Calculadora chmod

Cómo funcionan los permisos octales

Cada archivo tiene tres conjuntos de permisos: uno para su propietario (u), otro para su grupo (g) y otro para los otros (o), es decir, todos los demás. Cada conjunto son tres bits —lectura, escritura y ejecución— y un dígito octal es simplemente su suma: lectura vale 4, escritura 2 y ejecución 1. Así, 7 es rwx (4+2+1), 6 es rw- (4+2), 5 es r-x (4+1) y 4 es r-- solo.

Tres dígitos forman el modo completo, en el orden propietario, grupo, otros. Por eso chmod 755 da al propietario rwx y a todos los demás r-x, escrito rwxr-xr-x, mientras que chmod 644 da al propietario rw- y a todos los demás r--, escrito rw-r--r--. Un cuarto dígito delante contiene los bits especiales: 4 para setuid, 2 para setgid y 1 para sticky, como en chmod 1777.

Valores chmod habituales

644 (rw-r--r--)

El valor por defecto para archivos normales: el propietario puede editar y todos pueden leer. Adecuado para HTML, imágenes y la mayoría de la configuración.

755 (rwxr-xr-x)

El valor por defecto para directorios, scripts y programas: todos pueden leer y ejecutar, solo el propietario puede modificar.

600 (rw-------)

Archivos privados que solo el propietario puede leer: claves privadas SSH, archivos .env, credenciales. ssh rechaza una clave privada que otros puedan leer.

700 (rwx------)

Un directorio privado, como ~/.ssh, en el que solo su propietario puede entrar.

664 / 775

Como 644 y 755, pero el grupo también puede escribir: para carpetas de proyecto compartidas entre compañeros de un mismo grupo.

777 (rwxrwxrwx)

Cualquiera puede leer, modificar y ejecutar. Casi nunca es la solución correcta a un error de permisos, y es un riesgo de seguridad en un servidor web.

1777 (rwxrwxrwt)

Escribible por todos con el sticky bit, como /tmp: todos pueden crear archivos, pero solo el propietario de un archivo puede borrarlo.

Permisos en directorios

En un directorio, las tres letras significan otra cosa. Lectura te permite listar los nombres que contiene; escritura te permite crear, renombrar y borrar entradas en él; ejecución (a menudo llamada búsqueda) te permite entrar con cd y acceder a los archivos por su nombre. Lectura y escritura sirven de poco sin ejecución, por eso los directorios casi siempre tienen x donde tienen r: 755 en lugar de 644.

Borrar un archivo es un cambio en su directorio, no en el archivo. Cualquiera con permiso de escritura y ejecución en un directorio puede borrar cualquier archivo que contenga, incluso uno de solo lectura que no sea suyo, salvo que el directorio tenga el sticky bit.

Setuid, setgid y el sticky bit

En la forma simbólica, los bits especiales sustituyen a la letra de ejecución: s cuando la ejecución también está activa y S cuando no, y t o T para el sticky bit. Una mayúscula suele indicar un error, porque un programa setuid que nadie puede ejecutar no hace nada.

Una peculiaridad de GNU coreutils: chmod 755 en un directorio conserva un bit setuid o setgid existente. Para quitarlos con un número, escribe cinco dígitos —chmod 00755— o usa chmod g-s.

Setuid (4000, u+s)

Un ejecutable se ejecuta con los privilegios de su propietario y no con los de quien lo llama. passwd lo usa para escribir /etc/shadow como root. Linux lo ignora en scripts y directorios.

Setgid (2000, g+s)

Un ejecutable se ejecuta con los privilegios de su grupo. En un directorio, los archivos nuevos heredan el grupo del directorio en lugar del grupo principal de su creador: la configuración habitual para carpetas de equipo (2775).

Sticky bit (1000, +t)

En un directorio, solo el propietario de un archivo, el propietario del directorio o root pueden borrar o renombrar los archivos que contiene. Linux moderno lo ignora en archivos.

¿chmod numérico o simbólico?

Un modo numérico como chmod 644 file fija todos los bits a la vez, que es lo que quieres cuando conoces el estado final. La forma simbólica es más flexible: chmod u=rw,g=r,o=r file hace lo mismo, mientras que chmod g+w file o chmod o-rwx file cambian solo los bits indicados y dejan el resto intacto.

Cuidado con chmod -R: un único modo para todos los archivos y directorios de un árbol suele dar a los archivos bits de ejecución que no deberían tener. Usa find . -type d -exec chmod 755 {} + y find . -type f -exec chmod 644 {} + para tratarlos por separado, o la X mayúscula de chmod -R u=rwX,go=rX, que añade ejecución solo a directorios y a archivos que ya la tenían. Los archivos nuevos reciben sus permisos iniciales de la umask: una umask de 022 da archivos 644 y directorios 755. Para buscar nombres de archivo en scripts de shell, prueba el probador de expresiones regulares.