dôkaz útoku. Pri incidente zachovajte kópiu, nájdite vstup a obnovte čistý stav; samotná oprava práv neodstráni zadné vrátka.
Časté otázky
Aké číslo chmod je správne pre WordPress?
Bez znalosti vlastníctva, webservera a hostingu nemožno bezpečne odporučiť jedno číslo pre všetko. Použite dokumentáciu poskytovateľa a princíp minimálnych práv, rozlíšte súbory, adresáre, konfiguráciu a zapisovateľné uploady.
Má webserver zapisovať do pluginov a tém?
Ak aktualizácie rieši WordPress priamo, potrebuje dočasne príslušné práva. Pri riadenom deploymente môže zostať kód nemenný a zapisovať sa iba do dátových adresárov. Model musí mať funkčný aktualizačný proces.
Stačí presunúť wp-config.php nad public_html?
Môže to byť užitočná vrstva pri podporovanej štruktúre, ale nenahrádza správne práva, bezpečné tajomstvá, izoláciu hostingu a aktualizácie. Overte, že server súbor načíta a zálohy ho bezpečne obsahujú.
Zdroje a ďalšie čítanie
Web developer zo Spišskej Novej Vsi. Venuje sa WordPressu, WooCommerce, vlastným pluginom, API integráciám, webovým aplikáciám a praktickým AI automatizáciám.
