Permisos de archivos en DirectAdmin: guía de seguridad

Cuando gestionas un sitio web o un servidor, la seguridad de los archivos es una de las tareas más importantes y, a menudo, la que más se descuida. En DirectAdmin, uno de los paneles de control de hosting más utilizados, la configuración de permisos DirectAdmin y de los archivos en tu servidor es la primera línea de defensa contra accesos no autorizados, inyecciones de código o la exposición de datos confidenciales.

En este artículo extenso, aprenderás a proteger archivos sensibles en tu servidor usando permisos archivos correctos. Veremos qué significan esos números mágicos (755, 644, 600), cómo aplicarlos desde DirectAdmin y qué hacer para mantener tu sitio a salvo. Todo explicado de forma sencilla, paso a paso, para que incluso si no eres un experto en seguridad DirectAdmin, puedas implementarlo sin miedo.

¿Por qué son importantes los permisos de archivos en DirectAdmin?

Imagina que tu servidor es una casa. Los archivos son las habitaciones y los permisos son las cerraduras de las puertas. Si dejas todas las puertas abiertas (permisos 777), cualquiera que entre a tu casa (el servidor) podrá robar, modificar o borrar lo que quiera. Si pones una cerradura débil (por ejemplo, 755 en archivos de configuración), un visitante malintencionado podría forzarla.

En DirectAdmin, cada archivo y carpeta tiene tres niveles de acceso: el propietario (tú o el usuario del hosting), el grupo (normalmente el mismo que el propietario o un grupo del sistema) y otros (el resto del mundo, incluidos los visitantes de tu web). Los permisos DirectAdmin se expresan con tres números, como 644 o 755, que indican qué puede hacer cada nivel: leer (4), escribir (2) y ejecutar (1).

[INFO] Los permisos más comunes son:

644: Archivos normales (lectura para todos, escritura solo para el propietario).

755: Carpetas (lectura y ejecución para todos, escritura solo para el propietario).

600: Archivos de configuración sensibles (solo el propietario puede leer y escribir).

Si no configuras bien estos permisos, podrías exponer contraseñas, claves API, archivos de base de datos o incluso permitir que un atacante suba scripts maliciosos a tu servidor.

Los peligros de los permisos incorrectos en DirectAdmin

Antes de ver cómo arreglarlo, entendamos qué puede pasar si descuidas la seguridad DirectAdmin:

Exposición de contraseñas: Archivos como wp-config.php (en WordPress) o .env contienen credenciales de bases de datos y servicios. Si tienen permisos 777 o 755, cualquier persona con acceso al servidor (o a través de un fallo de seguridad) podría leerlos.
Modificación no autorizada: Si un archivo PHP tiene permisos de escritura para "otros", un atacante podría inyectar código malicioso (malware) que robe datos o desfigure tu web.
Ejecución de scripts no deseados: Carpetas con permisos 777 permiten que cualquiera suba y ejecute archivos. Esto es un imán para ataques de subida de archivos.
Problemas de rendimiento: Los permisos demasiado abiertos pueden hacer que el servidor procese peticiones no seguras, ralentizando tu sitio.

[WARNING] Nunca uses permisos 777 en archivos o carpetas a menos que sea absolutamente necesario (y siempre temporalmente). Es la puerta abierta a cualquier ataque.

Cómo ver y cambiar permisos en DirectAdmin

DirectAdmin ofrece varias formas de gestionar los permisos archivos. La más visual es a través del Administrador de Archivos. Sigue estos pasos:

Paso 1: Accede al Administrador de Archivos

Inicia sesión en tu panel de DirectAdmin (normalmente en tudominio.com:2222).
En el menú principal, busca y haz clic en "Administrador de Archivos".
Selecciona la carpeta de tu sitio web (por ejemplo, domains/tudominio.com/public_html).

Paso 2: Identifica archivos sensibles

Los archivos que debes proteger con permisos restrictivos son:

wp-config.php (WordPress)
.env (Laravel, Symfony, etc.)
configuration.php (Joomla)
config.php (muchos CMS)
Archivos de base de datos SQL (si los tienes en el servidor)
Archivos de logs (aunque no suelen ser críticos, mejor protegerlos)

Paso 3: Cambia los permisos

Marca la casilla junto al archivo o carpeta que quieras modificar.
Haz clic en el botón "Permisos" (o "Change Permissions").
Se abrirá una ventana con tres columnas: Propietario, Grupo, Otros. Cada una tiene casillas para Leer, Escribir y Ejecutar.
Para un archivo de configuración sensible, selecciona:
- Propietario: Leer y Escribir (marcar ambas).
- Grupo: Ninguno.
- Otros: Ninguno.
  Esto dará el valor 600.
Para una carpeta (por ejemplo, wp-content/uploads), selecciona:
- Propietario: Leer, Escribir, Ejecutar.
- Grupo: Leer, Ejecutar.
- Otros: Leer, Ejecutar.
  Esto dará el valor 755.
Haz clic en "Guardar".

