การตั้งค่า File permissions ของ WordPress ที่เหมาะสมเป็นสิ่งสำคัญเพื่อความปลอดภัยของเว็บไซต์ แต่การตั้งค่าเริ่มต้นนั้นยังไม่เพียงพอสำหรับความปลอดภัย
File permissions (สิทธิ์การเข้าถึงไฟล์) คือ สิทธิ์ของไฟล์ที่กำหนดว่าใครสามารถ อ่าน เขียน และเรียกใช้ไฟล์ ที่ประกอบเป็นเว็บไซต์ หากตั้งค่าที่ไม่ถูกต้องอาจเปิดการเข้าถึงไฟล์ไว้ และทำให้แฮกเกอร์สามารถแก้ไข และเพิ่มสแปมหรือมัลแวร์ในเว็บไซต์เราได้
ในบทความนี้จะอธิบายเกี่ยวกับการตั้งค่า File Permission และค่าที่แนะนำสำหรับ WordPress กันนะครับ
WordPress File Permissions ทำงานอย่างไร?
File Permissions จะกำหนดว่าใครสามารถเข้าถึงไฟล์และประเภทของการเข้าถึงไฟล์ โดยจะจัดเรียงเป็นชุดข้อมูล ซึ่งจะมีลักษณะเป็นชุดตัวเลขสามหลัก หรือเป็นชุดตัวอักษรและขีดกลาง(-)ผสมกัน
การกำหนดว่าใครสามารถเข้าถึงไฟล์ได้จะมีอยู่สามตัวเลือก คือ
- User – ผู้ดูแลเว็บไซต์
- Group – ผู้ใช้อื่นๆในเว็บไซต์ เช่น บรรณาธิการ นักเขียน หรือผู้ใช้อื่นๆ ที่ไม่ใช้ผู้ดูแลเว็บไซต์
- World – ทุกคนบนอินเทอร์เน็ต
นอกจากนี้ยังมีกำหนดค่าที่แตกต่างกันสามประเภทที่ User, Group และ World สามารถทำได้ คือ
- Read – ความสามารถในการอ่าน ดูเนื้อหาของไฟล์
- Write – สามารถเขียน แก้ไข และเปลี่ยนแปลงไฟล์ได้
- Execute – สามารถเรียกใช้เนื้อหาของไฟล์ หรือรันสคริปต์ได้
จากนั้นสิทธิ์ของไฟล์จะถูกจัดเรียงเป็นตัวเลขสามตัวตามลำดับดังนี้
- สิทธิ์ที่มอบให้กับ User
- ให้สิทธิ์การเข้าถึงแก่ Group
- สิทธิ์ที่มอบให้กับ World
สำหรับตัวเลขแต่ละหมายเลขจะสอดคล้องกับระดับการอนุญาต หรือการอนุญาตรวมกัน มีหมายเลขสำหรับการอนุญาตไฟล์ทุกระดับ ดังต่อไปนี้:
- 0 – ไม่สามารถเข้าถึงได้
- 1 – Execute
- 2 – Write
- 3 – Write และ execute
- 4 – Read
- 5 – Read และ execute
- 6 – Read และ write
- 7 – Read, write และ execute
ตัวอย่างการกำหนดค่า file permission 644
User สามารถ read และ write ได้
Group สามารถ Read ได้อย่างเดียว
World สามารถ Read ได้อย่างเดียว
ค่า File Permission ที่แนะนำสำหรับ WordPress
หากไม่ได้ตั้งค่าการอนุญาตไฟล์ WordPress อย่างถูกต้อง ก็อาจให้สิทธิ์เข้าถึงมากเกินไป โดยไม่ได้ตั้งใจหรือให้กับบุคคลที่ไม่ควรมีสิทธิ์ในการเข้าถึงไฟล์ จะเป็นการอนุญาตให้บุคคลเหล่านั้นสามารถเปลี่ยนแปลงเว็บไซต์โดยที่เราไม่ต้องการได้ เช่น การแก้ไขไฟล์ การเปลี่ยนแปลงเส้นทาง หรือวางลิงก์สแปมในเว็บไซต์
แต่ถ้ากำหนดค่าที่จำกัดเกินไปโดยไม่ถูกต้อง ก็ทำให้ไม่สามารถเรียกใช้งานเว็บไซต์ หรือใช้งานฟังก์ชันบางอย่างของ WordPress ได้ เช่น ไม่สามารถเพิ่มรูปภาพได้
File Permission ที่ WordPress Codex แนะนำ
- Folders – 755
- Files – 644
- wp-config.php – 600
- .htaccess – 644 หรือ 600
File Permission ที่ iThemes Security แนะนำ
- Folders – 755
- wp-config.php – 444
- .htaccess – 444
อ้างอิง – wp-rocket
