Quyền truy cập tệp WordPress là một chủ đề tranh luận gay gắt, và bạn sẽ tìm thấy hàng tá lời khuyên (khá nhiều trong số đó không chính xác) trên mạng. WordPress cũng có một bài viết về quyền tệp và cách thiết lập chúng để bảo mật trang web, nhưng các hướng dẫn đó khó thực hiện.
Trong bài viết này, chúng tôi tổng hợp một hướng dẫn hoàn chỉnh để hiểu về quyền WordPress. Tại đây bạn sẽ tìm thấy giúp đỡ về:
- Quyền tệp WordPress được khuyến nghị để bảo mật hoặc cứng hóa trang web
- Các cách thay đổi quyền tệp và thư mục WordPress trên trang web một cách an toàn
- Mẹo khắc phục sự cố để giải quyết các lỗi thường gặp do thiết lập sai quyền tệp và thư mục WordPress
Quyền truy cập tệp WordPress là gì?
Quyền tệp là các kiểm soát truy cập trên tệp và thư mục WordPress, chỉ định ai có thể đọc, ghi và thực thi các tệp cấu thành trang web WordPress của bạn.
Nếu tất cả người dùng đều có thể sửa đổi hoặc thậm chí đọc tệp và thư mục, đó sẽ thành một lỗ hổng bảo mật. Quyền WordPress là biện pháp bảo mật cho các hệ thống có nhiều người dùng, như máy chủ.
Cách hoạt động của quyền tệp WordPress
Nếu bạn từng xem danh sách tệp và thư mục WordPress trong một FTP client hoặc trên cPanel, bạn sẽ thấy 3 số hoặc một chuỗi 9 ký tự rwx bên cạnh mỗi mục. Đó là quyền tệp và được áp dụng riêng lẻ cho từng tệp và thư mục.
Có 2 khía cạnh xen kẽ của quyền tệp: 1) loại quyền; và 2) vai trò. Cả hai khía cạnh này hoạt động cùng nhau để chỉ ra cách quyền được áp dụng cho tệp và thư mục.
Các loại quyền
Có 3 loại quyền tệp trong WordPress: đọc, ghi và thực thi; và được ký hiệu bằng 2 cách:
| Quyền | Ý nghĩa | Số | Ký hiệu |
|---|---|---|---|
| Đọc | Người dùng có thể xem nội dung tệp hoặc thư mục, nhưng không thay đổi gì | 4 | r |
| Ghi | Người dùng được phép sửa đổi nội dung tệp hoặc thư mục, nhưng không thực thi | 2 | w |
| Thực thi | Người dùng được phép chạy tệp script, hoặc chạy script bên trong thư mục | 1 | x |
| Không có quyền | Người dùng không có quyền truy cập tệp hoặc thư mục | 0 | – |
Các vai trò
Có 3 nhóm vai trò: người dùng sở hữu, nhóm sở hữu, và thế giới (public).
- Người dùng (User): Là một cá nhân hoặc tài khoản đơn lẻ trên hệ thống, sở hữu tệp hoặc thư mục. Khi bạn dùng FTP client để đăng nhập vào máy chủ trang web, bạn cần tên đăng nhập và mật khẩu. Tên đăng nhập đại diện cho tài khoản FTP user. Tương tự, máy chủ web cũng dùng tài khoản để truy cập tệp và thư mục, nên dù không có "người" thực sự đằng sau tài khoản, nó vẫn được coi là một user.
- Nhóm (Group): Là một tập hợp các user, cũng có thể được chỉ định là chủ sở hữu. Đây là cách tiện lợi để cấp quyền chủ sở hữu cho một tập hợp user.
- Thế giới (World): Mọi user khác không sở hữu tệp/thư mục đó, cũng không thuộc nhóm user nào.
Đây là các vai trò chung trên nhiều hệ thống, dù có thể dùng thuật ngữ khác. Ví dụ, "world" có thể gọi là "public". Chủ sở hữu user thường được gọi là "user", có thể gây nhầm lẫn. Hãy yên tâm, mỗi khi bạn thấy một bộ quyền tệp WordPress, chúng đều tham chiếu đến các vai trò này.
