0

Есть сайт на wordpress, в который нужно удаленно вносить изменения. Права на запись имеет пользователь www—data. Я добавил своего пользователя developer в группу www—data и дал этой группе права на запись в директорию сайта. Правильно ли это с точки зрения безопасности? Если нет, то как лучше организовать удаленное редактирование сайта?

1
  • 1
    Правильно девать права php = юзеру, а не наоборот.
    – SeVlad
    20 янв 2021 в 8:37

2 ответа 2

1

На практике, есть только реально один работающий способ безопасно настроить права в LEMP стэке. И как правильно указал @SeVlad - правильно давать права php юзеру и должен быть отдельный php юзер (никак не www-data) даже если речь идет об одном сайте - это нисколько не извиняет того чтобы не делать правильно.

Как правильно расписано здесь, а именно:

  • Создайте отдельного пользователя конкретно под ваш сайт если таковой еще не существует. Именуйте его как короткое название сайта без доменной части, или по назначению или типу CMS например magento, и тд

  • Сконфигурирейте PHP-FPM таким образом чтобы пул для этого сайта исполнялся под этим самым пользователем

  • Поставьте права на все файлы и папки сайта так chown -R example:example /path/to/website/files

  • Добавьте пользователя веб-сервера в группу пользователя сайта: usermod -a -G example www-data

  • Выставьте разрешения таким образом чтобы пользователи группы (а это веб-сервер) смогут читать файлы сайта (а выполнять их или писать им и не надо)

      chmod -R u=rwX,g=rX,o= /path/to/website/files
    

C дефолтным значением umask для обычных пользователей - новые папки и файлы создаваемые пользователем вручную либо через исполнение скриптов - будут читабельными вебсервером.

Безопасно. Нет проблем.

Бонусом что можно легко запретить веб доступ к чувствительным файлам не только через конфиг вебсервера но и просто убрав разрешения для группы:

chmod 0600 some-config.php
chmod g-r some-config.php
1
-1

Права на запись у процесса php быть должны в обязательном порядке, иначе много функционала перестанет работать - обновление плагинов, кеширование страниц и скриптов и т.д.

Если php выполняется под пользователем www-data, значит, у этого пользователя должны быть права 644 на файлы и 755 на папки.

Если вы добавили в группу www-data своего пользователя и хотите, чтобы он писал по ftp файлы в папки сайта, то надо дать на все файлы права 664, а на папки - 775. Это позволит избежать ошибок выполнения, указанных выше.

7
  • 1
    И любого чужого сайта можно будет записать и выполнить шелл :)
    – SeVlad
    20 янв 2021 в 9:26
  • Вот что ты несёшь, а? Во-первых, если у любого соседнего сайта php юзер тот же, www-data, то он успешно выполнит любые действия на обсуждаемом сайте, даже при 664/755. Во-вторых, у ТС ни слова о соседних сайтах. 20 янв 2021 в 9:54
  • Вот я несу то, что ты сказал в "во-первых". Подумай и сложи 2+2. А во вторых - вне зависимости от этого сервер нужно настраивать безопасно и не давать www-data доступа в юзеровские каталоги.
    – SeVlad
    20 янв 2021 в 11:44
  • @SeVlad в какие юзеровские каталоги, о чём вообще речь? php выполняется под www-data. Какие ему права давать, ответь. Можешь сразу в Кодекс глянуть. 20 янв 2021 в 12:05
  • 1
    @SeVlad ну это ты так делаешь. А сплошь и рядом сайты кладут в /var/www. И ответь, наконец, на вопрос. Если php юзер = www-data (по умолчанию в Apache, Ubuntu),то какие права ставить на папки и файлы и кто их владелец 20 янв 2021 в 12:21

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.