WordPress Dateiberechtigungen und Ordner Rechte

Die richtigen WordPress Dateiberechtigungen und Ordner Rechte sind für das Hosting wichtig. Sie sind die Basis für WordPress Sicherheit. So ist es dem WordPress Content Management System möglich Dateienj zu schreiben. Das ist für Redaktuere natürlich sehr wichtig. Das betrifft nicht nur den Bildupload. Auch Administartoren brauchen das Feature weitere Plugins zu installieren und Updates manuell oder automatisiert durchführen zu können.

Ordner Rechte 755 und Datei Rechte 644 – WordPress Dateiberechtigungen im Überblick

Die WordPress Dateiberechtigungen regeln den Zugriff und sorgen damit für die erste Sicherheit im System. In Linux Systemen, die in der Regel für das WordPress Hosting eingesetzt werden, gibt es festgelegte User und Gruppen. Bei professionellen Hosting gibt es dann einen „Website-User“ der weniger Rechte gegenüber dem „Root-User“ hat. Dadurch ist es für Angreifer schwieriger durch eventuelle Sicherheitslücken Schaden anzurichten. Allerdings ist das noch lange kein ausreichender Schutz. Der Webseiten-User darf beispielsweise nur in bestimmten Ordnern Dateien schreiben oder verändern und hat auf andere nur einen lesenden Zugriff. Die drei Zahlen zeigen jeweils den Zugriffswert, den die User haben auf die Operationen „Lesen“, „Schreiben“ und „Ausführen/Suchen“ haben. Bei Ordnern geht es hier um das Öffnen und Anlegen von Dateien und bei den Dateien selbst vor allem um das Schreiben und ausführen. Daher werden die Werte auch unterschiedlich gesetzt. Ein mögliches Ziel von Hackern ist es ausführbare Schadprogramme als PHP-Dateien oder Text-Dateien zu tarnen und auf dem Server auszuführen. Daher haben Dateien gegenüber Ordnern weiter eingeschränkte Rechte.

WordPress Dateiberechtigungen müssen direkt geändert werden

Bei einer Neuinstallation von WordPress wird häufig mit dem Systemuser „root“ gearbeitet. Dabei wird die WordPress Installation ja in der Regel in einem „/var/www/html/domain.de/“ Folder abgelegt. WordPress selbst muß allerdings über den Webuser das „wp-content“ Verzeichnis zugreifen können. Dafür müssen die WordPress Dateiberechtigungen richtig gesetzt werden. Im Grunde kann man natürlich für das gesamte Verzeichnis den www-data User als Besitzer – Owner – festlegen.

chown -R www-data:www-data /var/www/html/domain.de

Hier wird mit dem Befehl chown für „Change owner“ der Besitzer rekusiv mit dem „-R“ Parameter gesetzt. Sensibel ist die wp-config.php Datei aus dem Root Folder. Hier dürfen Angreifer keine Manipulation vornehmen. Hier kann man folgenden Befehl ausführen.

chmod 400 /var/www/html/domain.de/wp-config.php

4 steht für „Lesen“ und 0 für keine Rechte.

WordPress Datei und Ordner Rechte mit Script richtig setzen

Alles was man tut sollte ein Lernprozess sein. Dieser muß transparent sein und sich weiterentwickeln. Nur so ist man in der Lage innovativ zu arbeiten und es zu werden. Alles andere ist nicht professionell. Feedback bekommt man natürlich aus der Community. Dabei ist es gerade im Bereich Open Source auch wichtig anderen mit Lösungen zu helfen. Daher gibt es dieses hilfreiche Script als Gist auf GitHub. https://gist.github.com/Adirael/3383404. Hier haben schon viele Developer ihr Feedback gegeben und sich das Script mit über 340 Sternen schon richtig bewährt.

#!/bin/bash
#
# This script configures WordPress file permissions based on recommendations
# from http://codex.wordpress.org/Hardening_WordPress#File_permissions
#
# Author: Michael Conigliaro <mike [at] conigliaro [dot] org>
#
WP_OWNER=www-data # <-- wordpress owner
WP_GROUP=www-data # <-- wordpress group
WP_ROOT=$1 # <-- wordpress root directory
WS_GROUP=www-data # <-- webserver group

# reset to safe defaults
find ${WP_ROOT} -exec chown ${WP_OWNER}:${WP_GROUP} {} \;
find ${WP_ROOT} -type d -exec chmod 755 {} \;
find ${WP_ROOT} -type f -exec chmod 644 {} \;

# allow wordpress to manage wp-config.php (but prevent world access)
chgrp ${WS_GROUP} ${WP_ROOT}/wp-config.php
chmod 660 ${WP_ROOT}/wp-config.php

# allow wordpress to manage wp-content
find ${WP_ROOT}/wp-content -exec chgrp ${WS_GROUP} {} \;
find ${WP_ROOT}/wp-content -type d -exec chmod 775 {} \;
find ${WP_ROOT}/wp-content -type f -exec chmod 664 {} \;

Den Code kann man einfach in einem permission.sh im Root Folder der Instanz ablegen und mit

./permission.sh

ausführen.

Fazit WordPress Dateirechte und Sicherheit

Im Internet kann man viele Dinge mal eben machen. Das ist auch gut so. Wichtig ist allerdings sich weiterzuentwickeln, Wissen zu teilen und sich gegenseitig zu helfen. Das Thema Sicherheit kommt im Internet leider häufig zu kurz. Davon schließe ich mich nicht aus. Sicherheit ist immer nur eine Hürde in einer bestimmten Höhe. Am Ende geht es darum höher als andere und kein leichtes Opfer zu sein. Jedenfalls, wenn man im privaten Bereich tätig ist. Da in der Regel Bots oder WPScan als Tool für Angriffe verwendet wird helfen die richtigen Rechte und aktuelle WordPress.Plugins schon eine Menge.