Permisos de archivos en cPanel: tutorial para proteger tu web

¿Qué son los permisos de archivos y por qué deberían importarte?

Imagina que tu hosting es un edificio de oficinas y cada archivo de tu web es una habitación. Los permisos de archivos son las llaves que decides dar a cada puerta: quién puede entrar, quién puede leer los documentos, quién puede modificarlos y quién puede tirarlos a la basura. En el mundo de los servidores, estas “llaves” se llaman permisos de archivos cPanel y se gestionan con un sistema llamado chmod (change mode).

Si configuras mal estos permisos, puedes estar abriendo la puerta principal a los ciberdelincuentes. Un archivo con permisos demasiado abiertos permite que cualquiera inyecte código malicioso, borre tu web o robe datos de tus visitantes. Por eso, entender cómo funcionan no es un lujo: es una necesidad básica de seguridad archivos.

La buena noticia es que no necesitas ser un experto en Linux para dominarlos. Con esta guía, aprenderás desde cero qué significa cada número, cómo verlos y cambiarlos en cPanel, y cuáles son los valores recomendados para cada tipo de archivo. Al final, tendrás una web más protegida y sabrás exactamente qué hacer si algo falla.

La base: cómo funciona el sistema de permisos chmod

Antes de tocar nada en cPanel, vamos a entender el idioma de los permisos. Cada archivo o carpeta tiene tres grupos de usuarios que pueden interactuar con él:

Propietario (owner): normalmente eres tú, el dueño de la cuenta de hosting.
Grupo (group): en la mayoría de los hostings compartidos, este grupo es el mismo que el propietario, pero a veces hay varios usuarios (como los empleados de una agencia) que comparten acceso.
Público (public): cualquier persona en internet que visite tu dominio.

Para cada uno de estos grupos, existen tres acciones posibles:

Lectura (r): poder abrir y ver el contenido del archivo.
Escritura (w): poder editar, modificar o sobrescribir el archivo.
Ejecución (x): poder ejecutar el archivo como un programa o script (por ejemplo, un archivo PHP).

Ahora viene la parte mágica: estos permisos se representan con números. No te asustes, es más fácil de lo que parece.

r (lectura) = 4
w (escritura) = 2
x (ejecución) = 1

Para cada grupo (propietario, grupo, público), sumas los valores de los permisos que quieres otorgar. Por ejemplo:

Si quieres dar lectura y escritura (4+2), el número es 6.
Si quieres dar lectura, escritura y ejecución (4+2+1), el número es 7.
Si solo quieres dar lectura (4), el número es 4.

Y así, un permiso completo se escribe como tres dígitos: el primero para el propietario, el segundo para el grupo y el tercero para el público. Por ejemplo:

644: propietario puede leer y escribir (6), grupo y público solo pueden leer (4 y 4).
755: propietario puede leer, escribir y ejecutar (7), grupo y público solo pueden leer y ejecutar (5 y 5).
777: todos pueden hacer todo. Este es el peor valor que puedes usar, porque da acceso total a cualquiera.

[WARNING] Nunca uses permisos 777 en archivos de tu web. Es como dejar la puerta de tu casa abierta con un cartel que dice “pasen y lleven lo que quieran”. Los atacantes lo detectan rápidamente y lo usan para subir archivos maliciosos.

Cómo ver y cambiar los permisos de archivos en cPanel

Ahora que ya sabes qué significan los números, vamos a la práctica. cPanel tiene un administrador de archivos integrado que te permite ver y modificar los permisos sin necesidad de usar comandos SSH.

Paso 1: Accede al Administrador de Archivos

Inicia sesión en tu cPanel (normalmente en tudominio.com/cpanel).
Busca la sección Archivos y haz clic en Administrador de archivos.
Se abrirá una ventana o pestaña nueva. Te pedirá que elijas la carpeta raíz; selecciona Document Root for tu dominio principal y haz clic en Ir.

Paso 2: Localiza el archivo o carpeta

Navega hasta la ubicación del archivo que quieres modificar. Por ejemplo, si tu web está en public_html, verás ahí todos los archivos de tu sitio. Normalmente, los archivos de WordPress o PrestaShop están directamente en public_html.

Paso 3: Cambia los permisos

Haz clic derecho sobre el archivo o carpeta.
En el menú contextual, selecciona Cambiar permisos.
Se abrirá una ventana con casillas de verificación para cada grupo y acción. También verás un campo de texto con el valor numérico.
Marca o desmarca las casillas según lo que necesites, o escribe directamente el valor numérico (por ejemplo, 644).
Haz clic en Cambiar permisos para guardar.