Giải mã số quyền và ký hiệu
Bây giờ chúng ta đã hiểu cơ bản về các quyền WordPress cho phép gì và các vai trò chúng áp dụng, chuỗi ký hiệu và số có thể dễ hiểu hơn.
User, group, và world mỗi vai trò phải được gán quyền cho mỗi tệp hoặc thư mục. Do đó, bạn có thể nhận thấy có 3 bộ ký hiệu hoặc 3 số đôi khi vượt quá 0, 1, 2, 4.
Trong sơ đồ ký hiệu, 3 ký hiệu đầu tiên biểu thị quyền cho user, 3 tiếp theo cho group, 3 cuối cho world.
Trong sơ đồ số, số đầu tiên là quyền cho user, số thứ hai cho group, số thứ ba cho world. Tuy nhiên, trong sơ đồ số, số quyền là tổng của tất cả các quyền khả dụng cho mỗi vai trò.
Vì vậy, trong khi 0, 1, 2, 4 lần lượt là không truy cập, đọc, ghi, thực thi, các số còn lại có nghĩa như sau:
- 3 = (2 + 1) = Ghi + Thực thi
- 5 = (4 + 1) = Đọc + Thực thi
- 6 = (4 + 2) = Đọc + Ghi
- 7 = (4 + 2 + 1) = Đọc + Ghi + Thực thi
Ví dụ về quyền WordPress cho một tệp hoặc thư mục:
| User | Group | World | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
| 777 | rwxrwxrwx | Đọc | Ghi | Thực thi | Đọc | Ghi | Thực thi | Đọc | Ghi | Thực thi |
| 644 | rw-r–r– | Đọc | Ghi | – | Đọc | – | – | Đọc | – | – |
| 755 | rwxr-xr-x | Đọc | Ghi | Thực thi | Đọc | – | Thực thi | Đọc | – | Thực thi |
| 440 | r–r—– | Đọc | – | – | Đọc | – | – | – | – | – |
Quyền tệp được khuyến nghị trong WordPress
Cách thức WordPress hoạt động — hay bất kỳ hệ thống nào — là các tệp truy cập lẫn nhau để thực hiện các nhiệm vụ. Do đó, trong khi 000 hoặc 440 có thể là quyền tệp an toàn nhất, chúng không thực tế.
Ngược lại, 777 rất nguy hiểm vì để mở tệp hoặc thư mục cho bất kỳ user nào sửa đổi. Bạn sẽ không bao giờ thấy lời khuyên thiết lập bất kỳ tệp cốt lõi nào thành 777, và trừ một vài trường hợp hiếm, không có thư mục nào nên để 777.
Dưới đây là các quyền tệp được khuyến nghị cho trang web WordPress của bạn:
- Thư mục gốc (thường là public_html): 755
- wp-admin: 755
- wp-includes: 755
- wp-content: 755
- wp-content/themes: 755
- wp-content/plugins: 755
- wp-content/uploads: 755
- .htaccess: 644
- index.php: 644
- wp-config.php: 640
Nói chung, quyền thư mục WordPress nên được thiết lập là 755, và hầu hết quyền tệp cần được thiết lập là 644. Đây cũng là các quyền tệp mà WordPress khuyến nghị bạn thiết lập cho trang web. Đó cũng là các quyền cần thiết để tính năng cập nhật tự động của WordPress hoạt động đúng. Quyền chặt chẽ hơn sẽ khiến cập nhật tự động thất bại.
Lưu ý quan trọng: Quyền tệp phụ thuộc rất lớn vào cấu hình hosting của máy chủ. Một lý do là do tài khoản user nào mà quy trình máy chủ web sử dụng để tương tác với tệp trang web của bạn.
Ví dụ, chúng tôi khuyến nghị quyền 640 cho tệp wp-config.php nhưng điều này không hoạt động trên tất cả các host. Trong trường hợp đó, bạn cần quay lại 644.
Cách thay đổi quyền tệp WordPress
Quyền tệp WordPress về mặt khái niệm đơn giản nhưng thực hiện có thể棘手. Chúng tôi luôn khuyến nghị sao lưu trước khi thực hiện bất kỳ thay đổi nào ở backend trang web. Nếu có bất kỳ điều gì sai sót, bản sao lưu sẽ cứu trang web của bạn.
