Permissões de arquivos no WordPress: 644 e 755 corretos

Tipo Seguranca

Nome do erro Permissões de arquivos e pastas incorretas EN: Incorrect file and folder permissions

Severidade Grave

Descrição Permissões de arquivos no WordPress definem quem pode ler, escrever e executar cada arquivo e pasta. Os valores corretos são 644 para arquivos, 755 para pastas e 600 para o wp-config.php; valores frouxos como 777 abrem o site para invasao.

O que é as permissões de arquivos e pastas no WordPress?

Permissões de arquivos são códigos de três digitos (como 644 ou 755) que o servidor usa para decidir quem pode ler, gravar e executar cada arquivo e pasta do WordPress. Cada digito representa, na ordem, o dono do arquivo, o grupo e todos os demais. Permissões corretas mantem o site funcionando e seguro ao mesmo tempo: o WordPress consegue escrever onde precisa, mas ninguem de fora consegue alterar arquivos sensiveis. O padrão recomendado e 644 para arquivos, 755 para pastas e 600 (ou 640) para o wp-config.php. Valores frouxos como 777 dao permissão de escrita para qualquer um e são uma das portas de entrada mais comuns de invasao.

Como identificar

O site retorna “403 Forbidden” em páginas ou no wp-admin por causa de pastas com permissão 777 que o servidor recusa.
Upload de mídia ou instalação de plugin falha com “Unable to create directory” ou “Could not write file”.
Um scanner de segurança aponta “arquivos com permissão 777” ou “wp-config.php legivel por todos”.
Plugins de segurança alertam que pastas em wp-content/uploads estão gravaveis por qualquer usuário.

Antes de começar: Não aplique 777 em nenhuma pasta, mesmo temporariamente, para destravar um upload. Essa permissão deixa qualquer processo do servidor gravar arquivos ali, e e exatamente o cenario que invasores usam para subir um backdoor em PHP.

Como prevenir

Use sempre 644 para arquivos, 755 para pastas e 600 para o wp-config.php, nunca 777
Após migrar ou restaurar backup, reaplique o padrão de permissões no novo servidor
Rode uma auditoria periodica em busca de arquivos gravaveis por todos (world-writable)

Causa

Permissão 777 aplicada em pastas ou arquivos para resolver um erro de escrita as pressas, deixando tudo gravavel.
Migração ou restauração de backup que trouxe permissões do servidor antigo, diferentes do novo host.
wp-config.php com permissão permissiva (644 ou mais), expondo as credenciais do banco a outros usuários.
Upload via FTP com umask errado, gerando arquivos sem a permissão de leitura que o servidor web precisa.
Pasta wp-content/uploads sem permissão de escrita para o usuário do servidor, travando uploads.

Como resolver

Defina o padrão em arquivos e pastas: via FTP ou SSH, aplique 644 a todos os arquivos e 755 a todas as pastas a partir da raiz do site:
```
find . -type f -exec chmod 644 {} ;
find . -type d -exec chmod 755 {} ;
```
Proteja o wp-config.php: restrinja a leitura do arquivo de configuração para que so o dono leia:
```
chmod 600 wp-config.php
```
Garanta escrita em uploads: confirme que a pasta wp-content/uploads e seus subdiretorios estão em 755 (ou 775 se o host exigir) para o WordPress conseguir gravar mídia.
Nunca use 777: se aplicou 777 para resolver um erro, reverta para 755 nas pastas e 644 nos arquivos. 777 permite que qualquer usuário do servidor escreva e e risco direto de invasao.
Confira o dono dos arquivos: se ainda houver erro de escrita, peca ao host para ajustar o owner/group dos arquivos para o usuário do servidor web; permissão certa com dono errado também falha.

BASH

# Aplica o padrao de permissoes do WordPress a partir da raiz do site.
# Arquivos em 644, pastas em 755, wp-config restrito.
find . -type d -exec chmod 755 {} ;
find . -type f -exec chmod 644 {} ;

# Restringe o arquivo de credenciais
chmod 600 wp-config.php

# Audita o que ficou com permissao perigosa (777) e arquivos gravaveis por todos
find . -type d -perm -0002 -ls
find . -type f -perm -0002 -ls

Perguntas frequentes

Quais são as permissões corretas no WordPress?

O padrão recomendado e 644 para arquivos, 755 para pastas e 600 (ou 640) para o wp-config.php. Esses valores deixam o WordPress escrever onde precisa sem permitir que usuários de fora alterem arquivos sensiveis.

