Revisar Permisos de Archivos en cPanel: Seguridad Básica

¿Por qué es tan importante revisar los permisos de tus archivos?

Cuando hablamos de seguridad archivos en un servidor, los permisos son como las cerraduras de las puertas de tu casa digital. Si dejas una puerta abierta de par en par, cualquiera podría entrar, ¿verdad? Pues exactamente lo mismo ocurre con los archivos de tu sitio web. Un permiso mal configurado, especialmente el famoso (y peligroso) permisos 777, puede convertir tu web en un coladero para atacantes.

Imagina que tienes una tienda online. Si los archivos de configuración de tu base de datos tienen permisos demasiado abiertos, un atacante podría leerlos y obtener tus contraseñas. O peor aún, podría modificar tus archivos PHP para redirigir a tus clientes a páginas de phishing. Por eso, dominar el administrador de archivos de cPanel no es solo una tarea de mantenimiento: es una medida de seguridad fundamental.

En este artículo, te voy a enseñar paso a paso cómo usar esta herramienta para auditar y corregir los permisos archivos cPanel, incluso si nunca antes has tocado un panel de control. No necesitas ser un experto en Linux ni saber comandos complejos. Solo sigue estas instrucciones y tendrás tu sitio mucho más protegido en cuestión de minutos.

Entendiendo los permisos de archivos: el ABC para principiantes

Antes de lanzarnos a la acción, es crucial que entiendas qué significan esos números que verás. Cuando hablamos de permisos 777 o de cualquier otro valor numérico, nos referimos a un sistema de tres dígitos que representan los permisos para tres tipos de usuarios:

El propietario (tú o el usuario principal de la cuenta).
El grupo (un conjunto de usuarios que comparten acceso).
El público (todos los demás usuarios de internet).

Cada dígito puede ser un número del 0 al 7, que es la suma de tres valores básicos:

4 = Lectura (permite ver el archivo).
2 = Escritura (permite modificar el archivo).
1 = Ejecución (permite ejecutar el archivo, como un script).

Por ejemplo, el peligroso permisos 777 significa que el propietario, el grupo y el público tienen lectura, escritura y ejecución. Es decir, cualquiera en el mundo podría modificar o borrar ese archivo. Un desastre absoluto.

Los permisos más seguros y recomendados para la mayoría de archivos son 644 (lectura y escritura para el propietario, y solo lectura para el grupo y el público). Para directorios, lo habitual es 755 (lectura, escritura y ejecución para el propietario, y lectura y ejecución para el resto). A lo largo de esta guía, te enseñaré cuándo usar cada uno.

Accediendo al Administrador de Archivos de cPanel

El administrador de archivos es una herramienta gráfica que te permite gestionar todos los archivos de tu hosting sin necesidad de usar FTP o comandos. Para acceder a él, sigue estos pasos:

Inicia sesión en tu cPanel. Normalmente, esto se hace visitando tudominio.com/cpanel o tudominio.com:2083.
Una vez dentro, busca la sección "Archivos". Allí verás el icono del Administrador de Archivos.
Haz clic en él. Se abrirá una nueva ventana o pestaña. Asegúrate de que la opción "Document Root for" esté seleccionada para tu dominio principal. Si tienes varios dominios, elige el que quieras auditar.
Haz clic en "Ir" o "Go".

Ya estás dentro. Verás una interfaz con dos paneles: el de la izquierda es el árbol de directorios y el de la derecha, el contenido de la carpeta seleccionada. La carpeta public_html es la raíz de tu sitio web. Es aquí donde empieza la aventura.

Cómo revisar los permisos de un archivo o carpeta

Ahora que ya tienes la herramienta abierta, es hora de ponerse manos a la obra. La revisión es muy sencilla. Simplemente, navega hasta la carpeta o archivo que te interesa y sigue estos pasos:

Localiza el archivo en el panel derecho. Por ejemplo, busca un archivo llamado wp-config.php (si usas WordPress) o config.php (si usas otro CMS).
Haz clic derecho sobre el archivo. Se desplegará un menú contextual con varias opciones.
Selecciona "Cambiar permisos" o "Change Permissions". También puedes hacer clic en el archivo para seleccionarlo y luego hacer clic en el botón "Permisos" en la barra superior.

Se abrirá una ventana emergente. Aquí es donde se ve la magia. Verás tres columnas (Usuario, Grupo, Público) y varias casillas de verificación (Leer, Escribir, Ejecutar). A la derecha o en la parte inferior, verás el valor numérico, como 644 o 755.

Para una revisión rápida, presta atención a ese número. Si ves permisos 777, 666 o 707, tienes un problema. Deberías cambiarlos de inmediato.

