パーミッションの仕組み
多くのWebサーバーでは、ファイルやフォルダごとに「誰が・何をしてよいか」が決められています。これがパーミッションです。たとえるなら、部屋ごとの鍵の配り方です。持ち主には合鍵を渡し、同じ建物のほかの住人には「見るだけ」を許し、外の人には何も許さない、といった分け方をします。
パーミッションでは、次の3種類の相手それぞれに、3種類の操作を許すかどうかを決めます。
- 相手：所有者、グループ、その他（それ以外のすべて）
- 操作：読み取り（
r= 4）、書き込み（w= 2）、実行（x= 1）
この数字を相手ごとに足し合わせ、3桁の数字で表します。たとえば 644 は「所有者は読み書きでき、グループとその他は読み取りだけ」、755 は「所有者はすべてでき、ほかは読み取りと実行だけ」という意味です。
WordPressサイトでの例
WordPressの公式資料では、共用のレンタルサーバーでの例として次の値が示されています。
- フォルダ：
755または750 - ファイル：
644または640 - wp-config.php：
440または400（ほかの利用者に読まれないようにするため）
ただし、適切な値はサーバーの仕組みによって変わるため、契約しているサーバー会社の推奨値を優先してください。
パーミッションに関係する被害には、次のようなものがあります。
777の放置：誰でも書き込める状態のため、同じサーバーの別のサイトから侵入された場合などに、ファイルを書き換えられやすくなる- 攻撃者による変更：改ざんしたファイルを持ち主が直せないよう、攻撃者がパーミッションを書き換えることがある。直したはずのファイルが元に戻らない、上書きできないといった形で表れます
確認方法
- FTPソフトやサーバーのファイルマネージャーで、ファイルやフォルダの「属性」「パーミッション」の欄を確認する
777になっているフォルダやファイルがないか確認するindex.phpや.htaccessなど、変更した覚えのないファイルのパーミッションが、ほかと違う値になっていないか確認する
対策
- サーバー会社の推奨値に合わせ、必要以上に広い権限を与えない
- 動作しないからといって、安易に
777に変更しない - 改ざんの被害を受けたら、ファイルの中身だけでなく、パーミッションも元の値に戻っているか確認する
パーミッションを変えるとサイトが動かなくなることもあります。変更の前には現在の値を控えておき、判断に迷う場合は専門業者に相談してください。
