File Permission ใน WordPress ตั้งค่าอย่างไรให้ปลอดภัย

File Permission คือการกำหนดสิทธิ์การอ่าน เขียน และรันไฟล์บนเซิร์ฟเวอร์ Linux/Unix ซึ่งเป็นพื้นฐานสำคัญของความปลอดภัย WordPress ที่เจ้าของเว็บหลายคนมองข้าม หาก Permission ตั้งหลวมเกินไป แฮกเกอร์หรือสคริปต์อันตรายอาจแก้ไขไฟล์ Theme, Plugin หรือแม้แต่ wp-config.php ได้โดยตรง ส่งผลให้เว็บถูกฝัง Malware โดยที่คุณไม่รู้ตัว บทความนี้จะอธิบายค่า Permission ที่ถูกต้อง วิธีตรวจสอบ และวิธีแก้ไขแบบทีละขั้นตอน

File Permission คืออะไร และทำไมถึงสำคัญใน WordPress

ระบบ Linux ใช้ตัวเลขสามหลัก (octal mode ตามคู่มือ chmod) แทนสิทธิ์ของสามกลุ่ม ได้แก่ Owner (เจ้าของไฟล์), Group (กลุ่ม), และ Others (คนอื่น) โดยแต่ละหลักรวมค่าดังนี้:

• 4 = Read (อ่านได้)
• 2 = Write (เขียนได้)
• 1 = Execute (รันได้)

ตัวอย่างเช่น 755 หมายถึง Owner รัน/อ่าน/เขียนได้ ส่วน Group และ Others อ่านและรันได้อย่างเดียว ส่วน 777 คือทุกคนทำได้ทุกอย่าง ซึ่งคู่มือ File Permissions ของ WordPress.orgระบุว่าไม่ควรตั้ง 777 กับไดเรกทอรีใดเลย แม้แต่โฟลเดอร์ upload และอันตรายมากบน Shared Hosting เพราะผู้ใช้รายอื่นหรือสคริปต์ภายนอกสามารถแก้ไขไฟล์ของคุณได้

ค่า File Permission ที่ WordPress แนะนำ

WordPress มีคำแนะนำอย่างเป็นทางการสำหรับค่า Permission ที่ปลอดภัย (ดูFile PermissionsและHardening WordPress) ดังนี้:

• โฟลเดอร์ทั่วไป เช่น wp-content/, wp-includes/ และโฟลเดอร์อื่น ๆ ใน WordPress root ตั้งค่าเป็น 755
• ไฟล์ทั่วไป เช่น .php, .js, .css ตั้งค่าเป็น 644
• wp-config.php ตั้งค่าเป็น 400 หรือ 440 ตามคู่มือ Hardening WordPress ของ WordPress.org เพื่อให้อ่านได้เฉพาะเจ้าของไฟล์และ Web Server เนื่องจากไฟล์นี้มีข้อมูล Database Credentials ถ้าตั้ง 400 แล้วเว็บขึ้น Error เพราะ Web Server อ่านไฟล์ไม่ได้ (PHP รันด้วย User คนละตัวกับเจ้าของไฟล์) ให้ใช้ 440
• .htaccess ตั้งค่าเป็น 644 เพื่อให้ Apache อ่านได้แต่ป้องกันการแก้ไขจากภายนอก
• โฟลเดอร์ wp-content/uploads/ ตั้งค่าเป็น 755 เพียงพอ ไม่จำเป็นต้องเป็น 777 เพราะคู่มือ WordPress.orgอธิบายว่าเมื่อ PHP รันด้วยเจ้าของไฟล์ ก็เขียนลงโฟลเดอร์ 755 ได้

วิธีตรวจสอบ File Permission ปัจจุบัน

มีหลายวิธีในการตรวจสอบ Permission ที่ใช้งานอยู่จริง:

ผ่าน FTP/SFTP (Filezilla หรือโปรแกรมอื่น)

• เชื่อมต่อ FTP/SFTP เข้าสู่เซิร์ฟเวอร์
• คลิกขวาที่ไฟล์หรือโฟลเดอร์ที่ต้องการ เลือก File Permissions หรือ Properties
• ตัวเลขที่ปรากฏคือค่า Permission ปัจจุบัน

ผ่าน SSH (สำหรับผู้มีสิทธิ์เข้าถึง)

• ใช้คำสั่ง ls -la ในโฟลเดอร์ WordPress เพื่อดู Permission ทั้งหมด
• ใช้คำสั่ง find . -type f -perm 777 เพื่อค้นหาไฟล์ที่มี Permission 777 ทั้งหมด
• ใช้ find . -type d -perm 777 เพื่อค้นหาโฟลเดอร์ที่มี Permission 777

ผ่าน cPanel File Manager

• เข้า cPanel → File Manager → นำทางไปที่โฟลเดอร์ WordPress
• คลิกขวาที่ไฟล์/โฟลเดอร์ → เลือก Change Permissions

วิธีแก้ไข File Permission ทีละขั้นตอน

หากพบว่า Permission ผิดปกติ ให้แก้ไขตามขั้นตอนต่อไปนี้:

วิธีที่ 1: ใช้ SSH Command (เร็วและครอบคลุมที่สุด)

• ตามคู่มือ Hardening รันคำสั่งนี้เพื่อตั้งค่าโฟลเดอร์ทั้งหมดเป็น 755:
  find /path/to/wordpress -type d -exec chmod 755 {} \;
• รันคำสั่งนี้เพื่อตั้งค่าไฟล์ทั้งหมดเป็น 644:
  find /path/to/wordpress -type f -exec chmod 644 {} \;
• จากนั้นตั้งค่า wp-config.php แยกต่างหาก:
  chmod 440 /path/to/wordpress/wp-config.php

วิธีที่ 2: ใช้ FTP/SFTP ทีละไฟล์

• คลิกขวาที่ไฟล์/โฟลเดอร์ → File Permissions → ใส่ตัวเลขที่ต้องการ → กด OK
• หากต้องการเปลี่ยนหลายไฟล์พร้อมกัน ให้เลือกหลายไฟล์แล้วคลิกขวาพร้อมกัน

การทำตามขั้นตอนนี้ถือเป็นส่วนหนึ่งของ Website Security Hardening ซึ่งช่วยลดพื้นที่โจมตีของแฮกเกอร์ได้อย่างมีนัยสำคัญ

ข้อผิดพลาดที่พบบ่อยและวิธีหลีกเลี่ยง

• ตั้ง wp-content/uploads/ เป็น 777 เพราะคิดว่า WordPress ต้องการสิทธิ์เขียน — ในความเป็นจริง 755 เพียงพอ และ Web Server จะเป็น Owner อยู่แล้ว
• ลืมตรวจสอบหลังติดตั้ง Plugin หรือ Theme ใหม่ — จากเคสที่เราแก้ Permission มักเปลี่ยนหลังติดตั้ง Plugin หรือย้ายโฮสต์ ควรตรวจสอบหลังทำทุกครั้ง
• ตั้ง wp-config.php เป็น 644 ทำให้ผู้ใช้อื่นในระบบอ่านรหัสผ่านฐานข้อมูลได้ ควรเป็น 400 หรือ 440
• ไม่ตรวจสอบ .htaccess หาก .htaccess ถูกแก้ไขได้โดยใคร ก็อาจฝัง Redirect อันตรายหรือบล็อกการเข้าถึงได้

ปัญหา Permission มักเกิดร่วมกับช่องโหว่อื่น ๆ ดูรายละเอียดเพิ่มเติมได้ใน Checklist ความปลอดภัย WordPress ฉบับเจ้าของเว็บ และ วิธีป้องกัน WordPress โดนแฮกเบื้องต้น

เมื่อไหร่ควรให้ผู้เชี่ยวชาญเข้ามาช่วย

การแก้ไข File Permission ด้วยตัวเองอาจทำให้เว็บล่มได้หากตั้งค่าผิดพลาด เช่น ตั้ง Permission โฟลเดอร์ wp-admin/ เป็น 700 แล้ว Web Server เข้าไม่ได้ ควรพิจารณาติดต่อผู้เชี่ยวชาญในกรณีดังนี้:

• พบไฟล์แปลกปลอมหรือ Malware ในโฟลเดอร์ WordPress และไม่แน่ใจว่าจะแก้ไขไฟล์ใดบ้าง
• เว็บล่มหลังจากเปลี่ยน Permission และไม่สามารถเข้า Admin ได้
• ต้องการ Audit Permission ทั้งเซิร์ฟเวอร์พร้อมกับ Hardening รายการอื่น ๆ
• ใช้ Managed Hosting หรือ Cloud Server ที่มีโครงสร้าง Permission แตกต่างจาก Shared Hosting ทั่วไป

ทีมงาน WP Doctor Thailand ให้บริการ เสริมความปลอดภัย WordPress ครอบคลุมการตรวจสอบและแก้ไข File Permission พร้อมกับมาตรการ Hardening อื่น ๆ อีกด้วย หากคุณไม่แน่ใจว่าเว็บของคุณปลอดภัยพอ ลองอ่าน Security Plugin จำเป็นไหมสำหรับ WordPress ประกอบด้วย

สิทธิ์ไฟล์อาจถูกเปลี่ยนกลับหลังย้ายโฮสต์หรือติดตั้ง Plugin ใหม่ บริการ ดูแลเว็บ WordPress รายเดือน สแกนไฟล์แปลกปลอมและตรวจระบบให้ทุกเดือน

คำถามที่พบบ่อย

แหล่งอ้างอิง

1. WordPress.org. (ม.ป.ป.). Changing File Permissions (Advanced Administration Handbook). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/advanced-administration/server/file-permissions/
2. WordPress.org. (ม.ป.ป.). Hardening WordPress (Advanced Administration Handbook). สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://developer.wordpress.org/advanced-administration/security/hardening/
3. Linux man-pages project. (ม.ป.ป.). chmod(1) manual page. สืบค้นเมื่อ 3 พฤศจิกายน 2026, จาก https://man7.org/linux/man-pages/man1/chmod.1.html