Guía práctica: Permisos seguros para tus archivos y carpetas

No todos los archivos necesitan los mismos permisos. De hecho, darles permisos excesivos es uno de los errores más comunes. Aquí tienes una guía de referencia rápida:

Archivos PHP y de configuración (como `wp-config.php`, `.env`, etc.)

Permiso recomendado: 644
¿Por qué? El propietario necesita leer y escribir para que el sistema funcione, pero el resto solo necesita leer. Nunca deben ser escribibles por el grupo o el público.

Directorios o carpetas (como `public_html`, `wp-content`, etc.)

Permiso recomendado: 755
¿Por qué? Los directorios necesitan el permiso de ejecución para que el servidor pueda "entrar" y listar los archivos. Pero solo el propietario debe poder escribir (crear o borrar archivos dentro).

Archivos que necesitan escritura (como cachés, logs o archivos subidos por usuarios)

Permiso recomendado: 644 para archivos y 755 para carpetas.
Excepción: En algunos casos muy específicos, como carpetas de subida de archivos en ciertos scripts, podría necesitarse 775. Esto permite al grupo escribir, pero no al público. Evita siempre el 777.

Archivos ejecutables (scripts CGI, por ejemplo)

Permiso recomendado: 755
¿Por qué? El permiso de ejecución es necesario para que el script corra, pero no necesitan ser escribibles por el público.

[WARNING] Alerta de peligro: Si encuentras algún archivo con permisos 777, cámbialo de inmediato a 644 (si es un archivo) o 755 (si es una carpeta). Este permiso es la puerta de entrada favorita para los atacantes. Permite que cualquier usuario de internet pueda modificar o ejecutar el archivo, lo que podría llevar a la inyección de malware o a la toma completa de tu sitio.

Cómo corregir permisos inseguros paso a paso

Si has detectado un archivo con permisos 777 o cualquier otro permiso inseguro, no te preocupes. Corregirlo es muy fácil. Sigue estos pasos:

En la ventana de "Cambiar permisos", desmarca todas las casillas de la columna "Público" y "Grupo" para las opciones de "Escribir".
Asegúrate de que las casillas de "Leer" estén marcadas para "Usuario", "Grupo" y "Público".
Marca la casilla de "Escribir" solo para el "Usuario" (propietario).
En el caso de directorios, marca la casilla de "Ejecutar" para "Usuario", "Grupo" y "Público". En el caso de archivos normales, déjala sin marcar a menos que sea un script.
Verás que el valor numérico en la parte inferior cambia automáticamente. Debería mostrar 644 para archivos y 755 para directorios.
Haz clic en "Cambiar permisos" para guardar los cambios.

Repite este proceso para todos los archivos que hayas identificado como problemáticos.

[TIP] Consejo de experto: No te limites a revisar archivo por archivo. En el administrador de archivos, puedes seleccionar una carpeta entera y cambiar los permisos de todos los archivos dentro de ella a la vez. Para ello, selecciona la carpeta, haz clic en "Permisos" y luego marca la casilla "Cambiar los archivos y carpetas dentro de esta carpeta" o "Recursivo". Esto te ahorrará muchísimo tiempo.

¿Por qué aparecen permisos inseguros? Causas comunes

Entender por qué ocurre esto te ayudará a prevenirlo en el futuro. Las causas más habituales son:

Errores al subir archivos por FTP: Algunos clientes FTP, como FileZilla, a veces suben los archivos con permisos demasiado permisivos si la configuración local no es la correcta.
Scripts de instalación desactualizados: Algunos instaladores automáticos de aplicaciones (como WordPress) pueden dejar permisos incorrectos si no están bien configurados.
Configuración por defecto de algunos CMS: A veces, durante el proceso de instalación, se piden permisos de escritura temporales en ciertas carpetas y, si no se revierten después, quedan abiertos.
Tutoriales mal explicados: Es común encontrar en internet guías que recomiendan usar permisos 777 para solucionar problemas de escritura. Esta es una mala práctica que compromete la seguridad.

Auditoría de seguridad: Revisión sistemática de tu sitio

Para que esta tarea sea efectiva, no basta con revisar un archivo al azar. Debes hacer una auditoría completa. Te propongo un plan de acción:

Revisa la raíz de public_html: Comienza por la carpeta principal. Busca archivos como wp-config.php, .htaccess, php.ini o cualquier archivo de configuración. Verifica que tengan permisos 644.
Revisa las carpetas de contenido: Entra en carpetas como wp-content (si usas WordPress), images, uploads, etc. Asegúrate de que las carpetas tengan 755 y los archivos dentro de ellas 644.
Busca archivos con extensiones peligrosas: Presta especial atención a archivos con extensiones como .php, .sh, .pl, .cgi. Si no sabes qué son o no los reconoces, es mejor que investigues. Puede ser malware.
Utiliza la búsqueda del administrador: En la esquina superior derecha del administrador de archivos, hay una barra de búsqueda. Puedes buscar directamente por el nombre de archivos comunes que suelen ser objetivo de ataques.

