Permessi file WordPress (Chmod): Guida alla sicurezza del server e impostazioni consigliate

Permessi file WordPress: la regola base è 755 per le cartelle, 644 per i file e, per il delicato file wp-config.php, idealmente 600 o 640 a seconda della configurazione del server. Queste impostazioni garantiscono il funzionamento corretto di WordPress, limitando però le modifiche alle cartelle, ai temi, ai plugin e ai file core da parte di utenti non autorizzati. In sintesi: concedi sempre solo i permessi minimi necessari al funzionamento del sito, mai di più.

La sicurezza WordPress non si limita a password robuste, plugin aggiornati o certificato SSL. Se i permessi sul filesystem sono configurati male, un attaccante può caricare file PHP dannosi, modificare file di temi, leggere i dati del database dal wp-config.php o installare una “backdoor” permanente sul sito. Per questo, le impostazioni chmod sono fondamentali, soprattutto se usi hosting condiviso, VPS, server cloud o soluzioni managed WordPress. Se vuoi una piattaforma WordPress sicura e aggiornata, anche la scelta dell’hosting è cruciale: Pacchetti di hosting WordPress

Cosa sono i permessi file di WordPress?

I permessi file di WordPress definiscono chi può fare cosa (leggere, scrivere, eseguire) su file e cartelle presenti sul server. Nei server Linux, questi permessi si gestiscono di solito col comando chmod. I valori chmod rappresentano tre tipi di permessi: lettura, scrittura ed esecuzione, assegnati separatamente a proprietario, gruppo e altri utenti.

Con WordPress, CMS basato su PHP, trovare un equilibrio nei permessi è essenziale. Permessi troppo restrittivi bloccano funzioni vitali: non puoi caricare media, aggiornare plugin o generare cache. Permessi troppo permissivi invece creano falle: soprattutto il famigerato 777, che permette a chiunque di scrivere, facilitando attacchi tramite upload di file dannosi.

Come si leggono i valori Chmod?

I valori Chmod sono formati da tre cifre, ciascuna per un livello di utente: la prima è il proprietario del file, la seconda il gruppo, la terza tutti gli altri. Ogni cifra rappresenta la somma dei permessi:

• 4: Lettura
• 2: Scrittura
• 1: Esecuzione
• 7: Lettura + scrittura + esecuzione
• 6: Lettura + scrittura
• 5: Lettura + esecuzione

Ad esempio, 755 consente al proprietario di leggere, scrivere ed eseguire; gruppo e altri possono solo leggere ed eseguire. 644 permette al proprietario di leggere e scrivere, agli altri solo di leggere. L’esecuzione sulle cartelle (cioè la possibilità di “entrare” e vedere il contenuto) è necessaria, da qui il valore standard 755 per le directory.

Valori Chmod consigliati per WordPress

L’obiettivo: far funzionare il sito senza concedere permessi di scrittura inutili. Ecco una tabella riassuntiva dei permessi file WordPress più sicuri e usati:

Questi valori vanno bene per la maggior parte degli hosting cPanel, LiteSpeed, Apache o Nginx. Ma la struttura del server può variare: PHP-FPM, suPHP, mod_php, container, proprietà utente/gruppo personalizzate… possono influenzare le impostazioni. Prima di cambiare permessi, fai sempre un backup e testa le funzionalità del sito. Per info su backup regolari: Guida al Backup del Sito Web

Perché i permessi 777 sono pericolosi?

777 significa che chiunque può leggere, scrivere ed eseguire su un file o una cartella. Alcuni vecchi tutorial suggeriscono 777 come soluzione rapida, ma è un grave rischio per la sicurezza moderna di WordPress. Chiunque può caricare script malevoli, modificare file PHP o inserire “backdoor”.