Bạn có thể thay đổi hoặc sửa chữa quyền tệp trong WordPress ở cấp độ tệp và cấp độ thư mục, điều này sẽ ảnh hưởng đệ quy đến quyền tệp của nội dung thư mục. Trong mọi trường hợp, bạn cần truy cập tệp trang web.
Có vài cách để truy cập tệp trang web và thay đổi/sửa chữa quyền WordPress. Bạn có thể chọn cách phù hợp nhất.
Thay đổi quyền tệp bằng cPanel
cPanel là phần mềm bảng điều khiển hosting phổ biến nhất, nên chúng tôi dùng nó cho hướng dẫn này. Nhà cung cấp web host của bạn có thể dùng phần mềm khác như Plesk hay Webmin. Các bước sẽ tương tự, dù giao diện có khác biệt.
- Đăng nhập vào tài khoản cPanel. Bạn sẽ tìm thấy liên kết trên bảng điều khiển web host, hoặc gõ /cpanel sau URL trang web.
- Nhấp vào File Manager trong phần Files.
- Tìm thư mục gốc của trang web, mở rộng để xem nội dung. Thường thư mục gốc là public_html.
- Tất cả tệp và thư mục trang web hiện hiển thị trong khung explorer. Một trong các cột là Permissions.
- Chuột phải vào tệp hoặc thư mục, chọn Change Permissions từ menu thả xuống.
- Hộp thoại quyền hiện ra, bạn thiết lập quyền cần thiết.
- Nhấp Change Permissions để lưu và thoát.
Lưu ý: Bạn có thể chọn nhiều tệp và thư mục để thay đổi quyền cùng lúc.
Thay đổi quyền WP bằng FTP
FTP là cách khác để kết nối máy chủ trang web để truy cập tệp. Bạn cần FTP client nếu web host không có giao diện dùng được. Chúng tôi dùng Cyberduck cho hướng dẫn này, FileZilla cũng là FTP client phổ biến.
- Đăng nhập máy chủ với thông tin FTP. Bạn cần tên máy chủ hoặc địa chỉ IP, tên user, mật khẩu. Đôi khi cũng cần số cổng.
- Tìm thư mục gốc, mở nó. Thường nhất là public_html.
- Nếu FTP client không tự hiển thị quyền tệp, bạn cần bật cài đặt đó. Chọn tệp/thư mục và chuột phải để thay đổi quyền. Trên Cyberduck, quyền nằm trong menu Info.
- Thay đổi quyền bằng checkbox hoặc nhập mã số 3 chữ số.
Thay đổi quyền WordPress bằng SSH (chmod)
SSH dùng giao diện dòng lệnh để tương tác với tệp trên máy chủ. Do đó, các thứ như quyền, dễ thấy qua File Manager của cPanel hay FTP client, không hiển thị ngay trên dòng lệnh. Vì vậy, có thêm vài bước để thay đổi quyền WordPress bằng SSH.
- Đăng nhập máy chủ từ dòng lệnh. Chúng tôi dùng macOS Terminal.
- Điều hướng đến thư mục gốc trang web. Trong trường hợp chúng tôi là public_html.
- Kiểm tra quyền hiện tại của tệp và thư mục bằng lệnh ls -l.
Lưu ý: Dấu gạch ngang đầu tiên trước quyền tệp chỉ loại tệp; tệp dùng dấu gạch ngang (-), thư mục dùng chữ d thường. Chúng độc lập với quyền.
- Dùng lệnh chmod để thay đổi quyền tệp hoặc thư mục.
Chúng tôi tạo thư mục tạm temp, và 2 thư mục con temp1 và temp2. Ở đây quyền của cả hai là 775, là quyền mặc định cho thư mục trên trang web này.
Sau đó, thay đổi quyền temp1 từ 775 thành 755. Cú pháp lệnh: chmod <quyền> <tên tệp hoặc thư mục>.
Như bạn thấy, dùng lại lệnh ls -l, quyền của temp1 đã thay đổi cho group owner.
Thiết lập quyền cho toàn bộ thư mục cùng lúc
Dùng lệnh chmod, bạn cũng có thể thay đổi quyền cho một thư mục và toàn bộ nội dung trong một lần. Cú pháp: chmod -R <quyền> <tên thư mục>. Cờ -R chỉ thực hiện đệ quy.
