Permisos de Archivos en WordPress: Guía de Seguridad (chmod)

¿Qué son los permisos de archivos en WordPress y por qué deberían importarte?

Cuando hablamos de permisos archivos wordpress, nos referimos a un sistema de seguridad que controla quién puede leer, escribir o ejecutar cada archivo y carpeta de tu sitio web. Es como las llaves de tu casa: cada llave (permiso) abre ciertas puertas y no otras. En WordPress, estos permisos se expresan con números como 644, 755 o 444.

Cada número tiene un significado:

4 = Permiso de lectura (puedes ver el archivo).
2 = Permiso de escritura (puedes modificar el archivo).
1 = Permiso de ejecución (puedes ejecutar el archivo, como un script).

Estos valores se combinan en tres grupos: el propietario (tú), el grupo (usuarios del servidor) y otros (el público). Por ejemplo, el permiso 644 significa:

Propietario: lectura y escritura (4+2=6).
Grupo: solo lectura (4).
Otros: solo lectura (4).

Si los permisos son demasiado abiertos (por ejemplo, 777), cualquier persona podría modificar o eliminar tus archivos, lo que abre la puerta a ataques de malware o hackeos. Por eso, entender el chmod wordpress es esencial para la seguridad wordpress.

¿Cuáles son los permisos correctos para WordPress?

Antes de cambiar nada, necesitas saber cuál es el estado ideal. Aquí tienes la guía rápida:

Archivos (no ejecutables)

644 es el estándar. Permite al propietario leer y escribir, y al resto solo leer.
640 si quieres restringir el acceso al grupo (útil en servidores con múltiples usuarios).

Carpetas o directorios

755 es el valor recomendado. Permite al propietario leer, escribir y ejecutar; al grupo y otros solo leer y ejecutar.
750 para entornos más restrictivos (solo el propietario y el grupo tienen acceso completo).

Archivos especiales (wp-config.php)

600 o 640 son los más seguros. Este archivo contiene tus claves de base de datos y credenciales. Si alguien lo lee, tu sitio está comprometido.

Archivos de subida (wp-content/uploads)

755 en la carpeta y 644 en los archivos dentro de ella. Esto permite que WordPress suba imágenes y documentos sin problemas.

Archivos ejecutables (como .php en plugins o temas)

644 es suficiente. No necesitas permisos de ejecución adicionales para que funcionen.

[WARNING] Nunca uses 777 en ningún archivo o carpeta de WordPress. Es el equivalente a dejar la puerta de tu casa abierta de par en par. Cualquier atacante podría inyectar código malicioso o borrar tu sitio.

¿Cómo cambiar los permisos de archivos en WordPress?

Ahora viene la parte práctica. Hay varias formas de hacerlo, desde la más sencilla (con un plugin) hasta la más técnica (con línea de comandos). Aquí te explico todas, para que elijas la que mejor se adapte a tu nivel.

Opción 1: Usar un plugin de seguridad (la más fácil)

Si no te sientes cómodo con FTP o terminales, un plugin puede hacer el trabajo por ti. Algunos recomendados son:

Wordfence Security: Incluye una herramienta para revisar y corregir permisos.
iThemes Security: También ofrece corrección de permisos en su panel.
All In One WP Security: Tiene una sección específica para esto.

Pasos generales con un plugin:

Instala y activa el plugin desde el menú de Plugins en tu panel de WordPress.
Ve a la sección de Seguridad o Configuración avanzada.
Busca la opción "Permisos de archivos" o "File Permissions".
El plugin escaneará tu instalación y te mostrará una lista de archivos con permisos incorrectos.
Haz clic en "Corregir" o "Aplicar permisos recomendados".

[TIP] Los plugins son ideales si tu sitio ya está montado y solo quieres una solución rápida. Pero recuerda: no todos corrigen todo, así que después de usarlos, verifica manualmente con un cliente FTP.

Opción 2: Usar un cliente FTP (FileZilla, Cyberduck, etc.)