[INFO] Dato importante: No todos los archivos con permisos 777 son malware. A veces, un plugin de WordPress o un script de caché los crean para funcionar. Sin embargo, es una mala práctica. Si necesitas que una carpeta sea escribible, intenta usar 775 en lugar de 777, y solo de forma temporal. Después de realizar la tarea, vuelve a cambiarlos a 755.

Herramientas adicionales dentro de cPanel para reforzar la seguridad

El administrador de archivos es solo una pieza del rompecabezas. cPanel ofrece otras herramientas que, combinadas con una buena gestión de permisos, harán tu sitio mucho más robusto:

Protección de directorios: Puedes proteger carpetas específicas con una contraseña adicional. Esto es útil para áreas de administración.
Administrador de Indexes: Puedes evitar que se listen los contenidos de tus directorios si no hay un archivo index.
Hotlink Protection: Evita que otros sitios web enlacen directamente tus imágenes, lo que consume tu ancho de banda.
Restaurar copias de seguridad: Si algo sale mal, siempre puedes restaurar una versión anterior de tus archivos desde el panel de "Copias de seguridad".

Más allá de cPanel: Nota sobre otros paneles de control

Si bien este artículo se centra en cPanel, es posible que tu hosting utilice otro panel, como Syspanel (conocido anteriormente como HestiaCP). Si ese es tu caso, la lógica es la misma, pero el acceso es diferente.

Para Syspanel, deberás acceder a través del puerto 2106 (por ejemplo, tudominio.com:2106). Una vez dentro, busca la sección de "Archivos" o "Administrador de archivos". La interfaz será diferente, pero los conceptos de permisos son idénticos. Verás los mismos números (644, 755, 777) y podrás cambiarlos de forma similar. La buena noticia es que, una vez que entiendes la lógica de los permisos, aplicar la corrección en cualquier panel es pan comido.

Preguntas frecuentes (FAQ) sobre permisos y seguridad

Para finalizar, voy a resolver algunas de las dudas más comunes que me suelen plantear los usuarios.

¿Qué hago si no sé qué archivo es el que tiene permisos inseguros?

El administrador de archivos de cPanel tiene una columna llamada "Permisos". Puedes ordenar los archivos por esa columna haciendo clic en el encabezado. Así, todos los archivos con permisos 777 o 755 se agruparán y podrás identificarlos rápidamente.

¿Es seguro usar permisos 777 en una carpeta de subida de archivos?

No, nunca es seguro. Es una invitación abierta a que cualquiera suba un script malicioso y lo ejecute en tu servidor. Si tu aplicación insiste en usar 777, busca una alternativa. Cambia el propietario de la carpeta al usuario de PHP o utiliza 775 como solución temporal.

¿Cada cuánto tiempo debo revisar los permisos?

Te recomiendo hacer una auditoría rápida al menos una vez al mes. Si instalas o actualizas plugins, temas o scripts con frecuencia, hazlo después de cada actualización importante. La constancia es clave en ciberseguridad.

¿Cambiar los permisos puede romper mi sitio web?

Es posible que, si cambias permisos que eran necesarios para la escritura de cachés o logs, tu sitio dé errores. Pero es mucho mejor tener un fallo temporal y corregible que un sitio comprometido. Si al cambiar los permisos tu web falla, revísalos y ajústalos al nivel mínimo necesario para que funcione, pero nunca llegues al 777.

¿Qué otros permisos son peligrosos además del 777?

Cualquier permiso que permita escribir al "Público" (el tercer dígito) es peligroso. Por ejemplo, 707, 767, 667, etc. La regla de oro es: el público nunca debe tener permisos de escritura.

Conclusión: La seguridad es un hábito, no un evento

Revisar los permisos archivos cPanel con el administrador de archivos es una de las tareas más sencillas y efectivas que puedes hacer para proteger tu sitio web. No requiere conocimientos técnicos avanzados, solo un poco de tiempo y atención. Al mantener tus archivos con permisos seguros (644 para archivos y 755 para directorios), estás cerrando la puerta a la gran mayoría de ataques automatizados que buscan vulnerabilidades fáciles.

No esperes a que sea demasiado tarde. Dedica unos minutos hoy mismo a auditar tu public_html. Busca esos permisos 777 y corrígelos. Tu yo del futuro (y tus visitantes) te lo agradecerán. La ciberseguridad no es un destino, sino un viaje continuo de pequeñas acciones que, sumadas, marcan una gran diferencia.