Правильные права на файлы Битрикс: 644 для файлов и 755 для папок (или 664 и 775 на некоторых конфигурациях хостинга), владельцем должен быть пользователь, от которого работает сайт. Права 777 - «читать, писать и исполнять разрешено всем» - на боевом сайте недопустимы: любой процесс на сервере, включая взломанный соседний сайт на виртуальном хостинге, сможет перезаписать ваши файлы и подложить вредоносный код. Если сайт «завёлся» только после chmod 777, значит, неверно настроен владелец файлов - и чинить нужно его, а не раздавать права всем подряд.
Чем опасны права 777 на реальном хостинге
На виртуальном хостинге рядом с вами живут десятки чужих сайтов. При корректной изоляции они не видят ваши файлы, но изоляция бывает неполной, а взломанный соседский сайт - активным источником атак. Файл с правами 777 такой сосед может дописать или заменить: добавить редирект в index.php, залить шелл в папку загрузок, дописать бэкдор в init.php. Дальше - классика: спам с вашего домена, дорвеи, красный экран в браузере. Что делать, если это уже случилось, - в плане действий при взломе сайта.
Второй слой риска - внутренний. С правами 777 любой скрипт самого сайта, включая уязвимый модуль, может переписать что угодно: заражение из одной дырявой формы мгновенно расползается по всем папкам. Ограниченные права не остановят взлом полностью, но резко сузят зону поражения и упростят лечение.
Какие права ставить на файлы и папки Битрикс
| Объект | Права | Комментарий |
|---|---|---|
| Файлы php, шаблоны, статика | 644 | Пишет только владелец, остальные читают |
| Папки | 755 | Заходить могут все, менять содержимое - владелец |
| Папка upload и кэш | 755, запись от пользователя сайта | Плюс запрет исполнения php на уровне сервера |
| Файлы с паролями (dbconn.php, .settings.php) | 600 или 644 | Чем уже доступ, тем лучше: там реквизиты базы |
| Что угодно с правами 777 | Недопустимо | Сигнал кривой настройки владельца процессов |
Как проверить и исправить права: порядок действий
- Посмотрите текущую картинуВ файловом менеджере хостинга или по SSH проверьте права на корень сайта, /bitrix, upload и файлы настроек. Ищите 777 и чужого владельца.
- Выясните пользователя сайтаСайт должен работать от вашего пользователя хостинга (mod_php от имени пользователя, php-fpm), тогда права 644/755 не мешают загрузкам и кэшу.
- Массово исправьте праваВсем папкам - 755, всем файлам - 644, файлам настроек - 600. На хостинге это одна операция в менеджере файлов или две команды по SSH.
- Задайте права в настройках БитриксBX_FILE_PERMISSIONS 0644 и BX_DIR_PERMISSIONS 0755, чтобы новые файлы создавались правильными.
- Проверьте работу сайтаЗагрузите картинку в админке, очистите и прогрейте кэш, отправьте тестовую форму. Если что-то упало с ошибкой доступа - разбирайтесь с владельцем процесса, а не возвращайте 777.
Проведём аудит безопасности сайта
Проверим права, владельцев, настройки PHP и проактивную защиту, исправим найденное и закрепим правильную конфигурацию. Отчёт - что было, что стало и почему так безопаснее.
Откуда вообще берутся права 777 на сайтах
Почти всегда - из спешки. Переехали на новый хостинг, загрузка файлов перестала работать, времени разбираться нет - chmod 777 на upload, «потом поправим». Подрядчик сдал сайт, где кэш писался с ошибками, - 777 на /bitrix/cache. Самописный модуль требовал записи куда не положено - 777 на весь корень. Каждый такой костыль остаётся навсегда, пока не выстрелит. Отдельная беда - инструкции с форумов десятилетней давности: совет «поставьте 777» до сих пор кочует из темы в тему, будто последствий не существует. Если модуль или интеграция не работают без опасных прав - это дефект кода, и его стоит исправить в рамках доработки сайта, а не компенсировать дырой в безопасности.
Частые вопросы о правах на файлы
Хостер говорит, что 777 - это нормально. Так бывает?
Почему после исправления прав перестали загружаться картинки?
Влияют ли права на файлы на скорость сайта?
Как часто проверять права на файлы?
Права 644/755 и правильный владелец - гигиенический минимум, который закрывает целый класс атак и стоит полчаса работы. Не уверены, что на вашем сайте всё так, - проверим: в рамках администрирования сайтов Alavir аудит прав и настроек входит в первый же месяц обслуживания. С 2013 года, 450+ проектов, официальный партнёр 1С-Битрикс.