Esta es la forma más común y no requiere conocimientos avanzados. Solo necesitas las credenciales FTP de tu hosting.

Pasos:

Conéctate a tu servidor usando un cliente FTP como FileZilla.
Navega hasta la carpeta raíz de tu WordPress (normalmente public_html o www).
Selecciona todos los archivos y carpetas (Ctrl+A en Windows, Cmd+A en Mac).
Haz clic derecho y elige "Permisos de archivos" o "File permissions".
Se abrirá una ventana donde puedes introducir el valor numérico, por ejemplo, 755 o 644.
Marca la casilla "Aplicar a subcarpetas" y luego elige "Aplicar solo a archivos" o "Aplicar a carpetas" según lo que estés configurando.
Haz clic en OK y espera a que el proceso termine.

Consejo práctico: Hazlo por partes. Primero cambia todas las carpetas a 755 y luego todos los archivos a 644. Así evitarás errores.

[INFO] En FileZilla, si seleccionas una carpeta y eliges "Aplicar a subcarpetas", puedes elegir entre "Solo directorios", "Solo archivos" o "Ambos". Usa esta opción para no tener que hacerlo archivo por archivo.

Opción 3: Usar el panel de control de tu hosting (cPanel, Syspanel, etc.)

Si tu hosting usa cPanel o Syspanel (el panel que siempre mencionamos, cuyo acceso es por el puerto 2106), puedes cambiar permisos desde el administrador de archivos.

Pasos con cPanel:

Inicia sesión en tu panel de control (por ejemplo, tudominio.com/cpanel).
Ve a Administrador de archivos (File Manager).
Navega hasta la carpeta de WordPress.
Selecciona los archivos o carpetas que quieras modificar.
Haz clic derecho y elige "Permisos" o "Change Permissions".
Introduce el valor numérico o marca las casillas de lectura, escritura y ejecución.
Haz clic en Guardar.

Pasos con Syspanel (puerto 2106):

Abre tu navegador y escribe tudominio.com:2106 (o la IP de tu servidor seguida de :2106).
Inicia sesión con tus credenciales.
Busca la sección "Administrador de archivos" o "File Manager".
El proceso es idéntico al de cPanel: selecciona, haz clic derecho y cambia los permisos.

[TIP] Syspanel es una alternativa moderna y muy visual. Si tu hosting lo usa, no dudes en explorar sus opciones; suele tener una interfaz más amigable que cPanel.

Opción 4: Usar SSH (línea de comandos) para usuarios avanzados

Si tienes acceso SSH, puedes cambiar permisos de forma masiva con comandos. Esto es útil si tienes muchos archivos o si necesitas automatizar el proceso.

Comandos básicos:

Cambiar todas las carpetas a 755:

find /ruta/a/tu/wordpress -type d -exec chmod 755 {} \;

Cambiar todos los archivos a 644:

find /ruta/a/tu/wordpress -type f -exec chmod 644 {} \;

Cambiar solo el archivo wp-config.php a 600:

chmod 600 /ruta/a/tu/wordpress/wp-config.php

[WARNING] Ten mucho cuidado con los comandos SSH. Si escribes mal la ruta, podrías cambiar permisos en todo el servidor y romper otros sitios. Siempre verifica la ruta antes de ejecutar.

¿Qué permisos debo usar en cada archivo o carpeta específica?

Para que no haya dudas, aquí tienes una tabla resumen con los valores recomendados:

Elemento	Permiso recomendado	Notas
Carpetas (todas)	755	Permite al servidor leer y ejecutar, pero solo tú puedes escribir.
Archivos (todos)	644	Lectura para todos, escritura solo para ti.
wp-config.php	600 o 640	Contiene credenciales, debe ser lo más restrictivo posible.
.htaccess	644	Archivo de configuración del servidor.
wp-content/uploads	755 (carpeta) y 644 (archivos)	Necesario para subir imágenes y medios.
wp-content/cache	755	Algunos plugins de caché necesitan escribir aquí.
Archivos .php en plugins y temas	644	No necesitan permisos de ejecución adicionales.