Chúng tôi thiết lập quyền thư mục temp và toàn bộ nội dung thành 750.
Tuy nhiên, chúng tôi khuyên thận trọng khi dùng lệnh đệ quy. Nó đôi khi dẫn đến kết quả không mong muốn, nên trừ khi bạn chắc chắn tuyệt đối, hãy thiết lập quyền từng cái một.
Thiết lập quyền cho tất cả tệp và thư mục trên trang web
Tuân theo khuyến nghị trên, bạn có thể muốn quy trình một bước để thiết lập tất cả quyền cho tệp và thư mục trang web. Bạn có thể dùng các lệnh sau để đặt quyền tệp 644 và quyền thư mục 755:
- find . -type f -exec chmod 644 {} +
- find . -type d -exec chmod 755 {} +
Sau khi thực thi, bạn sẽ thấy danh sách tệp và thư mục đã thay đổi quyền.
Hiểu giá trị umask
Trong một số bài viết, bạn có thể gặp lệnh umask trong bối cảnh quyền tệp. Lệnh umask khi chạy trả về một giá trị là độ lệch cho quyền tệp của một tài khoản user cụ thể. Giá trị đó được lệch từ quyền tệp mặc định 0666 và quyền thư mục mặc định 0777 cho tất cả tệp và thư mục mới tạo.
Ví dụ, khi chạy umask, trả về 0002. Nghĩa là mọi tệp mới tạo sẽ được gán quyền 666 trừ 002 = 664. Tương tự thư mục mới: 777 trừ 002 = 775. Đây không phải phép trừ, mà là độ lệch cho vai trò world.
Có cách thay đổi umask tạm thời và vĩnh viễn.
Thay đổi quyền WP bằng plugin
Nếu bạn không thoải mái với cPanel, FTP, hoặc SSH, bạn cũng có thể dùng plugin như All in One WP Security để thay đổi một số quyền tệp WordPress.
- Cài đặt và kích hoạt All in One WP Security từ wp-admin.
- Điều hướng đến Filesystem Security dưới WP Security từ menu trái.
- Tab đầu File Permissions liệt kê một số tệp và thư mục cốt lõi WordPress. Danh sách hiển thị cài đặt quyền hiện tại và khuyến nghị. Bạn có thể chọn thiết lập quyền thành khuyến nghị bằng cách nhấp nút đi kèm.
Plugin chỉ hiển thị một vài thư mục và tệp, và chỉ cho phép thiết lập quyền thành các giá trị khuyến nghị. Do đó, phạm vi thiết lập quyền WordPress bằng plugin nàyจำ need thiết.
Khi nào nên thay đổi quyền tệp và thư mục WordPress
Thay đổi quyền tệp có thể là nhiệm vụ đe dọa, nên tốt nhất biết khi nào thực sự cần thay đổi. Theo kinh nghiệm chúng tôi, nếu một nhà phát triển giàu kinh nghiệm hoặc web host cài đặt WordPress cho trang web của bạn, bạn nên để nguyên quyền.
Ngược lại, nếu bạn cài WordPress thủ công, thì việc thiết lập quyền theo khuyến nghị ở trên là hợp lý. Bạn cũng có thể cần thay đổi quyền nếu plugin hoặc theme báo lỗi. Chúng tôi sẽ đề cập các trường hợp cụ thể ở phần sau.
Lời khuyên của chúng tôi: luôn sao lưu trước khi thay đổi tệp trang web. BlogVault cung cấp bản sao lưu WordPress tốt nhất. Ngoài ra, khi khôi phục bản sao lưu BlogVault, bạn có thể chọn giữ quyền tệp mới, nên không phải thiết lập lại.
Khắc phục lỗi quyền tệp và thư mục
Quyền tệp WordPress đôi khi gây lỗi. Mỗi cấu hình hosting khác nhau, nên không có cài đặt quyền nào phù hợp cho tất cả. Dù bài viết này cố gắng đơn giản hóa theo hướng phổ biến nhất, vẫn có khả năng bạn gặp lỗi.
