权限配置错误是网站被植入后门的一个常见原因。目录可写范围太大，一个插件漏洞就可以让攻击者写入可执行文件。
基准规则很简单。目录设置为755，文件设置为644，配置文件收紧到600或者640；属主归属运行服务的账户，不是超级用户。上传目录需要有写入权限，但是不能执行脚本，通过服务器规则来限制该目录下脚本的解析。
部署方式会改变权限。在使用版本控制或者持续集成发布的时候要注意发布账号和运行账号的区别，不能为了省事而把两者都设置为可以写。如果因为权限不够导致插件和主题无法自动更新的话，应该修改所有者而不是放宽权限。
定期查找异常项。找出权限过大、所有者错误的目录以及最近被修改过的核心文件，和官方版本进行对比校验值，发现异常项马上隔离起来，查看访问日志。
容器和多站点环境还有其他的注意点。挂载目录的属主映射容易出错，发布之后容器内的运行账户可能会失去写入权限，从而导致上传失败或者缓存无法生成；多站点网络共享同一份主题文件，单个站点的权限变更会影响整个网络，在调整之前要先在预发布环境中确认影响范围。
权限调整之后要检查上传、更新以及缓存写入是否正常工作，然后再把多余的可写范围收回来。