Un errore comune: dare 777 alla cartella wp-content/uploads. Serve per media (immagini, PDF, video), ma se un attaccante sfrutta un plugin vulnerabile per caricare un file PHP, e la cartella è eseguibile, può lanciare comandi sul server. Non è solo il plugin vulnerabile, ma anche la permissività dei permessi che amplifica il danno.

Cosa usare al posto di 777?

Nella maggior parte dei casi, 755 basta per le cartelle. Se WordPress non carica media o non aggiorna plugin, non dare subito 777: controlla la proprietà dei file. Se i file sono assegnati all’utente sbagliato, il server non può scrivere. Meglio correggere la proprietà con chown o usare lo strumento di riparazione permessi nel pannello di controllo hosting, piuttosto che allentare i permessi.

Proprietà file WordPress e relazione con Chmod

I permessi Chmod non bastano: anche la proprietà di file e cartelle è fondamentale. Un file con permessi 644, ma assegnato al proprietario sbagliato, non può essere aggiornato da WordPress. Se manca la proprietà corretta, il caricamento media su uploads fallisce.

In un setup sicuro, i file WordPress devono essere assegnati all’utente dell’account hosting. Di solito, hosting condiviso gestisce questo in automatico. Su VPS o server dedicato, bisogna configurare web server, pool PHP-FPM e utente sito in modo coerente. Separare ogni sito con un utente Linux dedicato riduce il rischio che una falla si propaghi tra siti. Su progetti aziendali o ad alto traffico, questa separazione è un livello critico di isolamento, tanto quanto i permessi.

Come controllare i permessi file WordPress: passo dopo passo

Puoi controllare i permessi WordPress con File Manager cPanel, client FTP o via SSH. Ecco i passaggi consigliati:

1. Backup prima di tutto

Prima di modificare permessi in massa, esegui un backup completo del sito: include file WordPress, cartella wp-content e database. Un comando chmod errato può rendere il sito inaccessibile o causare errori nel pannello di amministrazione. Se hai backup automatico, verifica la data dell’ultimo; altrimenti, scarica manualmente via FTP e esporta il database.

2. Elenca i permessi attuali

Se hai accesso SSH, puoi controllare permessi e proprietà nella root WordPress. Cerca deviazioni da 755 (cartelle) e 644 (file), segnala valori pericolosi come 777, 775, 666. Con cPanel File Manager, puoi vedere la colonna permessi e modificarli uno a uno.

3. Imposta 755 sulle cartelle

La root WordPress e le sottocartelle dovrebbero avere 755. Così sono navigabili, ma nessuno può scrivere indiscriminatamente. Attenzione a non applicare 755 ai file: la maggior parte dei file PHP non richiede esecuzione, quindi meglio lasciarli a 644.

4. Imposta 644 sui file

Core WordPress, temi e plugin vanno impostati a 644. Questo permette la lettura al server, ma impedisce modifiche da parte di gruppo e altri utenti. Se vuoi modificare file tema/plugin dal pannello WordPress, per sicurezza è meglio disabilitare questa funzione in produzione.

5. Restringi wp-config.php

wp-config.php contiene nome database, utente, password, chiavi di sicurezza e prefissi tabelle. Qui, 600 o 640 sono preferibili a 644. In alcuni hosting condivisi, 600 può causare errori; in tal caso, prova 640. Dopo il cambio, testa sia il frontend sia il backend. Se ricevi errori 500, consulta il supporto hosting per individuare il valore ottimale. Per la sicurezza WordPress, valuta anche l’uso di SSL: acquista certificato SSL

6. Proteggi il file .htaccess

.htaccess gestisce URL, redirect, regole di sicurezza, cache e controlli d’accesso. 644 è sufficiente, 640 è più restrittivo. Alcuni plugin scrivono nel file .htaccess; meglio inserire tu manualmente le regole necessarie e poi restringere di nuovo i permessi.

Best practice per wp-content, uploads, temi e plugin

La cartella wp-content è il cuore dinamico di WordPress: qui si trovano plugin, temi, file di lingua e media upload. Molti attacchi partono da plugin vulnerabili, temi obsoleti o upload incontrollati proprio in questa directory.

