Калькулятор chmod: права доступа в Linux простыми словами

Права доступа — первое, обо что спотыкаются в Linux: Permission denied при запуске скрипта, сайт, который не может записать картинку, SSH, который отказывается принимать ключ. Всё это решается одной командой chmod — если знать, какое число в неё подставить.

Калькулятор ниже переводит права туда и обратно: отметьте галочки — получите число и буквы, введите 644 или вставьте строку из ls -l — увидите, кто что может. Под ним готовая команда и объяснение простыми словами, а внизу — частые варианты для сайта, ключей и общих папок.

Как читать права в выводе ls -l

Команда ls -l показывает права первой колонкой:

$ ls -l
-rw-r--r-- 1 nixlife nixlife  4096 сен 28 10:12 notes.txt
-rwxr-xr-x 1 nixlife nixlife   812 сен 28 10:15 backup.sh
drwxr-x--- 2 nixlife www-data 4096 сен 28 10:20 uploads

Первый символ — тип: - обычный файл, d папка, l ссылка. Дальше три тройки по три символа:

Буква на месте — право есть, прочерк — нет. Следом идут владелец и группа файла: в примере выше папка uploads принадлежит пользователю nixlife и группе www-data, от которой обычно работает веб-сервер.

Точное число прав покажет stat:

stat -c '%a %A %U:%G %n' *

Откуда берутся цифры 755 и 644

Каждое право — это число, а тройка прав — их сумма:

Отсюда всё остальное: rwx = 4 + 2 + 1 = 7, r-x = 4 + 1 = 5, rw- = 4 + 2 = 6, r-- = 4. Три цифры подряд — это владелец, группа и остальные. Значит, 755 — владелец может всё, остальные читают и запускают, а 644 — владелец читает и пишет, остальные только читают.

Если цифр четыре, первая — особые биты (о них ниже). 0755 и 755 — одно и то же.

Права у файла и у папки работают по-разному

Самое неочевидное место. Буквы те же, а смысл у папок другой:

Два следствия, которые экономят часы:

• Без x в папку не зайти, даже если на ней стоит r. Поэтому папкам почти всегда нужен x: 755 или 750, а не 644.
• Удалить файл можно без прав на сам файл — достаточно права записи на папку, в которой он лежит. Защищать от удаления нужно папку, а не файл. Для общих папок для этого есть sticky-бит.

Какие права ставить: частые варианты

Любой вариант можно открыть в калькуляторе по ссылке: например, /chmod-kalkulyator/#640 сразу покажет права 640 с объяснением.

Права для сайта: папкам 755, файлам 644

Типовая ситуация: сайт залили архивом, и у части файлов оказались странные права — 777 после Windows или 600 после распаковки. Правильно выставить всё разом одной командой chmod -R 755 нельзя: права на запуск получат все файлы. Делают две команды — отдельно для папок и для файлов:

cd /var/www/example.ru
find . -type d -exec chmod 755 {} +
find . -type f -exec chmod 644 {} +

Файлы с паролями от базы данных (например, wp-config.php или config.local.php) лучше закрыть сильнее — 640 или 600, в зависимости от того, от какого пользователя работает PHP.

Права для SSH-ключей

SSH намеренно отказывается работать с ключом, который могут прочитать другие, и пишет:

WARNING: UNPROTECTED PRIVATE KEY FILE!
Permissions 0644 for '/home/nixlife/.ssh/id_ed25519' are too open.

Лечится тремя командами:

chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_ed25519 ~/.ssh/authorized_keys ~/.ssh/config
chmod 644 ~/.ssh/id_ed25519.pub

Та же история на сервере: если authorized_keys или домашняя папка доступны на запись группе или всем, SSH молча игнорирует ключ и спрашивает пароль. Как настроить вход по ключу с нуля, — в статье про защиту сервера после установки.

Почему 777 — плохая идея

chmod 777 — самый популярный «рецепт» на форумах: поставил, и ошибка пропала. Но это значит, что любой пользователь и любая программа на компьютере могут изменить или удалить файл. На сервере это прямой путь к взлому: через дыру в одном сайте злоумышленник допишет вредоносный код во все файлы с правами 777.