[TIP] También puedes cambiar permisos desde la línea de comandos si tienes acceso SSH, pero para la mayoría de usuarios el Administrador de Archivos es suficiente y más seguro.

Permisos recomendados para cada tipo de archivo en DirectAdmin

Aquí tienes una guía rápida de permisos DirectAdmin para los elementos más comunes de un sitio web:

Archivos PHP y de script

Permisos: 644 (lectura para todos, escritura solo para el propietario).
Excepción: Archivos que necesitan escribir en el servidor (como algunos plugins de caché) pueden requerir 755 o 775, pero evalúa bien si es necesario.

Archivos de configuración (wp-config.php, .env, config.php)

Permisos: 600 o 640 (solo el propietario puede leer/escribir; en 640 el grupo puede leer, pero es menos restrictivo).
Motivo: Contienen credenciales. Nadie más que tú debe acceder a ellos.

Carpetas (directorios)

Permisos: 755 (lectura y ejecución para todos, escritura solo para el propietario).
Excepción: Carpetas de subida de archivos (como uploads en WordPress) pueden necesitar 775 para que el servidor web pueda escribir, pero nunca 777.

Archivos de log (error_log, access_log)

Permisos: 644 (lectura para todos, escritura para el propietario).
Motivo: Los logs no deben ser modificados por otros, pero a veces el servidor necesita leerlos.

Archivos ejecutables (scripts CGI, binarios)

Permisos: 755 (lectura y ejecución para todos, escritura solo para el propietario).
Motivo: Necesitan ser ejecutados por el servidor, pero no modificados por cualquiera.

[INFO] Si usas Syspanel (anteriormente conocido como HestiaCP), el acceso es por el puerto 2106, y la lógica de permisos es exactamente la misma. Solo cambia la interfaz, pero los números mágicos son universales.

Cómo proteger archivos sensibles específicos en DirectAdmin

Vamos a profundizar en algunos casos prácticos para proteger archivos críticos.

Proteger wp-config.php en WordPress

Este archivo contiene la base de datos, las claves de seguridad y el prefijo de las tablas. Si alguien lo lee, puede acceder a tu base de datos.

Ve al Administrador de Archivos y localiza wp-config.php en la raíz de tu sitio.
Selecciona el archivo y haz clic en Permisos.
Marca solo Propietario: Leer y Escribir. El resto, desmarcado. Esto da 600.
Guarda los cambios.

[TIP] Si después de cambiar a 600 tu sitio deja de funcionar (por ejemplo, al instalar plugins), prueba con 640 (propietario: lectura/escritura, grupo: lectura). Algunos servidores necesitan que el grupo del sistema (www-data) pueda leerlo.

Proteger el archivo .env en Laravel o Symfony

El archivo .env almacena variables de entorno como claves de API, contraseñas de correo y configuración de base de datos.

En el Administrador de Archivos, busca .env (puede estar oculto; activa "Mostrar archivos ocultos" en la configuración).
Cambia los permisos a 600 o 640.
Además, puedes moverlo fuera del directorio público (por ejemplo, a una carpeta superior a public_html) si tu aplicación lo permite.

Proteger archivos de base de datos SQL

Si tienes copias de seguridad SQL en el servidor (por ejemplo, en public_html/backups), esos archivos son un tesoro para un atacante.

Crea una carpeta fuera de public_html (por ejemplo, backups en el nivel de dominio).
Pon permisos 700 a esa carpeta (solo el propietario puede leer, escribir y ejecutar).
Mueve allí tus archivos SQL.

Errores comunes al configurar permisos en DirectAdmin

Aunque parezca sencillo, es fácil cometer errores. Aquí los más frecuentes:

Usar 777 en todo

Muchos tutoriales antiguos recomiendan 777 para "que funcione". Esto es un gravísimo error de seguridad DirectAdmin. Siempre que puedas, usa 755 para carpetas y 644 para archivos.

