Calculateur chmod

Chaque fichier a un propriétaire, un groupe et un mode. Le mode donne trois permissions à chacune des trois classes — neuf bits — et juste après le caractère du type de fichier, ls -l affiche exactement ces neuf caractères.

-rw-r--r-- est un fichier (-) que le propriétaire peut lire et modifier, et que le groupe et les autres peuvent seulement lire : mode 644. drwxr-xr-x est un répertoire (d) en 755. Le premier caractère est le type : - un fichier, d un répertoire, l un lien symbolique, et b, c, p ou s pour les sortes spéciales. Collez n'importe laquelle de ces lignes dans le calculateur : il en lit le mode et le type.

Sur un répertoire, les trois permissions ne veulent pas dire la même chose que sur un fichier. Lire permet de lister les noms qu'il contient. Exécuter permet d'y entrer et d'atteindre les fichiers dont vous connaissez déjà le nom. Écrire, avec exécuter, permet de créer et de supprimer des entrées — c'est pourquoi supprimer un fichier dépend des permissions du répertoire, pas de celles du fichier. Un répertoire en lecture sans exécution, vous pouvez le lister, pas l'ouvrir.

644 pour les fichiers, 755 pour les répertoires et pour tout ce qui doit s'exécuter. La seule différence, c'est le bit d'exécution.

644 est rw-r--r-- : le propriétaire peut le modifier, tout le monde peut le lire, personne ne peut l'exécuter. C'est ce qu'il faut pour le HTML, le CSS, les images, la configuration et les fichiers source. 755 est rwxr-xr-x : la même chose, plus le bit d'exécution pour les trois classes. Un répertoire en a besoin, sinon personne ne peut y entrer, et un script aussi, sinon le shell refusera de l'exécuter.

L'erreur à éviter est chmod -R 755 sur tout un site, qui rend exécutables chaque image et chaque fichier .php. Les deux commandes find que le calculateur écrit donnent aux répertoires et aux fichiers des modes différents en une passe, avec les modes que vous avez réellement choisis plutôt qu'un couple tiré d'un blog.

OpenSSH refuse d'utiliser une clé privée que quelqu'un d'autre que son propriétaire peut lire. Mettez la clé en 600 et le répertoire .ssh en 700.

Le message exact est Permissions 0644 for '<path>' are too open., suivi de It is required that your private key files are NOT accessible by others. Le test est brutal : si le fichier est à vous et que n'importe quel bit du groupe ou des autres est posé, la clé est refusée. C'est pourquoi 640 échoue aussi, et pourquoi la réponse est 600 plutôt que « un peu moins que 644 ».

chmod 600 ~/.ssh/id_ed25519 et chmod 700 ~/.ssh règlent le problème. La clé publique peut être lisible par tous : seuls la clé privée et le répertoire comptent ici. Choisissez Clé SSH dans les modes courants ci-dessus et le calculateur écrit les deux commandes pour vous.

Le quatrième chiffre. Sur un fichier, setuid et setgid changent le compte sous lequel un programme s'exécute. Sur un répertoire, setgid décide du groupe des nouveaux fichiers et le bit sticky décide qui peut les supprimer.

Setuid (4000) sur un exécutable le fait s'exécuter en tant que propriétaire du fichier plutôt qu'en tant que vous — passwd est installé setuid pour pouvoir s'exécuter avec les droits de root quand vous changez de mot de passe. Setgid (2000) fait de même pour le groupe. Sur un répertoire, setgid fait autre chose, et de bien plus utile : les nouveaux fichiers à l'intérieur héritent du groupe du répertoire plutôt que de celui de leur créateur, ce qui garde un dossier de projet partagé partagé. Linux ne documente aucun sens pour le bit setuid sur un répertoire ; sous macOS et les BSD, il peut faire prendre aux nouveaux fichiers le propriétaire du répertoire, si le système de fichiers a été monté avec cette option.

Le bit sticky (1000) sur un répertoire empêche de supprimer les fichiers des autres : seuls le propriétaire du fichier, le propriétaire du répertoire ou root peuvent retirer ou renommer une entrée. /tmp est en mode 1777 pour cette raison précise — tout le monde peut y écrire, personne ne peut supprimer le travail d'un autre. Sur un fichier ordinaire, macOS et les BSD ignorent le bit sticky, et le manuel de GNU ne lui donne un sens que sur certains systèmes anciens. Un piège : chmod 755 somedir — ou chmod 0755 somedir — n'efface pas un bit setgid déjà présent sur un répertoire, parce que chmod GNU les conserve délibérément avec tout mode numérique de moins de cinq chiffres — POSIX n'exige que la forme octale les efface sur un fichier ordinaire. Utilisez g-s, ou chmod 00755 à cinq chiffres, et le calculateur écrit la forme à cinq chiffres chaque fois que c'est ce qu'il vous faut.

ls -l les affiche en lettres et stat en nombre. Collez l'un ou l'autre dans le calculateur et il relit le mode.

ls -l file affiche -rw-r--r-- 1 you staff 4096 25 Oct 09:26 file, et le calculateur accepte la ligne entière — inutile d'en extraire le mode. stat -c '%a %n' file affiche 644 file sous Linux ; sous macOS, la même chose s'écrit stat -f '%Lp %N' file. Pour tout un répertoire d'un coup, GNU find . -maxdepth 1 -printf '%m %p\n' liste chaque mode sous forme de nombre (le find de macOS n'a pas -printf).

Un + à la fin de la chaîne de permissions signale qu'il y a plus que les neuf bits : sous Linux, c'est une ACL POSIX, que getfacl affiche, et ces entrées supplémentaires ne sont pas dans le mode du tout. Sous macOS, un @ signale des attributs étendus et un + des informations de sécurité étendues. Avec ls de GNU, un point (.) signale un contexte de sécurité, comme celui de SELinux. Le calculateur accepte les trois marqueurs et vous prévient que le mode n'est qu'une partie de l'histoire.