Guía de Seguridad para DirectAdmin: Permisos de Archivos y Directorios

¿Por qué son tan importantes los permisos de archivos en DirectAdmin?

Cuando hablamos de seguridad hosting DirectAdmin, uno de los conceptos más fundamentales y a la vez más malentendidos es el de los permisos de archivos y directorios. Piensa en los permisos como las cerraduras de las puertas de tu casa digital. Si dejas la puerta principal abierta de par en par, cualquiera puede entrar, robar tus datos o modificar tu web. Si, por el contrario, pones demasiadas cerraduras, puede que tú mismo no puedas entrar cuando lo necesites.

En este artículo, vamos a desglosar todo lo que necesitas saber sobre los permisos DirectAdmin, cómo configurarlos correctamente mediante chmod DirectAdmin, y cómo proteger directorios sensibles para que tu sitio web esté a salvo de ataques.

Vamos a empezar desde cero, sin tecnicismos innecesarios, para que incluso si no has tocado un panel de control en tu vida, puedas seguir esta guía sin problemas.

¿Qué son exactamente los permisos de archivos?

Los permisos de archivos son un sistema que utiliza el servidor para decidir quién puede leer, escribir o ejecutar un archivo o carpeta. En un sistema Linux, que es el que usa DirectAdmin por defecto, cada archivo y directorio tiene tres tipos de permisos:

• Lectura (r): Permite ver el contenido del archivo o listar los archivos dentro de un directorio.
• Escritura (w): Permite modificar el contenido del archivo o crear/eliminar archivos dentro de un directorio.
• Ejecución (x): Permite ejecutar el archivo (si es un script) o acceder al directorio.

Estos permisos se asignan a tres grupos de usuarios:

• Propietario (u): Normalmente eres tú, el usuario de hosting.
• Grupo (g): Un conjunto de usuarios que comparten ciertos permisos, a menudo el grupo del servidor web.
• Otros (o): Todos los demás usuarios del sistema.

Cuando hablamos de chmod DirectAdmin, nos referimos al comando que se usa para cambiar estos permisos. Pero no te preocupes, no necesitas ser un experto en Linux para hacerlo. DirectAdmin te ofrece una interfaz gráfica muy sencilla.

La notación numérica de los permisos: El código mágico

Seguro que has visto números como 644, 755 o 777 en tutoriales o foros. Esos números son la representación numérica de los permisos. Cada permiso tiene un valor:

• Lectura (r) = 4
• Escritura (w) = 2
• Ejecución (x) = 1

Para calcular el permiso de un grupo, simplemente sumas los valores. Por ejemplo:

• Si quieres dar permisos de lectura y escritura al propietario, sería 4 + 2 = 6.
• Si quieres dar permisos de lectura, escritura y ejecución, sería 4 + 2 + 1 = 7.
• Si solo quieres dar lectura y ejecución, sería 4 + 1 = 5.

Así, un permiso 644 significa:

• Propietario: Lectura y escritura (6).
• Grupo: Solo lectura (4).
• Otros: Solo lectura (4).

Este es el permiso estándar para archivos normales, como imágenes, HTML o CSS. Un permiso 755 es el estándar para directorios, ya que necesitas ejecución para poder entrar en ellos.

¿Cómo cambiar los permisos desde DirectAdmin?

DirectAdmin hace que cambiar los permisos sea muy fácil. No necesitas usar la línea de comandos si no quieres. Aquí te explico cómo hacerlo paso a paso:

1. Accede a tu panel de DirectAdmin.
2. Ve a la sección Administrador de Archivos (File Manager).
3. Navega hasta el archivo o directorio que quieres modificar.
4. Haz clic derecho sobre el archivo o carpeta y selecciona Cambiar permisos o haz clic en el icono de permisos (normalmente un candado o un engranaje).
5. Se abrirá una ventana donde puedes marcar las casillas de lectura, escritura y ejecución para propietario, grupo y otros, o directamente escribir el valor numérico en el campo "Valor octal".
6. Haz clic en Guardar o Aplicar.

[TIP] : Si no sabes qué valor usar, empieza siempre con 644 para archivos y 755 para directorios. Es la configuración más segura y compatible para la mayoría de sitios web.