Ошибка доступа почти всегда означает одно из двух:

1. Не тот владелец. Программа работает от пользователя, которому файл не принадлежит. Решение — chown, а права оставить 755/644.
2. Нет права на папку выше. Чтобы открыть /srv/data/photos/1.jpg, нужен x на каждой папке по пути. Проверить всю цепочку разом: namei -l /srv/data/photos/1.jpg.

Для совместной работы нескольких пользователей — общая группа и права 775/664 или 2775, а не 777. Так устроена, например, общая папка в настройке Samba.

chmod буквами: добавить или убрать одно право

Число задаёт права целиком. Если нужно поменять только одно право, удобнее буквы: кому (u, g, o или a — всем), что сделать (+ добавить, - убрать, = установить ровно так) и какое право.

Калькулятор выше показывает обе записи — числом и буквами.

chown: владелец и группа

Права отвечают на вопрос «что можно», а владелец и группа — «кому». Меняются они командой chown (нужен sudo):

sudo chown nixlife file.txt              # сменить владельца
sudo chown nixlife:www-data file.txt     # владельца и группу
sudo chown -R www-data:www-data uploads/ # рекурсивно для всей папки
sudo chgrp media /srv/media              # только группу

Чтобы пользователь получил доступ к файлам группы, добавьте его в неё: sudo usermod -aG www-data nixlife — и перезайдите в систему, иначе новая группа не подхватится.

umask: какие права получают новые файлы

Почему новые файлы появляются с 644, а папки с 755? Из-за umask — маски, которая вычитается из максимальных прав (666 для файлов и 777 для папок). Посмотреть свою можно командой umask:

Для одной сессии достаточно команды umask 027, насовсем — добавить её в ~/.bashrc. Для служб systemd маска задаётся в юните строкой UMask=0027.

Особые биты: setuid, setgid и sticky

Четвёртая цифра спереди включает особые режимы. В ls -l они видны вместо x:

• setuid (4000) — s у владельца, например -rwsr-xr-x у /usr/bin/passwd. Программа запускается с правами владельца файла, а не того, кто её запустил. Сами ставить почти никогда не нужно.
• setgid (2000) — s у группы. У папки: все новые файлы внутри получают группу папки, а не группу создателя. Идеально для общих папок: chmod 2775 /srv/shared.
• sticky (1000) — t у остальных, как у /tmp (drwxrwxrwt). Писать в папку могут все, но удалить или переименовать файл — только его владелец.

Большая буква (S или T) значит, что особый бит стоит, а право на запуск — нет. Обычно это ошибка.

Частые вопросы

Что значит chmod 755?

Владелец может читать, изменять и запускать (7), группа и остальные — читать и запускать (5 и 5). Стандарт для папок и скриптов: всем можно зайти и запустить, менять — только владельцу.

Чем отличается chmod 644 от 755?

У 644 нет права на запуск ни у кого. Для обычных файлов — картинок, страниц, конфигов — это правильно. Для папок 644 не подходит: без права x в них нельзя зайти.

Как сделать скрипт исполняемым?

Командой chmod +x script.sh, после чего его можно запускать как ./script.sh. Если скрипт должен запускать только владелец — chmod u+x script.sh или chmod 700 script.sh.

Почему после chmod всё равно Permission denied?

Проверьте три вещи: владельца файла (ls -l), права на все папки по пути (namei -l путь) и то, от какого пользователя работает программа. Ещё одна частая причина — диск смонтирован с noexec или это раздел NTFS/FAT, где права Linux не работают так, как обычно.

Как посмотреть права числом?

stat -c '%a %n' файл покажет, например, 644 notes.txt. Для всех файлов в папке — stat -c '%a %n' *.

Как изменить права только у папок или только у файлов?

Через find: find путь -type d -exec chmod 755 {} + для папок и find путь -type f -exec chmod 644 {} + для файлов. В калькуляторе выберите «только к папкам внутри» или «только к файлам внутри» — команда соберётся сама.

Нужен ли sudo для chmod?

Только если вы не владелец файла. Свои файлы можно менять без sudo, чужие и системные — через sudo chmod. Сменить владельца (chown) может только root.

Что дальше

Права — половина безопасности сервера. Вторая — закрыть вход по паролю и лишние порты: это в статье про защиту Ubuntu Server. А чтобы запускать скрипты по расписанию — например, резервное копирование каждую ночь, — пригодится генератор cron.