Blocca l’esecuzione di PHP in uploads

uploads contiene file caricati dagli utenti. Di norma, non serve eseguire PHP qui. Aggiungi una regola .htaccess o Nginx per bloccare l’esecuzione di PHP nella cartella uploads. Così, anche se viene caricato un file PHP da un attaccante, non potrà essere eseguito. Questo è un efficace strato di difesa aggiuntivo che si somma ai permessi.

Disabilita l’editor di temi e plugin

L’editor di file dal pannello WordPress rappresenta un rischio se l’account admin viene compromesso: un attaccante può inserire codice PHP direttamente. Aggiungi la costante DISALLOW_FILE_EDIT nel wp-config.php per disabilitare questa funzione. In questo modo, anche con accesso admin, non sarà possibile modificare file PHP dal backend.

Elimina temi e plugin inutilizzati

Temi e plugin non attivi possono essere veicoli di vulnerabilità. Non basta disattivarli: meglio eliminarli completamente. Lascia solo il tema attivo, un tema di default come backup e i plugin realmente necessari. Meno file, meno superficie di attacco.

Come rafforzare Chmod con le impostazioni di sicurezza del server

I permessi corretti sono la base, ma non bastano. Impostazioni aggiuntive lato server rafforzano la sicurezza WordPress e riducono la probabilità di attacco.

Usa una versione PHP aggiornata

PHP obsoleto è un rischio per performance e sicurezza. Scegli sempre la versione supportata e aggiornata di PHP. È più veloce e resistente alle vulnerabilità conosciute. Aggiorna la versione dal pannello hosting e testa la compatibilità di temi e plugin.

Installa un Web Application Firewall (WAF)

Il WAF blocca richieste malevoli prima che raggiungano WordPress: protegge da SQL injection, XSS, upload di file e attacchi brute force. Su siti WordPress ad alto traffico, il WAF completa le impostazioni chmod. Per infrastrutture sicure, consulta le opzioni su Soluzioni di web hosting sicuro.

Disabilita la lista delle directory

Se la lista delle directory è attiva, chiunque può vedere i file nelle cartelle senza index.html, scoprendo plugin, temi o backup. Su Apache, usa Options -Indexes; su Nginx, autoindex off. Un piccolo dettaglio che ostacola la fase di “ricognizione” di un attaccante.

Non salvare backup e database nella root pubblica

Un errore grave è lasciare file backup (backup.zip, site-old.tar.gz, database.sql) nella public_html: sono facilmente scaricabili. Conserva i backup in aree non accessibili via web o usa storage remoto sicuro. Per gestione completa di dominio e DNS: Registrazione del dominio e gestione DNS

Differenze tra hosting condiviso, VPS e server dedicato

Le impostazioni chmod sono simili, ma il tipo di hosting cambia le responsabilità operative. In hosting condiviso, permessi, proprietà file, modalità PHP e moduli di sicurezza sono gestiti dal provider. Su VPS o server dedicato, devi occuparti anche di isolamento utenti, firewall, monitoraggio log, configurazione dei servizi e aggiornamenti automatici.

In hosting condiviso, 644 e 755 funzionano bene. Su VPS, è consigliato usare pool PHP-FPM separati per ogni sito, con utenti diversi. Su server dedicato, aggiungi monitoraggio centralizzato dei log, scansione malware, controllo integrità file e applicazione automatica delle patch di sicurezza. Se gestisci più siti WordPress, assegna un account separato per ogni cliente: così una falla non si propaga a tutto il server.