Permisos recomendados para una seguridad óptima

Ahora que ya sabes cómo cambiar los permisos, es crucial que sepas cuáles son los valores correctos para cada tipo de archivo. Aquí tienes una tabla de referencia rápida:

Tipo de archivo	Permisos recomendados	Explicación
Archivos PHP	644	Lectura y escritura para el propietario, solo lectura para el resto.
Archivos HTML, CSS, JS	644	Igual que PHP.
Imágenes (JPG, PNG, GIF)	644	Igual que los anteriores.
Directorios	755	Lectura, escritura y ejecución para el propietario; lectura y ejecución para el resto.
Archivos de configuración (wp-config.php, .env)	600 o 640	Solo lectura y escritura para el propietario. Nunca deben ser legibles por otros.
Scripts CGI o Perl	755	Necesitan ejecución.
Carpetas de caché o subidas de usuarios	755 o 775	Depende de si el servidor necesita escribir en ellas.

[WARNING] : NUNCA uses permisos 777 en archivos o directorios. Esto significa que cualquiera puede leer, escribir y ejecutar, lo que es una invitación abierta a los hackers. Si un plugin o script te pide permisos 777, es una mala señal y deberías buscar alternativas.

Proteger directorios sensibles: Más allá de los permisos básicos

Además de los permisos, hay otras formas de proteger directorios en tu hosting. DirectAdmin incluye una herramienta llamada Protección de Directorios que te permite añadir una contraseña adicional para acceder a ciertas carpetas. Esto es muy útil para áreas de administración o para proteger archivos de respaldo.

Cómo configurar la protección de directorios en DirectAdmin

1. Ve a la sección Protección de Directorios en tu panel.
2. Selecciona el directorio que quieres proteger.
3. Crea un nombre de usuario y una contraseña.
4. Guarda los cambios.

A partir de ese momento, cuando alguien intente acceder a esa carpeta desde el navegador, se le pedirá un usuario y contraseña. Esto añade una capa extra de seguridad, incluso si los permisos del archivo están mal configurados.

Directorios que deberías proteger siempre

• /admin o /administrator: Si tu CMS tiene una carpeta de administración.
• /backups: Donde se guardan las copias de seguridad.
• /logs: Archivos de registro del servidor.
• /includes o /config: Carpetas con archivos de configuración sensibles.

[INFO] : Si tu sitio web es muy grande o tiene mucho tráfico, considera usar un plugin o script de seguridad que gestione automáticamente los permisos y la protección de directorios. Esto te ahorrará tiempo y reducirá el riesgo de error humano.

Errores comunes al configurar permisos (y cómo evitarlos)

Aunque el concepto es sencillo, es muy fácil cometer errores que pueden dejar tu web vulnerable o rota. Aquí tienes los más comunes:

1. Usar 777 para todo

Este es el error más grave. Muchos tutoriales antiguos o malos plugins recomiendan permisos 777 para "arreglar" problemas de escritura. Esto es un error crítico de seguridad hosting DirectAdmin. Los permisos 777 permiten que cualquier usuario del servidor modifique tus archivos. Si un hacker consigue acceso a cualquier cuenta del mismo servidor, podrá tomar el control de tu sitio.

2. No cambiar los permisos después de subir archivos

Cuando subes archivos desde tu ordenador, a veces conservan permisos demasiado abiertos. Siempre revisa los permisos de los archivos recién subidos.

3. Confundir archivos y directorios

Recuerda que los directorios necesitan el permiso de ejecución (x) para poder ser accedidos. Si pones 644 a un directorio, no podrás entrar en él y tu web dará error 403.

4. No proteger los archivos de configuración

Archivos como wp-config.php en WordPress o .env en Laravel contienen credenciales de bases de datos. Si tienen permisos 644, cualquier usuario del servidor puede leerlos. Deberían tener 600 o 640.

Cómo comprobar si tus permisos son correctos

Una buena práctica es revisar periódicamente los permisos de tus archivos. Puedes hacerlo desde el Administrador de Archivos de DirectAdmin, pero si tienes muchos archivos, puede ser tedioso.

Una alternativa es usar un script de escaneo de seguridad. Muchos plugins de seguridad para WordPress o Joomla incluyen esta función. También puedes usar el comando find desde SSH si te sientes cómodo con la línea de comandos:

find /ruta/a/tu/web -type f -perm 777

Este comando te mostrará todos los archivos con permisos 777, que deberías corregir inmediatamente.