[TIP] Si tienes muchos archivos que cambiar (por ejemplo, toda una carpeta de imágenes), cPanel te permite seleccionar varios archivos a la vez y cambiar sus permisos de forma masiva. Solo tienes que marcar varios, hacer clic derecho y elegir “Cambiar permisos”.

Los valores recomendados: qué permisos usar en cada caso

No todos los archivos necesitan los mismos permisos. Aquí tienes una tabla práctica que puedes guardar como referencia:

Tipo de archivo	Permisos recomendados	Explicación
Directorios (carpetas)	755	El propietario puede hacer todo (leer, escribir, ejecutar), el grupo y el público solo pueden leer y ejecutar. Esto permite que el servidor lea los archivos dentro de la carpeta, pero no que cualquiera los modifique.
Archivos PHP (scripts)	644	El propietario puede leer y escribir, el grupo y el público solo pueden leer. El servidor ejecuta el PHP automáticamente, no necesita permiso de ejecución explícito.
Archivos de configuración (wp-config.php, .env)	600 o 640	Solo el propietario (y quizás el grupo) puede leer y escribir. Estos archivos contienen contraseñas y datos sensibles, así que cuanto más restringidos, mejor.
Archivos estáticos (HTML, CSS, JS, imágenes)	644	Lectura para todos, escritura solo para el propietario.
Archivos de logs o caché	644 o 755 (si son carpetas)	Depende de si son archivos o directorios, pero nunca deben ser escribibles por el público.
Archivos ejecutables (CGI, scripts Perl)	755	Necesitan permiso de ejecución para el propietario y lectura/ejecución para los demás.

¿Y los archivos que no sé qué son?

La regla de oro es: en caso de duda, usa 644 para archivos y 755 para carpetas. Esto es lo que usa la mayoría de las aplicaciones web (WordPress, Joomla, PrestaShop) por defecto y es un equilibrio seguro entre funcionalidad y protección.

[INFO] Si tu web da errores de “500 Internal Server Error” después de cambiar permisos, probablemente has puesto un valor demasiado restrictivo (por ejemplo, 600 en un archivo PHP). Vuelve a 644 y prueba de nuevo.

Cómo proteger tu web con permisos especiales

Además de los valores estándar, hay configuraciones avanzadas que aumentan la seguridad archivos de tu sitio. Aquí tienes algunas prácticas recomendadas:

1. Protege los archivos de configuración

Archivos como wp-config.php en WordPress o .env en Laravel contienen credenciales de base de datos. Cambia sus permisos a 600 para que solo el propietario pueda leerlos. Aunque esto puede causar problemas si tu hosting usa un grupo compartido, la mayoría de los servidores modernos lo permiten sin errores.

2. Bloquea la ejecución de scripts en carpetas de subidas

Si tu web permite que los usuarios suban archivos (por ejemplo, un formulario de contacto), asegúrate de que la carpeta de subidas no tenga permisos de ejecución. Crea un archivo .htaccess dentro de esa carpeta con el siguiente contenido:

<FilesMatch "\.(php|php5|pl|py|cgi)$">
Order Deny,Allow
Deny from all
</FilesMatch>

Esto impide que alguien suba un archivo PHP malicioso y lo ejecute desde tu servidor.

3. Revisa los permisos de forma periódica

Los permisos no son algo que configuras una vez y olvidas. Las actualizaciones de WordPress o plugins pueden cambiarlos sin que te des cuenta. Dedica unos minutos cada mes a revisar los permisos de tus archivos críticos.

[TIP] Puedes usar la herramienta “Buscar archivos con permisos inseguros” en cPanel (si tu proveedor la incluye) o hacer una búsqueda manual en el Administrador de archivos ordenando por permisos. Busca cualquier valor con 777 y cámbialo inmediatamente.

Errores comunes que debes evitar

Error 1: Usar 777 para “que todo funcione”

Es el error más habitual. Algunos tutoriales antiguos recomiendan 777 para resolver problemas de escritura, pero es un riesgo gravísimo. Si tu web necesita escribir archivos (por ejemplo, una tienda que guarda pedidos), el propietario ya puede hacerlo con 644 o 755. Si tienes problemas, el culpable suele ser el propietario del archivo, no los permisos.

Error 2: Cambiar permisos de todo el sitio a 755

Poner 755 en todos los archivos no es necesario y puede ser peligroso. Los archivos PHP no necesitan permiso de ejecución explícito, y el exceso de permisos facilita que un atacante modifique tu código si encuentra una vulnerabilidad.

