Calculadora de Permisos Linux (chmod)

Todo archivo tiene un propietario, un grupo y un modo. El modo da tres permisos a cada una de tres clases (nueve bits) y justo después del carácter de tipo de archivo, ls -l imprime exactamente esos nueve caracteres.

-rw-r--r-- es un archivo (-) que su propietario puede leer y modificar, y que el grupo y los demás solo pueden leer: modo 644. drwxr-xr-x es un directorio (d) con 755. El primer carácter es el tipo: - un archivo, d un directorio, l un enlace simbólico y b, c, p o s para los tipos especiales. Pegue cualquiera de esas líneas en la calculadora y esta lee de ella el modo y el tipo.

En un directorio, los tres permisos significan algo distinto que en un archivo. Leer permite ver los nombres que contiene. Ejecutar permite entrar en él y llegar a los archivos cuyo nombre ya conoce. Escribir, junto con ejecutar, permite crear y borrar entradas, por eso borrar un archivo depende de los permisos del directorio y no de los del archivo. Un directorio con lectura pero sin ejecución es un directorio cuyo contenido puede ver pero al que no puede entrar.

644 para los archivos, 755 para los directorios y para todo lo que deba ejecutarse. La única diferencia es el bit de ejecución.

644 es rw-r--r--: el propietario puede modificarlo, todos pueden leerlo y nadie puede ejecutarlo. Es lo correcto para HTML, CSS, imágenes, archivos de configuración y código fuente. 755 es rwxr-xr-x: lo mismo, más el bit de ejecución para las tres clases. Un directorio lo necesita o nadie podrá entrar en él, y un script lo necesita o el shell se negará a ejecutarlo.

El error que conviene evitar es chmod -R 755 sobre todo un sitio, que hace ejecutable cada imagen y cada archivo .php. Los dos comandos find que escribe la calculadora dan modos distintos a directorios y archivos en una sola pasada, con los modos que usted eligió y no con una pareja sacada de un blog.

OpenSSH se niega a usar una clave privada que pueda leer alguien que no sea su propietario. Ponga la clave en 600 y el directorio .ssh en 700.

El mensaje exacto es Permissions 0644 for '<path>' are too open., seguido de It is required that your private key files are NOT accessible by others. La prueba es tajante: si usted es el propietario del archivo y cualquier bit del grupo o de los demás está activado, la clave se rechaza. Por eso 640 también falla, y por eso la respuesta es 600 y no «un poco menos que 644».

chmod 600 ~/.ssh/id_ed25519 y chmod 700 ~/.ssh lo arreglan. La clave pública puede ser legible por cualquiera: aquí solo importan la clave privada y el directorio. Elija Clave SSH en los modos habituales de arriba y la calculadora escribe los dos comandos por usted.

El cuarto dígito. En un archivo, setuid y setgid cambian con qué cuenta se ejecuta un programa. En un directorio, setgid decide el grupo de los archivos nuevos y sticky decide quién puede borrarlos.

Setuid (4000) en un ejecutable hace que se ejecute como el propietario del archivo y no como usted: passwd se instala con setuid para poder ejecutarse con los derechos de root cuando usted cambia su contraseña. Setgid (2000) hace lo mismo con el grupo. En un directorio, setgid hace algo distinto y mucho más útil: los archivos nuevos que contiene heredan el grupo del directorio en lugar del de quien los crea, que es como una carpeta de proyecto compartida sigue siendo compartida. Linux no documenta ningún significado para el bit setuid en un directorio; en macOS y los BSD puede hacer que los archivos nuevos tomen el propietario del directorio, si el sistema de archivos se montó con esa opción.

El bit sticky (1000) en un directorio impide que unos borren los archivos de otros: solo el propietario del archivo, el propietario del directorio o root pueden eliminar o renombrar una entrada. /tmp tiene el modo 1777 exactamente por eso: todos pueden escribir en él, nadie puede borrar el trabajo de otro. En un archivo normal, macOS y los BSD ignoran el bit sticky, y el manual de GNU solo le da ahí un significado en algunos sistemas antiguos. Una trampa: chmod 755 somedir, o chmod 0755 somedir, no borra un bit setgid que ya esté activado en un directorio, porque el chmod de GNU los conserva deliberadamente con cualquier modo numérico de menos de cinco dígitos; POSIX solo exige que la forma octal los borre en un archivo normal. Use g-s o el chmod 00755 de cinco dígitos, y la calculadora escribe la forma de cinco dígitos por usted siempre que haga falta.

ls -l los muestra como letras y stat como un número. Pegue cualquiera de los dos en la calculadora y esta lee el modo.

ls -l file imprime -rw-r--r-- 1 you staff 4096 25 Oct 09:26 file, y la calculadora acepta la línea completa: no tiene que sacar el modo de ella. stat -c '%a %n' file imprime 644 file en Linux; en macOS lo mismo es stat -f '%Lp %N' file. Para todo un directorio a la vez, GNU find . -maxdepth 1 -printf '%m %p\n' lista cada modo como un número (el find de macOS no tiene -printf).

Un + al final de la cadena de permisos significa que hay más que los nueve bits: en Linux es una ACL POSIX, que muestra getfacl, y esas entradas adicionales no están en el modo. En macOS, una @ significa atributos extendidos y un + significa información de seguridad ampliada. Con el ls de GNU, un punto (.) significa un contexto de seguridad, como el de SELinux. La calculadora acepta los tres marcadores y le avisa de que el modo es solo una parte de la historia.