Por que nunca devo usar 777?

Porque 777 da permissão de leitura, escrita e execução a qualquer usuário do servidor. Em hospedagem compartilhada, isso permite que um processo invasor grave um backdoor em PHP no seu site. Use 755 em pastas e 644 em arquivos.

Meu upload de mídia falha. Pode ser permissão?

Sim. Se a pasta wp-content/uploads não tiver permissão de escrita para o usuário do servidor web, o WordPress não consegue gravar a mídia. Coloque a pasta em 755 (ou 775 se o host exigir) e confira o dono dos arquivos.

Recebi 403 depois de mudar permissões. O que houve?

Muitos servidores recusam pastas com permissão 777 ou arquivos com bits de execução indevidos e retornam 403. Reverta as pastas para 755 e os arquivos para 644 para o servidor voltar a entregar o conteúdo.

Qual a permissão certa para o wp-config.php?

600, que permite leitura e escrita apenas ao dono. Como esse arquivo guarda as credenciais do banco, deixa-lo em 644 (legivel por todos) expoe usuário e senha a outros usuários do mesmo servidor.

Preciso refazer as permissões depois de uma migração?

Sim. A restauração costuma trazer permissões do servidor de origem, que podem não bater com o novo host. Reaplique 644 nos arquivos, 755 nas pastas e 600 no wp-config.php logo após migrar.

Grave

Como corrigir o código 2FA que não chega no All in One Security

O código 2FA do AIOS que não chega quase sempre não é um código por e-mail, e sim o código TOTP gerado pelo app autenticador sendo recusado no login. A causa principal é o relógio do servidor ou do celular fora de sincronia, porque o código TOTP é calculado pela hora e só vale por cerca de 30 segundos.

Atenção

Como desabilitar o directory browsing (listagem de diretorios) no WordPress

Desabilitar o directory browsing no WordPress impede que o servidor exiba a lista de arquivos de uma pasta sem index, como wp-content/uploads, quando alguem abre a URL da pasta. A correção usa a diretiva Options -Indexes no .htaccess (Apache) ou a opção de prevenir listagem do plugin All-In-One Security.

Grave

Como proteger contra ataques de forca bruta no login do WordPress

Um ataque de forca bruta no WordPress tenta adivinhar usuário e senha enviando milhares de combinacoes ao wp-login.php. A proteção combina limitar tentativas, exigir senha forte com 2FA e bloquear ou esconder a página de login.

Atenção

Como resolver Are you sure you want to do this no WordPress

Tem certeza que deseja fazer isso e a mensagem que o WordPress mostra quando o nonce de segurança de uma acao expira ou não confere. O nonce e um token temporario que prova que o pedido partiu de uma tela legitima, e ele caduca em cerca de 24 horas.

Grave

Como corrigir o 404 Lockout que bloqueia visitantes no All in One Security

O AIOS 404 lockout acontece quando o recurso 404 Detection do All in One Security conta os erros 404 de um visitante e bloqueia o IP dele depois de passar do limite no intervalo configurado. Quando assets quebrados, links antigos ou um favicon ausente geram 404 demais, o plugin tranca visitantes legitimos e até o próprio administrador.

Crítico

Como corrigir vulnerabilidade de plugin no WordPress atualizando com segurança

Uma vulnerabilidade de plugin no WordPress é uma falha de segurança conhecida (catalogada como CVE) numa versão específica do plugin. A correção real é atualizar para a versão que aplica o patch, depois de fazer backup e validar em ambiente de teste para não quebrar o site.

Setores

Extensões

Integrações

Como corrigir permissões de arquivos e pastas no WordPress

O que é as permissões de arquivos e pastas no WordPress?

Como identificar

Como prevenir

Causa

Como resolver

Perguntas frequentes

Itens relacionados

Como corrigir o código 2FA que não chega no All in One Security

Como desabilitar o directory browsing (listagem de diretorios) no WordPress

Como proteger contra ataques de forca bruta no login do WordPress

Como resolver Are you sure you want to do this no WordPress

Como corrigir o 404 Lockout que bloqueia visitantes no All in One Security

Como corrigir vulnerabilidade de plugin no WordPress atualizando com segurança

Setores

Extensões

Integrações

Extensões

Hero Sections

Seções de CTA

Login

Blog

Cabeçalhos

Seções de FAQ

Cadastro

Blog individual

Rodapés

Seções de contato

Seções de preços

Faixas

Portfólio

Seções de equipe

Números

Logotipos