Calculateur chmod

Cochez les permissions que vous voulez et obtenez la commande à exécuter. Convertit entre les modes octaux comme 755 et symboliques comme rwxr-xr-x, dans les deux sens.

Vos données ne quittent jamais votre navigateur. Cet outil fonctionne entièrement sur votre appareil.

Permission bits by class
Who	Read (4)	Write (2)	Execute (1)	Digit
Owner				7
Group				5
Everyone else				5

setuid (4)setgid (2)Sticky (1)

Octal

Symbolic

Command

chmod 755 file

ls -l shows -rwxr-xr-x

Owner: read the contents, modify the contents and run it as a program.
Group: read the contents and run it as a program.
Everyone else: read the contents and run it as a program.

Apply a symbolic change

Works like chmod itself: u+x, go-w, a=rw, u=rwx,go=rx.

Common modes

Pourquoi le mode comporte trois chiffres

Chaque fichier porte trois jeux de permissions distincts : un pour son propriétaire, un pour le groupe propriétaire, et un pour tous les autres. Chaque jeu contient trois bits — lecture, écriture et exécution — et chaque bit a une valeur : lecture vaut 4, écriture 2, exécution 1.

Additionner les valeurs des bits souhaités donne un chiffre par classe, d'où l'écriture du mode en trois chiffres. 7 vaut 4 + 2 + 1, soit les trois ; 6 vaut lecture et écriture ; 5 lecture et exécution ; 4 lecture seule. 755 signifie donc que le propriétaire peut tout faire, tandis que le groupe et les autres peuvent lire et exécuter mais pas modifier.

lecture 4 + écriture 2 + exécution 1 · propriétaire, groupe, autres

L'exécution ne signifie pas la même chose sur un répertoire

Sur un fichier, le bit d'exécution signifie que le fichier peut être lancé comme un programme. Sur un répertoire, il signifie que vous pouvez y entrer et atteindre ce qu'il contient — d'où le fait que les répertoires soient presque toujours en 755 ou 700 plutôt qu'en 644.

Les conséquences des deux autres bits se décalent également. La lecture sur un répertoire permet d'en lister les entrées ; l'écriture permet d'y créer et d'y supprimer des entrées. Ce dernier point surprend souvent : supprimer un fichier dépend de la permission d'écriture sur le répertoire, et non sur le fichier lui-même.

Un répertoire en r-- liste les noms mais ne peut pas ouvrir ce qu'il liste.
Un répertoire en --x atteint un chemin connu à l'intérieur sans pouvoir le lister.
L'écriture sur un répertoire autorise à y supprimer des fichiers, quelles que soient leurs propres permissions.

Les modifications symboliques : u+x et compagnie

La forme numérique remplace le mode entier. La forme symbolique n'en change qu'une partie et laisse le reste intact, ce qui est généralement ce que l'on veut : chmod u+x script.sh rend un script exécutable par son propriétaire sans toucher à rien d'autre.

Une clause se compose d'une classe (u, g, o ou a), d'un opérateur (+, - ou =) et des bits. Le signe égal est le piège : chmod u=r place le propriétaire en lecture seule et efface l'écriture et l'exécution, alors que u+r se contenterait d'ajouter.

chmod u+x fichier · chmod go-w fichier · chmod u=rwx,go=rx fichier

Le quatrième chiffre : setuid, setgid et sticky

Un mode peut porter un quatrième chiffre de tête, construit de la même façon : setuid vaut 4, setgid 2, sticky 1. Il apparaît à la place du caractère d'exécution dans la sortie de ls, ce qui explique que /usr/bin/passwd affiche rwsr-xr-x plutôt que rwxr-xr-x.

setuid fait tourner un programme avec les privilèges de son propriétaire plutôt que ceux de l'appelant — puissant, et voie classique d'élévation de privilèges quand il est posé sur ce qu'il ne devrait pas. setgid sur un répertoire fait hériter aux nouveaux fichiers le groupe du répertoire, principe des dossiers de projet partagés. Le sticky bit sur un répertoire ouvert en écriture à tous empêche chacun de supprimer les fichiers des autres : c'est ce qui rend /tmp utilisable, et il se lit comme le t de 1777.