[INFO] Si tu sitio usa multisitio de WordPress, ten en cuenta que la carpeta wp-content/uploads puede tener subcarpetas por sitio. Aplica los mismos permisos a todas ellas.

¿Qué pasa si los permisos son incorrectos?

Tener permisos demasiado abiertos o demasiado restrictivos puede causar problemas:

Permisos demasiado abiertos (777, 666)

Riesgo de seguridad: Cualquier persona con acceso al servidor (o un atacante que explote una vulnerabilidad) puede modificar o eliminar tus archivos.
Inyección de malware: Los hackers suelen buscar archivos con permisos 777 para insertar código malicioso.
Problemas de rendimiento: Un atacante podría usar tu servidor para enviar spam o ataques DDoS.

Permisos demasiado restrictivos (500, 400)

Errores 500: El servidor no puede leer los archivos y muestra un error interno.
No puedes subir archivos: WordPress no podrá escribir en wp-content/uploads, así que no podrás subir imágenes o medios.
Plugins y temas rotos: Algunos plugins necesitan escribir archivos de caché o configuración; si no pueden, fallarán.

[WARNING] Si después de cambiar permisos tu sitio muestra un error 500, no entres en pánico. Simplemente restaura los permisos a los valores recomendados (755 en carpetas y 644 en archivos) y el problema debería resolverse.

Preguntas frecuentes sobre permisos de archivos en WordPress

¿Puedo cambiar todos los permisos a 755?

No. Las carpetas sí, pero los archivos deben ser 644. Si pones 755 en archivos, les das permiso de ejecución, lo cual no es necesario y aumenta el riesgo de seguridad.

¿Qué hago si no tengo acceso FTP?

Puedes usar el Administrador de archivos de tu panel de control (cPanel o Syspanel, puerto 2106). Si tampoco tienes eso, contacta a tu proveedor de hosting; ellos pueden hacerlo por ti.

¿Los permisos afectan al rendimiento de mi sitio?

No directamente. Unos permisos correctos no hacen que tu sitio sea más rápido, pero sí más seguro. Un sitio hackeado sí que puede ir lento o caerse.

¿Cada cuánto debo revisar los permisos?

Es buena práctica revisarlos cada vez que instales un plugin o tema nuevo, o después de una actualización importante de WordPress. También puedes hacerlo mensualmente como parte de tu rutina de seguridad wordpress.

¿Qué pasa si mi hosting usa Syspanel?

Si tu proveedor usa Syspanel, recuerda que el acceso es a través del puerto 2106. Allí encontrarás el administrador de archivos y podrás cambiar permisos de forma visual, igual que en cPanel.

¿Puedo usar un plugin para cambiar permisos y luego desinstalarlo?

Sí, pero ten en cuenta que el plugin puede dejar archivos de configuración. Es mejor mantenerlo instalado y actualizado, o usar FTP para el cambio definitivo.

Conclusión: La seguridad de WordPress empieza por los permisos

Cambiar los permisos archivos wordpress no es una tarea complicada, pero sí es fundamental para proteger tu sitio. Con esta guía, ya sabes qué valores usar, cómo aplicarlos con diferentes herramientas y qué hacer si algo sale mal.

Recuerda los puntos clave:

Carpetas: 755.
Archivos: 644.
wp-config.php: 600 o 640.
Nunca uses 777.
Revisa los permisos periódicamente.

Si tienes dudas, empieza con la opción del plugin o el FTP. Y si tu hosting usa Syspanel, no olvides que el puerto es el 2106. La seguridad de tu sitio web está en tus manos, y unos simples números pueden marcar la diferencia entre un sitio sano y uno comprometido.

[TIP] Guarda este artículo como referencia. La próxima vez que instales un plugin o hagas una actualización, tómate 5 minutos para verificar los permisos. Es una inversión mínima de tiempo con un gran retorno en tranquilidad.