Permisos CHMOD en cPanel | Guía para Evitar Vulnerabilidades

¿Qué son los permisos de archivos y por qué importan?

Imagina que tu hosting es un edificio con muchas habitaciones. Cada archivo y carpeta de tu sitio web tiene una puerta con una cerradura que dice quién puede entrar, quién puede leer lo que hay dentro y quién puede modificar o tirar los muebles. Esa cerradura digital se llama permisos de archivos, y el sistema que usamos para configurarla se llama CHMOD.

Cuando instalas WordPress, Joomla o cualquier script, el sistema asigna unos permisos por defecto. Sin embargo, a veces necesitas ajustarlos manualmente para solucionar problemas de carga, errores de escritura o, lo más importante, para proteger tu web de ataques.

Un error muy común es dejar todos los archivos con permisos demasiado abiertos (como 777). Eso es como dejar la puerta principal de tu casa abierta de par en par con un cartel que dice "pase usted". Cualquier bot o persona malintencionada podría inyectar código malicioso, borrar tu contenido o robarte información sensible.

En esta guía te voy a explicar, paso a paso y sin tecnicismos innecesarios, cómo cambiar los permisos cPanel de forma segura. Aprenderás qué números usar, cuándo usarlos y qué errores evitar para mantener tu seguridad archivos al máximo nivel.

Entendiendo los números mágicos: 644, 755, 777

Antes de tocar nada, necesitas entender el código. Los permisos se representan con tres números, y cada uno tiene un significado claro:

El primer número = permisos del propietario (tú, el dueño de la web).
El segundo número = permisos del grupo (usuarios del servidor, a veces el mismo que tú).
El tercer número = permisos de los demás (el resto del mundo, visitantes, bots).

Cada número es la suma de tres valores:

4 = permiso de lectura (puede ver el archivo).
2 = permiso de escritura (puede modificar o borrar).
1 = permiso de ejecución (puede ejecutar el archivo, como un script).

Así que:

644 = El propietario puede leer y escribir (4+2). El grupo y los demás solo pueden leer (4). Este es el estándar para archivos normales como imágenes, texto o código PHP.
755 = El propietario puede leer, escribir y ejecutar (4+2+1). El grupo y los demás pueden leer y ejecutar (4+1). Este es el estándar para carpetas y para scripts que necesitan ejecutarse, como los archivos de WordPress.
777 = Todos pueden leer, escribir y ejecutar. PELIGRO: cualquier persona con acceso al servidor puede modificar el archivo. Úsalo solo en casos muy concretos y temporales, y nunca lo dejes así.

[WARNING]
NUNCA uses 777 en archivos de configuración como wp-config.php o .env. Es la puerta abierta perfecta para que te hackeen. Si ves que un plugin o tutorial te pide 777, desconfía: busca una alternativa más segura.

Cómo cambiar permisos en cPanel: paso a paso

Acceder al administrador de archivos de cPanel es muy sencillo. Aquí tienes el método visual, que es el más recomendado para principiantes.

Paso 1: Entra a tu cPanel

Abre tu navegador y escribe la URL de tu panel. Normalmente es algo como tudominio.com/cpanel o tudominio.com:2083. Introduce tu usuario y contraseña.

Paso 2: Abre el Administrador de Archivos

Dentro de cPanel, busca la sección Archivos y haz clic en el icono Administrador de Archivos (File Manager). Se abrirá una ventana nueva. Asegúrate de que está marcada la opción Documento raíz del dominio (o "Web Root") y pulsa "Ir".

Paso 3: Navega hasta tu archivo o carpeta

Verás la estructura de carpetas de tu hosting. Normalmente tu web estará en public_html. Dentro, navega hasta la carpeta o archivo que quieras modificar.

Paso 4: Cambia los permisos

Haz clic derecho sobre el archivo o carpeta y selecciona Permisos (o "Change Permissions"). Se abrirá una ventana con casillas de verificación y un campo numérico.

Si prefieres el modo visual, marca o desmarca las casillas según lo que necesites.
Si ya sabes el número, escríbelo directamente en el campo Permisos (por ejemplo, 644).

Pulsa el botón Cambiar permisos (o "Change") y listo.

[TIP]
Si tienes muchos archivos que cambiar (por ejemplo, todas las carpetas de una instalación de WordPress), puedes hacerlo desde la terminal de cPanel (SSH) con el comando find y chmod, pero eso es para usuarios más avanzados. Para empezar, el método manual es suficiente.

¿Qué permisos usar en cada caso? Guía rápida

Aquí tienes una tabla práctica para no equivocarte:

Archivos normales (imágenes, CSS, JS, PHP, HTML): 644
Carpetas (directorios): 755
Archivos de configuración sensibles (wp-config.php, .htaccess): 644 (o incluso 600 si tu servidor lo permite, pero 644 es el estándar seguro).
Carpeta de subidas de WordPress (wp-content/uploads): 755 para la carpeta y 644 para los archivos dentro.
Scripts que necesitan escribir (caché, logs): 755 para la carpeta y 644 para los archivos. A veces necesitarás 664 (propietario y grupo escriben) si tu servidor usa el mismo usuario para PHP y FTP.

[INFO]
En la mayoría de los servidores compartidos, PHP se ejecuta como tu usuario. Por eso, los permisos 644 y 755 son casi siempre la opción correcta. Si usas un servidor con PHP-FPM o CGI, puede que necesites permisos más restrictivos, pero eso es cosa de tu proveedor.