4000 setuid — s’exécute avec les droits du propriétaire du fichier. Rare et sensible.
2000 setgid — s'exécute avec le groupe propriétaire ; sur un répertoire, les entrées héritent de son groupe.
1000 sticky — sur un répertoire, seul le propriétaire d’un fichier peut le supprimer.

Quel mode employer en pratique

Presque tout est en 644 ou 755 : lecture-écriture pour le propriétaire, lecture seule pour les autres, plus l'exécution là où il s'agit d'un répertoire ou d'un programme. Les secrets sont en 600, pour que personne d'autre que le propriétaire ne puisse les lire ; une clé privée SSH en 644 est purement et simplement rejetée par ssh.

777 est presque toujours une erreur. On y recourt généralement faute d'avoir compris un problème de permissions, et cela accorde à tout utilisateur de la machine le droit de modifier le fichier — y compris de remplacer un script qu'autre chose exécutera plus tard. Corriger le propriétaire ou le groupe est la bonne réparation dans presque tous les cas.

Modes courants

Mode	Signification
644 rw-r--r--	Fichier ordinaire : le propriétaire modifie, tous lisent
755 rwxr-xr-x	Répertoire, script ou binaire exécutable par tous
600 rw-------	Fichier privé : identifiants, jetons, sauvegardes
700 rwx------	Répertoire privé ou script réservé au propriétaire
664 rw-rw-r--	Fichier partagé avec une équipe via son groupe
775 rwxrwxr-x	Répertoire où une équipe écrit via son groupe
777 rwxrwxrwx	Tous peuvent tout faire — presque toujours une erreur
4755 rwsr-xr-x	Binaire setuid, exécuté avec les droits du propriétaire
1777 rwxrwxrwt	Écriture ouverte à tous avec sticky bit, comme /tmp

Questions fréquentes

Que signifie chmod 755 ?

Le propriétaire peut lire, écrire et exécuter ; le groupe et tous les autres peuvent lire et exécuter mais pas écrire. C'est le mode habituel des répertoires, des scripts et des programmes que tous les utilisateurs doivent pouvoir lancer.

Quelle différence entre 644 et 755 ?

Le seul bit d'exécution. 644 convient aux fichiers ordinaires comme les documents, images et code source ; 755 ajoute l'exécution, dont un répertoire a besoin pour être parcouru et un script pour être lancé.

chmod 777 est-il dangereux ?

Oui, sur toute machine partagée. Il permet à chaque utilisateur de modifier ou de remplacer le fichier : un script en 777 peut donc être réécrit par n'importe qui, et tournera ensuite avec les privilèges de celui qui l'exécute. La vraie correction consiste généralement à rectifier le propriétaire ou le groupe.

À quoi sert le quatrième chiffre de 4755 ?

Il porte les bits spéciaux : 4 pour setuid, 2 pour setgid, 1 pour sticky. 4755 désigne un binaire setuid qui s'exécute avec les privilèges de son propriétaire, ce que ls affiche en rwsr-xr-x plutôt qu'en rwxr-xr-x.

Pourquoi ls affiche-t-il un s ou un t à la place du x ?

Parce qu'un bit spécial partage cette colonne. Un s ou un t minuscule signifie que le bit spécial et l'exécution sont tous deux posés ; un S ou un T majuscule signifie que le bit spécial est posé sans l'exécution, ce qui est généralement une erreur.

Comment rendre un script exécutable ?

chmod u+x script.sh ajoute l'exécution pour son propriétaire et laisse tout le reste intact. Employez chmod +x quand tout le monde sur la machine doit pouvoir le lancer, et vérifiez aussi la ligne shebang.

Pourquoi chmod n’a-t-il rien changé sur ma clé USB ?

Les systèmes de fichiers comme FAT32 et exFAT ne stockent pas les permissions Unix. Les options de montage fixent le mode pour tout le système de fichiers : chmod semble donc réussir sans que rien ne change. NTFS se comporte de façon similaire, sauf s'il est monté avec un pilote gérant les permissions.