Dưới đây là các vấn đề thường gặp do quyền tệp:
Quyền tệp sai có thể làm sập trang web
Khi thiết lập quyền để cứng hóa trang web vì lý do bảo mật, tự nhiên sẽ thận trọng. Tuy nhiên, nếu bạn quá熱心 khi hạn chế truy cập, ví dụ đối với group owner, trang web có thể sập.
Tình huống này thường xảy ra vì quy trình máy chủ web cần tài khoản user để thực thi mã trên trang web. Thông thường, tài khoản user không phải là tài khoản owner, nên thường thuộc group owner. Nếu group owner không có đủ quyền, quy trình máy chủ web bị chặn và thất bại. Do đó, trang web sập.
Giải pháp: thiết lập quyền tệp theo khuyến nghị nêu trên.
Quyền tệp sai để trang web mở cửa cho hacker
Ở cực đối lập của sự thận trọng, là quyền tệp quá lỏng lẻo. Chúng tôi không thể nhấn mạnh đủ: quyền 777 là ý tưởng tồi. Đừng bao giờ làm vậy.
Cập nhật tự động thất bại nếu quyền quá chặt
WordPress cần truy cập wp-admin, wp-includes và nhiều tệp/thư mục cốt lõi khác để cập nhật tự động hoạt động. Chúng tôi đã nhắc nhiều lần, tuy nhiên nhiều admin chọn giữ quyền chặt chẽ hầu hết thời gian, và tạm thời nới lỏng khi WordPress cần cập nhật tự động.
Một số plugin yêu cầu quyền lỏng hơn
Quyền tệp WordPress đúng khá phép, và không nên gây lỗi plugin/theme. Nếu quyền đã đúng khuyến nghị mà vẫn gặp lỗi nói quyền quá chặt, chúng tôi khuyên liên hệ nhà phát triển plugin/theme để giải quyết. Họ có thể giải thích tại sao cần quyền lỏng hơn, và bạn quyết định có nên giảm bảo mật cho plugin/theme hay không.
‘Thiếu quyền tệp cần thiết để nhập mẫu.’
Thường do quyền tệp không nhất quán, và là thông báo lỗi thường thấy với theme Astra. Astra đã cung cấp giải pháp trong tài liệu của họ.
Lỗi ‘Thiếu thư mục tạm’ khi tải tệp lên trang web
WordPress cần thư mục tạm trong wp-content để tải tệp hoặc chạy cập nhật cốt lõi, plugin, theme. Nếu thư mục tạm không tồn tại, các thao tác này không hoạt động, lỗi hiện trên bảng điều khiển.
Bạn có thể thêm một dòng mã vào wp-config.php, đảm bảo nó có đúng quyền để thực thi đúng. Xem hướng dẫn chi tiết giải quyết vấn đề này.
‘Bạn cần làm cho tệp này có thể ghi trước khi lưu thay đổi. Xem Thay đổi Quyền Tệp để biết thêm.’
Bạn có thể gặp lỗi này khi chỉnh sửa tệp theme qua Theme Editor của WordPress. Lỗi xuất hiện khi quy trình chịu trách nhiệm thay đổi không có đủ quyền ghi. Để biết tài khoản nào được quy trình đó dùng, bạn cần liên hệ nhà phát triển hoặc web host.
Lỗi 403 Forbidden
Lỗi 403 Forbidden nghĩa là bạn không có quyền truy cập thứ bạn đang cố truy cập. Ví dụ, nếu chúng tôi truy cập thư mục wp-includes từ trình duyệt thay vì tài khoản FTP, sẽ thấy lỗi 403. Vì khi truy cập qua trình duyệt, quyền dùng là của world, không phải user hay group.
Các user đặc biệt trong WordPress
Trong một số hướng dẫn, bạn có thể thấy user được nhắc đến trong bối cảnh quyền tệp WordPress. Danh sách này không toàn diện, nhưng chúng tôi bao gồm một vài user phổ biến nhất:
Nobody
Đây là user đặc biệt không có quyền truy cập tệp. Chúng tôi chạy chương trình với nobody để đảm bảo ngay cả khi bị hack, hacker cũng không truy cập được tệp/thư mục quan trọng. Xem thêm chủ đề này trên StackExchange.
www-data
www-data là tài khoản user đặc biệt cũng là một group. Nó dùng để chạy quy trình máy chủ web, không nên có cùng quyền với owner.