Errores comunes y cómo solucionarlos

A veces, cambiar los permisos puede parecer que no hace nada o que empeora las cosas. Aquí tienes los problemas más habituales:

Error 500 (Internal Server Error)

Si ves este error después de cambiar permisos, es muy probable que hayas puesto permisos demasiado restrictivos en un archivo o carpeta que necesita ejecutarse. Vuelve a poner 755 en las carpetas y 644 en los archivos.

No puedo subir archivos ni instalar plugins

Esto suele pasar cuando la carpeta de subidas (uploads) o la carpeta de caché no tiene permisos de escritura. Comprueba que la carpeta tiene 755 y los archivos 644. Si sigue fallando, prueba con 775 (propietario y grupo escriben) o incluso 777 de forma temporal, sube lo que necesites y vuelve a poner 755.

[WARNING]
No te olvides de revertir los permisos a 755 después de hacer la instalación o subir el archivo. Dejarlo en 777 es una invitación al desastre.

Mi web es visible pero no puedo modificar nada

Esto es normal si tu usuario de FTP no es el propietario de los archivos. Si es tu caso, contacta con tu proveedor de hosting para que te asigne los permisos correctos o te indique cómo cambiar el propietario.

Seguridad extra: protege archivos críticos

Más allá de los permisos, hay dos archivos que debes vigilar especialmente:

1. El archivo `.htaccess`

Este archivo controla el comportamiento de Apache. Si lo modificas mal, puedes romper tu web. Los permisos ideales son 644. Nunca lo pongas a 666 o 777.

2. El archivo `wp-config.php` (en WordPress)

Contiene tus contraseñas de base de datos y claves secretas. Debe tener permisos 644 o incluso 600 si tu servidor lo permite. Si alguien logra leerlo, tendrá acceso total a tu base de datos.

[TIP]
Para una capa extra de seguridad, puedes mover wp-config.php una carpeta por encima de public_html (a la raíz del hosting). Así no será accesible desde el navegador, aunque los permisos sean correctos.

¿Y si uso Syspanel en lugar de cPanel?

Si tu proveedor usa Syspanel (antes conocido como HestiaCP), el proceso es muy similar, pero la interfaz cambia un poco. En Syspanel, el acceso se hace por el puerto 2106 (por ejemplo, tudominio.com:2106). Una vez dentro, busca el apartado de Archivos o Administrador de archivos, y podrás cambiar los permisos de la misma manera que en cPanel.

[INFO]
Syspanel es una alternativa moderna y ligera a cPanel. Si tu hosting lo usa, no te preocupes: los conceptos de CHMOD son exactamente los mismos. Solo cambia el color de los botones.

Preguntas frecuentes (FAQ)

¿Puedo cambiar los permisos de todos los archivos a la vez?

Sí, pero no lo hagas sin pensar. Si seleccionas una carpeta en el Administrador de Archivos, puedes cambiar los permisos de todo su contenido de una sola vez. Pero antes pregúntate: ¿todos los archivos necesitan el mismo permiso? Lo normal es que las carpetas sean 755 y los archivos 644. Si usas la opción "aplicar a subcarpetas", asegúrate de elegir bien.

¿Qué significa que un archivo tiene permiso 664?

Significa que el propietario y el grupo pueden leer y escribir, pero el resto del mundo solo puede leer. Es útil cuando tu servidor usa un usuario diferente para PHP y para FTP, pero es menos común en hosting compartido.

¿Por qué mi hosting me pide permisos 777 para instalar algo?

Algunos instaladores automáticos (como Softaculous) piden permisos de escritura temporales. Lo correcto es dárselos solo durante la instalación y luego revertirlos a 755 o 644. Si un plugin o tema te pide 777 de forma permanente, busca otro desarrollo: es una mala práctica de seguridad.

¿Cómo sé si mis permisos son correctos?

Una buena prueba es intentar cargar tu web y acceder al panel de administración. Si todo funciona y no ves errores, es muy probable que estén bien. También puedes usar herramientas online de escaneo de seguridad que te avisan si detectan archivos con permisos demasiado abiertos.

¿Qué hago si me han hackeado y sospecho que fue por permisos?

Primero, cambia todas tus contraseñas (cPanel, FTP, base de datos, WordPress). Después, revisa los permisos de todos tus archivos y ponlos en los valores seguros (644 y 755). Por último, busca archivos extraños en tu hosting (como shell.php o c99.php) y elimínalos. Si no te ves capaz, contacta con tu proveedor de hosting: suelen tener un equipo de seguridad que puede ayudarte.

Resumen final: la regla de oro

La regla de oro de los permisos cPanel es simple: el mínimo necesario para que funcione. Si un archivo solo necesita ser leído, ponle 644. Si una carpeta necesita que se creen archivos dentro, ponle 755. Y nunca, jamás, uses 777 de forma permanente.

Cambiar los permisos CHMOD en cPanel es una tarea que, bien hecha, mejora muchísimo la seguridad archivos de tu web. No es complicado, pero requiere un poco de lógica y sentido común. Con esta guía ya tienes todo lo necesario para hacerlo con confianza.

Si te surge cualquier duda, no dudes en consultar con tu proveedor de hosting o dejar un comentario en tu panel de soporte. ¡Mantener tu web sana y protegida está en tus manos!