[TIP] : Si usas SSH, puedes cambiar todos los archivos a 644 y todos los directorios a 755 con estos comandos:

find /ruta/a/tu/web -type f -exec chmod 644 {} \;
find /ruta/a/tu/web -type d -exec chmod 755 {} \;

Seguridad adicional: Más allá de los permisos

Los permisos son solo una parte de la seguridad hosting DirectAdmin. Para tener un sitio web realmente seguro, deberías combinar esta práctica con otras medidas:

Mantén tu software actualizado

Tanto el CMS (WordPress, Joomla, etc.) como los plugins y temas deben estar siempre en su última versión. Las actualizaciones suelen corregir vulnerabilidades de seguridad.

Usa contraseñas fuertes

Tanto para tu panel de DirectAdmin como para los directorios protegidos y las bases de datos. Una contraseña fuerte debe tener al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos.

Activa la autenticación de dos factores

DirectAdmin ofrece la posibilidad de activar la verificación en dos pasos. Esto añade una capa extra de protección incluso si alguien consigue tu contraseña.

Realiza copias de seguridad periódicas

Si algo sale mal, siempre podrás restaurar tu sitio desde una copia de seguridad. DirectAdmin tiene herramientas integradas para esto.

Desactiva la ejecución de PHP en directorios donde no sea necesaria

Puedes hacerlo mediante un archivo .htaccess. Por ejemplo, para desactivar PHP en una carpeta de subidas:

<FilesMatch "\.(php|phar)$">
    Require all denied
</FilesMatch>

Preguntas frecuentes sobre permisos en DirectAdmin

¿Qué significa "chmod" y por qué se llama así?

"chmod" es una abreviatura de "change mode" (cambiar modo). Es un comando de Linux que se usa para cambiar los permisos de archivos y directorios. En DirectAdmin, la interfaz gráfica hace lo mismo sin necesidad de escribir comandos.

¿Por qué mi web da error 500 después de cambiar los permisos?

El error 500 suele indicar que los permisos son demasiado restrictivos. Por ejemplo, si has puesto 600 en un archivo PHP que necesita ser leído por el servidor web, este no podrá ejecutarlo. Vuelve a poner los permisos en 644 para archivos y 755 para directorios.

¿Puedo usar permisos 777 si solo es un sitio de prueba?

No. Aunque sea un sitio de prueba, si está en un servidor compartido, estás poniendo en riesgo a otros usuarios del servidor. Los hackers pueden usar tu sitio vulnerable como puerta de entrada para atacar a otros.

¿Qué hago si un plugin me pide permisos 777?

Desconfía de ese plugin. Busca alternativas o contacta con su desarrollador para que te expliquen por qué necesitan permisos tan abiertos. En la mayoría de los casos, es una mala práctica y se puede solucionar de otra manera.

¿Los permisos afectan al SEO?

Indirectamente, sí. Si los permisos están mal configurados, tu web puede dar errores 403 o 500, lo que afecta negativamente a la experiencia del usuario y, por tanto, a tu posicionamiento en buscadores. Además, si tu web es hackeada, Google puede marcarla como peligrosa, lo que sería un desastre para tu SEO.

Conclusión: La seguridad es un hábito, no un evento

Configurar correctamente los permisos DirectAdmin es una de las primeras líneas de defensa en la seguridad hosting DirectAdmin. No es difícil, pero requiere atención y constancia. Dedica unos minutos cada mes a revisar tus permisos y a asegurarte de que todo está en orden.

Recuerda las reglas de oro:

• Archivos: 644.
• Directorios: 755.
• Nunca uses 777.
• Protege los archivos de configuración con permisos 600 o 640.
• Usa la protección de directorios de DirectAdmin para áreas sensibles.

Si sigues estas pautas, tu sitio web estará mucho más seguro y podrás dormir tranquilo sabiendo que has hecho todo lo posible para proteger tu trabajo y los datos de tus visitantes.

[WARNING] : Si en algún momento te sientes abrumado o no estás seguro de qué permisos usar, no improvises. Consulta la documentación oficial de tu CMS o contacta con el soporte de tu hosting. Un error puede costarte muy caro.

Espero que esta guía te haya sido útil. Ahora ya tienes los conocimientos necesarios para mantener tu sitio web seguro y bien configurado. ¡Manos a la obra!