Olvidar archivos ocultos

Archivos como .htaccess o .env no se ven por defecto. Si no los proteges, pueden quedar expuestos. Activa "Mostrar archivos ocultos" en el Administrador de Archivos.

No revisar después de actualizaciones

Al actualizar WordPress, plugins o temas, los permisos pueden cambiar. Después de cada actualización, verifica que los archivos sensibles sigan en 600 o 640.

Confundir permisos de carpeta con archivo

Una carpeta con permisos 644 no permitirá entrar a ella (necesita ejecución). Asegúrate de que las carpetas tengan al menos 755.

[WARNING] Si cambias permisos de todo el sitio a 755 (carpetas) y 644 (archivos), pero un plugin necesita escribir, puede dar error. En ese caso, solo cambia los permisos de la carpeta específica que el plugin necesita (por ejemplo, wp-content/cache) a 775, no de todo el sitio.

Herramientas adicionales para la seguridad DirectAdmin

Además de los permisos DirectAdmin, hay otras prácticas que refuerzan la protección:

Usar el bloqueo de IP en DirectAdmin

Desde el panel, puedes bloquear direcciones IP sospechosas. Ve a "Administrador de IP" o "Firewall" (dependiendo de tu versión) y añade reglas.

Activar la autenticación de dos factores (2FA)

DirectAdmin permite habilitar 2FA para tu cuenta de usuario. Actívalo desde "Cuenta" > "Autenticación de dos factores".

Revisar los logs de acceso

En "Estadísticas" o "Logs" puedes ver quién ha accedido a tu panel. Si ves IPs extrañas, cambia la contraseña y bloquea esas IPs.

Usar SSL/TLS

Asegúrate de que tu sitio use HTTPS. DirectAdmin facilita la instalación de certificados SSL gratuitos (Let's Encrypt) desde "SSL Certificates".

Preguntas frecuentes (FAQ) sobre permisos en DirectAdmin

¿Qué permisos debe tener una carpeta en DirectAdmin?

Las carpetas deben tener 755 (propietario: lectura, escritura, ejecución; grupo y otros: lectura y ejecución). Si necesitas que el servidor web escriba en ella (por ejemplo, para subir imágenes), usa 775.

¿Cómo cambiar permisos de muchos archivos a la vez?

En el Administrador de Archivos, puedes seleccionar varios archivos (con Ctrl+clic o Mayús+clic) y luego hacer clic en "Permisos". Se aplicará el mismo permiso a todos.

¿Por qué mi sitio deja de funcionar después de cambiar permisos?

Probablemente porque algún archivo o carpeta necesita permisos de escritura para el servidor web. Revisa los logs de error (en error_log) para ver qué archivo da problema. A menudo es la carpeta de caché o uploads.

¿Los permisos 777 son seguros alguna vez?

Solo en situaciones muy controladas y temporales, como cuando estás instalando un script que requiere escritura temporal. Una vez terminado, vuelve a 755 o 644. Nunca dejes 777 de forma permanente.

¿Qué hago si no puedo cambiar permisos desde DirectAdmin?

Si el botón de permisos no funciona o aparece deshabilitado, puede que tu plan de hosting no permita cambios. Contacta con tu proveedor de hosting o, si tienes acceso SSH, usa el comando chmod (por ejemplo, chmod 644 archivo.php).

Conclusión: La seguridad de tu servidor empieza por los permisos

Configurar correctamente los permisos DirectAdmin es una de las tareas más efectivas y sencillas para proteger archivos sensibles. No necesitas ser un hacker ni un experto en servidores; solo seguir las reglas básicas: archivos de configuración a 600, carpetas a 755, y archivos normales a 644. Evita a toda costa el 777, y revisa periódicamente que todo esté en orden.

Recuerda que la seguridad DirectAdmin no termina aquí. Combínalo con contraseñas fuertes, actualizaciones frecuentes y un firewall básico. Si usas Syspanel (puerto 2106), los mismos principios aplican.

Ahora que sabes cómo hacerlo, tómate 10 minutos para revisar los permisos de tu sitio. Tu yo del futuro (y tus visitantes) te lo agradecerán.

[INFO] Si tienes dudas específicas sobre algún archivo o CMS, busca en la documentación oficial de DirectAdmin o consulta con tu proveedor de hosting. La seguridad es una inversión, no un gasto.