Errori comuni con chmod su WordPress

Molti errori derivano dalla fretta di risolvere problemi. Ecco quelli più frequenti:

• Dare 777 a tutto il sito: Risolve problemi di upload, ma crea una voragine di sicurezza.
• Lasciare wp-config.php a 644: Funziona, ma si può restringere di più.
• Non controllare la proprietà file: A volte il problema non è chmod, ma chown.
• Modificare permessi senza backup: Un errore può bloccare il sito.
• Permettere esecuzione PHP in uploads: Amplifica gli effetti di vulnerabilità upload.
• Non cancellare plugin obsoleti: Anche file inattivi possono essere bersagli.

Checklist sicurezza permessi WordPress

Usa questa lista per controllare il sito prima della pubblicazione, dopo la manutenzione o pulizia post-attacco:

• Cartelle impostate a 755
• File impostati a 644
• wp-config.php restrizione a 600 o 640
• .htaccess controllato a 644 o 640
• Nessuna cartella/file con 777
• PHP disabilitato nella cartella uploads
• Editor file tema/plugin disabilitato
• Temi e plugin inutilizzati eliminati
• PHP aggiornato all’ultima versione
• Piano di backup e ripristino attivo

Questa checklist va applicata a siti nuovi, dopo interventi di manutenzione e pulizia post-attacco. La sicurezza non è un’azione una tantum, ma un processo continuo da monitorare.

Test post-chmod: come verificare che tutto funzioni

Dopo aver modificato i permessi, non basta aprire la homepage. Accedi al pannello WordPress, carica un nuovo file media, aggiorna plugin, salva i permalink, prova moduli che scrivono su disco (form di contatto, cache, ecc). Se usi plugin di cache, verifica che la cartella cache possa creare i file necessari. Con WooCommerce o altri sistemi dinamici, testa ordini, pagamenti, fatture e download.

Se vedi errori 403, i permessi sono troppo restrittivi. Errori 500 sono spesso dovuti a regole .htaccess, permessi PHP o proprietà file sbagliata. Se l’upload media fallisce, controlla proprietà e permessi della cartella uploads. Prima di dare 777, analizza i log di errore: è il metodo più efficace.

Conclusioni: il principio del minimo privilegio per i permessi WordPress

La base sicura per i permessi WordPress è: 755 per cartelle, 644 per file, 600 o 640 per wp-config.php. Ma la vera sicurezza nasce dall’integrazione di proprietà file adeguata, PHP aggiornato, WAF, backup, blocco esecuzione PHP in uploads e eliminazione plugin inutili. Seguendo il principio del minimo privilegio, garantisci sia il funzionamento del sito sia la difficoltà per gli attaccanti di causare danni permanenti.

Se vuoi ospitare il tuo sito WordPress su una piattaforma sicura, veloce e facilmente gestibile, scopri le soluzioni hosting, SSL e dominio di Hostragons. Il nostro team è pronto ad aiutarti a scegliere la configurazione più adatta alle tue esigenze. Pacchetti Hosting Hostragons

Domande frequenti

Quali permessi devo impostare sui file WordPress?

Consigli standard: cartelle a 755, file a 644, wp-config.php a 600 o 640. Questi valori offrono un buon equilibrio tra sicurezza e funzionalità su quasi tutti gli hosting.

È sicuro dare 777 a wp-content/uploads?

No. 777 permette a chiunque di scrivere nella cartella, esponendo il sito a rischi di upload di file dannosi. Di solito basta 755; se hai problemi, controlla la proprietà del file.

Se imposto 600 su wp-config.php, il sito può smettere di funzionare?

In alcune configurazioni server, 600 va bene; in altre può causare errori 500. Se accade, prova 640. L’importante è usare il permesso più restrittivo che il server è in grado di leggere.

I permessi Chmod influenzano la SEO?

Non direttamente, ma permessi sbagliati possono causare errori di accesso o vulnerabilità, influendo negativamente sulla SEO del sito.

Posso modificare i permessi file da cPanel?

Certo. Nel File Manager di cPanel puoi modificare i permessi cliccando con il tasto destro sul file o cartella interessata. Fai attenzione nelle modifiche in massa e ricordati sempre di eseguire un backup prima.