Ảnh hưởng của quyền tệp và thư mục WordPress đến bảo mật
Theo thiết kế, máy chủ web (đặc biệt chạy Linux) được thiết kế để có nhiều user. Điều này cần thiết cho nhiều thao tác, nhưng cũng là rủi ro bảo mật. Do đó, để bảo vệ tệp và thư mục khỏi bị truy cập, thay đổi, chạy bởi bất kỳ ai, quyền được tạo ra.
Có hai khái niệm xen kẽ về quyền tệp: vai trò và quyền. Lo ngại bảo mật chủ yếu xuất phát từ quyền của group owner và world.
Chúng tôi quan tâm nhất đến việc đảm bảo world hoặc public không có quyền ghi cho tệp và thư mục. Vì chúng tôi không muốn ai đó sửa đổi tệp/thư mục trên trang web. Tương tự, không muốn một số tệp có thể thực thi hoặc đọc bởi công chúng, như wp-config.php. Nó chứa thông tin đăng nhập cơ sở dữ liệu, nên mở để mọi người đọc là thảm họa, và là lời mời mời phần mềm độc hại.
Các quan niệm sai lầm phổ biến về quyền tệp
Không phải lúc nào thiết lập cực kỳ chặt chẽ cũng tốt cho bảo mật vì điều đó sẽ khiến trang web không thể sử dụng. Cân bằng giữa hợp lý và quá lo sợ là chìa khóa.
Các vai trò user, group, world của WordPress thường bị nhầm lẫn với vai trò tài khoản user như administrator, contributor. Vai trò tài khoản user liên quan đến đặc quyền trên wp-admin, chỉ thị kiểm soát plugin, bài viết, theme. Còn khi nói về quyền tệp, chúng ta nói về tệp và thư mục trên máy chủ. Nếu suy nghĩ, thông tin đăng nhập wp-admin và FTP hoàn toàn khác nhau. Bởi hai thứ này hoàn toàn khác biệt.
Nếu bạn đăng nhập tài khoản admin của trang web, bạn vẫn không thể truy cập wp-config.php từ trình duyệt. Từ góc độ máy chủ, bạn là tài khoản public/world. Nhưng nếu đăng nhập máy chủ qua FTP, bạn dễ dàng thấy wp-config.php. Thực tế bạn không chỉ đọc mà còn sửa đổi nội dung. Vì tài khoản FTP của bạn là user sở hữu wp-config.php, hoặc có quyền đọc/sửa nó.
Kết luận
Chúng tôi hy vọng bài giới thiệu về quyền tệp WordPress này hữu ích. Quyền tệp WP là một bộ phận quan trọng trong bảo mật WordPress, thường được thảo luận trong bối cảnh cứng hóa WordPress.
Tuy nhiên, bảo mật tốt nhất cho trang WordPress của bạn là cài plugin bảo mật hàng đầu như MalCare. Với sức kết hợp của trình quét mã độc, công cụ dọn dẹp, và tường lửa nâng cao, MalCare là giải pháp bảo mật hoàn chỉnh cho trang WordPress của bạn.
Câu hỏi thường gặp
Làm thế nào để thay đổi quyền trên trang WordPress?
Bạn có thể thay đổi quyền tệp và thư mục WordPress thông qua cPanel, FTP, hoặc SSH. Dùng cPanel hoặc FTP, điều hướng đến tệp cần thiết, chuột phải, và thiết lập quyền mong muốn. Nếu dùng SSH, dùng lệnh chmod để thiết lập quyền.
Làm thế nào để sửa quyền tệp và thư mục WordPress?
Để sửa quyền tệp và thư mục trong WordPress, bạn cần truy cập tệp trên máy chủ trang web. Có 3 cách: dùng cPanel, FTP, hoặc SSH. Sau khi truy cập, điều hướng đến thư mục đúng, và thiết lập quyền WordPress chính xác.
Quyền 755 là gì?
Quyền 755 nghĩa là user owner có toàn quyền đọc, ghi, thực thi. Group owner và các user khác chỉ có quyền đọc và thực thi.
Tệp WordPress nên có quyền gì?
Tệp WordPress nên có tối đa 644 làm số quyền. Bất kỳ thứ gì lỏng lẻo hơn đều là nguy cơ bảo mật.