Calculadora de chmod: permissões do Linux

755 dá permissão total ao dono (ler, escrever e executar) e permissão de leitura e execução ao grupo e a todos os outros usuários. É o modo típico de um script executável e de um diretório que precisa ser navegado por qualquer pessoa. Em letras, 755 é rwxr-xr-x: o 7 do dono vale 4 mais 2 mais 1, e cada 5 vale 4 mais 1.

644 é o modo comum de arquivo que não precisa ser executado: o dono lê e escreve, e grupo e outros apenas leem. Em letras, rw-r--r--. É o que se usa em página HTML, imagem, arquivo de configuração público e documento. Aplicar 644 em um script faz o script parar de rodar, porque falta o bit de execução; aplicar 644 em um diretório impede entrar nele.

600 deixa o arquivo só para o dono, que lê e escreve. Grupo e outros ficam sem acesso nenhum. Em letras, rw-------. É o modo de chave SSH privada, de arquivo .env e de qualquer credencial guardada em texto. O cliente OpenSSH cobra isso: se a chave privada der qualquer acesso ao grupo ou aos outros, ele avisa que as permissões estão abertas demais e ignora a chave. A pasta ~/.ssh, que precisa do x para ser atravessada, fica em 700 (rwx------).

777 libera leitura, escrita e execução para qualquer usuário da máquina. Na prática, qualquer processo comprometido, qualquer conta de serviço e qualquer pessoa com acesso ao servidor pode reescrever o conteúdo, inclusive trocando um script por outro que será executado depois. Em servidor web compartilhado, é a receita clássica de arquivo modificado sem ninguém saber como. Quando algo só funciona com 777, o problema real quase sempre é o dono ou o grupo errado, e a correção é chown ou chgrp, não abrir tudo.

chmod +x liga o bit de execução, o que permite rodar um script ou programa com ./nome. Sem a letra de quem recebe (u, g, o ou a), o chmod aplica a mudança para todos, mas respeita a umask: com a umask 022, padrão em muitas distribuições, um arquivo 644 vira 755. Para dar execução só ao dono, use chmod u+x. Arquivo baixado ou extraído de um zip costuma chegar sem esse bit, e essa é a causa mais simples do Permission denied ao rodar ./script.sh.

ls -l arquivo mostra o modo em letras, como -rwxr-xr-x, com o tipo na frente e, depois, o dono e o grupo. Para ver o número, o stat do GNU coreutils aceita formato: stat -c '%a %A %n' arquivo imprime algo como 755 -rwxr-xr-x arquivo. Numa pasta, use ls -ld para ver a própria pasta, e não o que está dentro dela. Esta calculadora faz a leitura inversa: cole a coluna do ls -l no campo Simbólico e ela devolve o octal.

As mesmas três letras significam coisas diferentes. Em arquivo, r é ler o conteúdo, w é alterar e x é executar. Em diretório, r é listar os nomes de dentro, w é criar e apagar entradas (só junto com o x), e x é entrar, ou seja, atravessar o caminho para chegar ao que está lá dentro. É por isso que um diretório sem x devolve permission denied mesmo quando o arquivo lá dentro está com 644: ninguém consegue chegar até ele.

Cada grupo de três letras vira um dígito somando 4 para r, 2 para w e 1 para x. Em rwxr-xr-x, o primeiro grupo rwx soma 4 mais 2 mais 1, que é 7; os dois grupos r-x somam 4 mais 1, que é 5. O resultado é 755. Nesta página dá para fazer o caminho inverso também: cole a coluna do ls -l e o octal aparece pronto.

São os três bits do quarto dígito. Setuid (4) faz o programa rodar com os privilégios do dono do arquivo, e não de quem executou; é o mecanismo por trás do passwd e do sudo. Setgid (2) faz o mesmo com o grupo e, aplicado a um diretório, faz tudo que for criado dentro herdar o grupo da pasta. Sticky (1) em diretório com escrita liberada impede que um usuário apague arquivo de outro: é o que o /tmp usa, por isso 1777 e não 777.

O bit especial ocupa a mesma casa do x no modo simbólico. Quando o x também está ligado, a letra sai minúscula (s ou t). Quando o x está desligado, ela sai maiúscula (S ou T), e isso é um aviso: o bit foi pedido, mas não tem efeito prático ali, porque não há execução para acontecer com privilégio diferente.

O modo é o mesmo, mas a explicação e os avisos mudam, porque as letras valem outra coisa em diretório. Em arquivo, x é executar. Em diretório, x é entrar, r é listar os nomes, e w só cria ou apaga junto com o x. Por isso o 644 é normal num arquivo e trava uma pasta, já que ninguém consegue entrar nela. Com "Um diretório" marcado, a tabela do que o modo permite e o quadro de avisos passam a falar de listar, entrar, criar e apagar.

É a lista de riscos concretos do modo marcado, calculada a partir dos bits. A calculadora avisa quando a escrita está liberada para qualquer usuário, quando o setuid aparece junto de escrita para todos (aí qualquer um troca o programa que roda como o dono), quando um diretório com escrita pública está sem sticky e quando uma pasta tem r sem x. Também explica o efeito do setuid e do setgid. Um 755 ou um 644 em arquivo não geram aviso nenhum; um 777 em diretório gera 2.