所有者と実行方式を確認する
同じ644や755でも、所有者・グループ・PHPの動作方式によって実際のアクセス範囲は変わります。レンタルサーバーの推奨設定を確認し、アップロード、更新、キャッシュ書込みの対象を区別します。一律の再帰変更は避けてください。
wp-config.phpを保護する
DB接続情報や認証用のキーを公開しないことが目的です。ファイルがPHPとして処理されるか、バックアップ名のコピーが公開領域に残っていないかを確認します。配置変更はサーバー構成やWordPressの読み込み条件を確認したうえで行います。
変更時の手順
- 現在の所有者・グループ・権限を記録する。
- サーバー提供者の説明と必要な書込み先を確認する。
- 検証環境で最小限の対象を変更する。
- 表示、ログイン、更新、画像追加を確認する。
- エラー時には元の設定へ戻して調査する。
やってはいけない対処
書き込めないからと全体を777にすること、秘密情報を含む設定を公開掲示板へ貼ること、接続情報のコピーをテーマ内へ置くことは避けます。ファイル権限は防御の一部であり、脆弱なコード自体は修正が必要です。
変更対象を絞るための確認
更新できない場合は、対象ディレクトリ、所有者、PHP実行ユーザー、空き容量、一時領域、ログを照合します。権限エラーに見えても容量やマウントの条件が原因の場合があります。Webから書き込む必要のないコードと、画像・キャッシュなどの保存先を分けて評価します。
設定ファイルのコピーも保護する
wp-config.php自体を保護しても、.bakや.zip、エディターの一時ファイルが取得できると秘密情報が漏れる場合があります。作業ファイルの置き場所と削除確認を、設定変更の完了条件に含めます。
よくある質問
644と755なら必ず安全ですか？
所有者と実行方式、共有範囲に依存します。数値だけで正解を決めず、ホスティングの説明と必要な書込み処理を確認します。
読取り専用にすれば侵害を防げますか？
一部の書換えリスクを減らしても、DB操作や権限悪用など別の経路は残ります。更新、認証、アクセス制御を組み合わせます。