Nastavte vlastníka a oprávnění podle modelu hostingu tak, aby webserver zapisoval pouze tam, kde je to nutné. Chraňte wp-config.php a tajné údaje mimo veřejný repozitář, zakažte úpravy kódu z administrace a nasazujte verzovaný kód kontrolovaným procesem. Změnu vždy ověřte uploadem, cache a aktualizací.
Oprávnění souborů WordPressu určují, který uživatel serveru může kód a data číst nebo měnit. Příliš otevřená práva usnadní zápis škodlivého souboru, příliš přísná zablokují upload, cache či aktualizace. Univerzální číselný návod bez znalosti hostingu je nebezpečný, protože model vlastnictví se liší mezi sdíleným hostingem, kontejnerem a spravovaným serverem.
Citlivou součástí je `wp-config.php`, kde bývají databázové přihlašovací údaje, bezpečnostní klíče a nastavení prostředí. Tajné údaje nemají skončit v repozitáři, v záloze dostupné z webu ani na snímku obrazovky pro podporu. Bezpečný návrh odděluje neměnný kód, zapisovatelné uploady, dočasnou cache a konfiguraci a každému procesu dává pouze nezbytný rozsah.
Zjistěte uživatele a procesy serveru
Před změnou identifikujte vlastníka souborů, uživatele PHP nebo webserveru, nasazovací účet a skupiny. Na sdíleném hostingu může poskytovatel používat jiný model než na vlastním VPS. Zkontrolujte dokumentaci a aktuální oprávnění, nikoli náhodný příkaz z fóra. Zaznamenejte, do kterých adresářů potřebuje WordPress při běžném provozu zapisovat.
Odlište interaktivní účet správce od aplikace. FTP účet s přístupem ke všemu nemá být uložen ve WordPress pluginu. Každý automatizační účet dostane vlastní klíč a minimální adresář. Pokud hosting nepodporuje bezpečný model nebo izolaci sousedních webů, má technická změna práv v jedné instalaci omezený účinek.
Oddělte kód od zapisovatelných dat
Jádro, šablony a pluginy mají být během provozu neměnné, pokud aktualizace nasazuje řízený proces. Uploady, cache a některé dočasné adresáře potřebují zápis. Pokud webserver může měnit celý document root, zranitelnost aplikace snáze přepíše kód. Architektura hostingu a deploymentu má omezit zapisovatelnou plochu.
Adresář pro nahrávání chraňte před spouštěním skriptů podle možností serveru a validujte nahrávané typy souborů. Cache potřebuje možnost bezpečného vymazání bez změny vlastníka. Logy ukládejte mimo veřejnou cestu nebo k nim blokujte přístup. Po migraci ověřte, zda kopírování nezměnilo vlastníka a nevytvořilo soubory zapisovatelné pro všechny.
- Neměnné jádro, šablony a pluginy
- Zápis pouze do uploadů a potřebné cache
- Nespustitelné uživatelské uploady
- Logy mimo veřejný přístup
Chraňte wp-config.php a tajné klíče
Konfigurační soubor má být čitelný pouze procesy, které ho potřebují, a podle architektury může být umístěn mimo veřejný kořenový adresář. Produkční údaje nevkládejte do veřejného Git repozitáře. Moderní deployment může načítat tajemství z prostředí nebo bezpečného úložiště, musí však mít zdokumentovaný způsob lokálního vývoje a obnovy.
Databázový uživatel dostane pouze oprávnění potřebná pro WordPress a samostatné přihlašovací údaje pro každé prostředí. Bezpečnostní salts a API klíče rotujte při podezření nebo při změně podle stanoveného procesu; rotace relací může odhlásit uživatele, což je očekávaný dopad. Nastavení ladění na produkci nesmí zobrazovat chyby ani ukládat citlivý výpis do veřejně dostupné cesty.
Omezte úpravu kódu z administrace
Editor souborů šablon a pluginů v administraci umožňuje okamžitý zásah bez revize, zálohy a testu. V produkci jej obvykle vypněte konfiguračním nastavením. Zvažte také zákaz instalací a automatických zásahů podle způsobu správy; aktualizace se pak ale musí skutečně provádět jiným funkčním procesem, nikoli jen přestat.
Kód verzujte, kontrolujte a nasazujte přes staging s možností návratu. Administrátor WordPressu nemá automaticky potřebovat SSH nebo hostingový panel. Oddělení účtů snižuje dopad ukradené relace. Nouzový zásah zdokumentujte a po incidentu slaďte produkci s repozitářem, aby se oprava při dalším vydání neztratila.
- Vypnutý editor kódu v administraci
- Verzovaný a kontrolovaný deployment
- Oddělené WordPress a hostingové účty
- Sladění nouzové opravy s repozitářem
Testujte oprávnění po změně a monitorujte integritu
Po úpravě nahrajte obrázek, vygenerujte miniatury, vyčistěte cache, spusťte bezpečnou aktualizaci na stagingu a ověřte zálohu. Sledujte PHP a serverové logy kvůli chybě permission denied. Neprovádějte v produkci rekurzivní chmod bez přesného seznamu cílů a ověření absolutní cesty; může změnit tajné údaje i celé sousední aplikace.
Monitoring integrity může upozornit na změnu kódu mimo vydání, potřebuje však baseline a výjimky pro legitimní aktualizace. Nový PHP soubor v adresáři uploads nebo nečekaná úprava jádra je důvodem k prověření, nikoli automatickým důkazem útoku. Při incidentu zachovejte kopii, najděte vstupní bod a obnovte čistý stav; samotná oprava oprávnění zadní vrátka neodstraní.
Časté dotazy
Jaké číslo chmod je správné pro WordPress?
Bez znalosti vlastnictví, webserveru a hostingu nelze bezpečně doporučit jedno číslo pro všechno. Použijte dokumentaci poskytovatele a princip minimálních oprávnění a rozlišujte soubory, adresáře, konfiguraci a zapisovatelné uploady.
Má webserver zapisovat do pluginů a šablon?
Pokud aktualizace řeší WordPress přímo, potřebuje dočasně příslušná práva. Při řízeném deploymentu může kód zůstat neměnný a zapisovat se pouze do datových adresářů. Model musí mít funkční aktualizační proces.
Stačí přesunout wp-config.php nad public_html?
Může to být užitečná vrstva u podporované struktury, ale nenahrazuje správná práva, bezpečná tajemství, izolaci hostingu a aktualizace. Ověřte, že server soubor načte a zálohy ho bezpečně obsahují.
Zdroje a další čtení
Adam Antoni vyvíja weby, aplikácie a softvér na mieru. Prepája firemné systémy, automatizuje procesy a vytvára AI agentov. Pôsobí v Spišskej Novej Vsi a spolupracuje s firmami na celom Slovensku.