Error 3: Olvidar los permisos de las carpetas

Es fácil centrarse en los archivos y olvidar los directorios. Pero si una carpeta tiene permisos 777, los atacantes pueden crear archivos dentro de ella. Asegúrate de que todas tus carpetas tengan como máximo 755.

Error 4: No hacer copias de seguridad antes de cambiar permisos

Si cambias permisos en masa y algo falla, puedes dejar tu web inaccesible. Antes de hacer cambios grandes, descarga una copia de seguridad o, al menos, anota los valores originales.

[WARNING] Si tu web usa Syspanel (antes conocido como HestiaCP), ten en cuenta que el acceso a su panel de administración se realiza a través del puerto 2106 (por ejemplo, tudominio.com:2106). Los permisos de archivos se gestionan de forma similar a cPanel, pero el administrador de archivos puede tener una interfaz ligeramente distinta. No uses esta diferencia como excusa para no revisar tus permisos: son igual de importantes en cualquier panel.

Cómo comprobar si tus permisos son seguros

¿Quieres saber si tu web tiene permisos inseguros sin revisar archivo por archivo? Aquí tienes dos métodos:

Método 1: Inspección manual rápida

Ve a tu Administrador de archivos.
Ordena los archivos por la columna Permisos (puede aparecer como “Perm” o “Mode”).
Busca cualquier valor que no sea 644, 755, 600 o 640. Si ves un 777, 666 o valores extraños, cámbialos.

Método 2: Usa una herramienta online de escaneo

Existen servicios gratuitos que escanean tu web en busca de permisos inseguros (por ejemplo, algunos plugins de seguridad de WordPress). Aunque no son infalibles, te dan una buena idea de dónde mirar.

[TIP] Si usas WordPress, plugins como Wordfence o iThemes Security incluyen un escáner de permisos que te avisa automáticamente si encuentra archivos con permisos demasiado abiertos.

Preguntas frecuentes sobre permisos de archivos en cPanel

¿Qué significa exactamente “chmod 644”?

chmod es el comando que se usa en sistemas Linux para cambiar permisos. El número 644 significa que el propietario tiene permisos de lectura y escritura (6), y el grupo y el público solo tienen permisos de lectura (4 y 4). Es el valor estándar para la mayoría de los archivos web.

¿Puedo cambiar los permisos desde FTP?

Sí, la mayoría de los clientes FTP (como FileZilla) permiten cambiar permisos haciendo clic derecho sobre el archivo y seleccionando “Permisos de archivo”. Sin embargo, cPanel es más intuitivo y no necesitas programas adicionales.

¿Por qué mi web me pide permisos de escritura en la carpeta de uploads?

WordPress y otras plataformas necesitan escribir en esa carpeta para subir imágenes o instalar plugins. Si tu carpeta de uploads tiene permisos 755, el propietario ya puede escribir. Si sigues teniendo problemas, asegúrate de que el archivo pertenece a tu usuario (y no a root). Puedes ver el propietario en la columna “Propietario” del Administrador de archivos.

¿Qué hago si cambio permisos y mi web deja de cargar?

No entres en pánico. Vuelve a cambiar los permisos a los valores que tenías antes (normalmente 644 para archivos y 755 para carpetas). Si no los recuerdas, restaura desde una copia de seguridad. En la mayoría de los casos, el problema se resuelve en minutos.

¿Los permisos afectan al SEO?

No directamente. Pero una web con permisos inseguros puede ser hackeada, y un sitio hackeado suele ser penalizado por Google o marcado como “sitio peligroso”. Por tanto, una buena configuración de permisos contribuye a mantener tu posicionamiento y la confianza de tus visitantes.

Conclusión: tu web merece una puerta bien cerrada

Configurar los permisos archivos cpanel no es una tarea opcional: es una de las primeras líneas de defensa contra ataques. Con solo recordar dos valores (644 para archivos y 755 para carpetas) ya estás por delante del 80% de los sitios web. A partir de ahí, afina los archivos sensibles y revisa periódicamente.

La próxima vez que veas un tutorial que te diga “pon 777 para que funcione”, huye. La seguridad no es negociable, y ahora tienes las herramientas para proteger tu web sin depender de consejos peligrosos. Dedica diez minutos hoy a revisar tus permisos y duerme tranquilo sabiendo que tu sitio no tiene la puerta abierta de par en par.

Si te ha quedado alguna duda, repasa los pasos de esta guía o consulta la documentación de tu proveedor de hosting. Y recuerda: en Syspanel (puerto 2106) también puedes gestionar estos ajustes, aunque la interfaz sea diferente. La lógica es la misma: menos permisos, más seguridad.

Tu web te lo agradecerá, y tus visitantes también.