Droits Linux : chmod, chown, umask et bits spéciaux

Les droits Linux disent, pour chaque fichier et chaque dossier, ce que peuvent faire son propriétaire, son groupe et tous les autres : lire (r), écrire (w) et exécuter ou traverser (x). Ce chapitre explique comment les lire dans ls -l, les calculer en notation octale (chmod 755, chmod 640), les modifier avec chmod, chown et chgrp, régler les droits des nouveaux fichiers avec umask, et utiliser les bits spéciaux setuid, setgid et sticky.

Propriétaire, groupe et autres

Chaque fichier a un propriétaire (un utilisateur) et un groupe. Ses droits sont donnés pour trois catégories :

• u (user) : le propriétaire ;
• g (group) : les membres du groupe du fichier ;
• o (others) : tous les autres comptes.

Le système regarde la première catégorie qui correspond, dans cet ordre, et s'arrête : si tu es le propriétaire, seuls les droits du propriétaire comptent, même si ceux du groupe sont plus larges. root passe outre les droits de lecture et d'écriture.

Ce que r, w et x veulent dire

Le sens des droits n'est pas le même pour un fichier et pour un dossier :

Deux conséquences surprennent toujours :

• supprimer un fichier dépend des droits du dossier, pas de ceux du fichier : avec w et x sur un dossier, on peut supprimer un fichier en lecture seule qui appartient à quelqu'un d'autre (sauf avec le sticky bit, plus bas) ;
• pour ouvrir /srv/www/suivi/index.html, il faut le droit x sur chaque dossier du chemin (/, /srv, /srv/www, /srv/www/suivi) et le droit r sur le fichier. Un x manquant au milieu du chemin donne « Permission non accordée », quels que soient les droits du fichier. La commande namei -l /srv/www/suivi/index.html affiche les droits de chaque élément du chemin d'un coup.

La notation octale

Chaque droit a une valeur : r = 4, w = 2, x = 1. On additionne les droits de chaque catégorie, ce qui donne trois chiffres de 0 à 7 :

Les modes que tu écriras le plus souvent :

chmod, chown et chgrp

chmod change les droits, en octal ou en symbolique :

chmod 640 /srv/journaux/export.csv          # octal : rw-r-----
chmod u+x sauvegarde.sh                      # ajoute x au propriétaire
chmod g-w,o-rwx rapport.txt                  # retire w au groupe, tout aux autres
chmod u=rwx,g=rx,o= /srv/www/suivi           # fixe exactement : 750
chmod -R g+rX /srv/www/suivi                 # récursif ; X = x seulement sur les dossiers

En symbolique, u, g, o et a (tous) désignent les catégories, + ajoute, - retire, = fixe. Le X majuscule est précieux en récursif : il ajoute le droit de traverser aux dossiers sans rendre exécutables tous les fichiers.

chown change le propriétaire (et le groupe), chgrp le groupe seul. Seul root peut donner un fichier à quelqu'un d'autre :

sudo chown dev-igarnier fichier.html          # nouveau propriétaire
sudo chown root:web-dev /srv/www/suivi        # propriétaire et groupe
sudo chown -R www-data:www-data /var/lib/suivi
sudo chgrp adm /srv/journaux/rapport.log

umask : les droits des nouveaux fichiers

Quand un programme crée un fichier, il demande en général les droits 666 (ou 777 pour un dossier ou un exécutable). Le masque umask retire des droits à cette demande : chaque droit présent dans le masque est enlevé.

Un umask n'est pas une soustraction chiffre à chiffre : il retire des bits. Avec un masque 027 et une demande 666, le groupe perd w (il garde r) et les autres perdent tout : 640. umask affiche le masque courant, umask 027 le change pour la session. Pour tous les comptes, la valeur se règle par la ligne UMASK de /etc/login.defs ; pour un service, par la directive UMask= de son unité systemd (chapitre 9).

Les bits spéciaux : setuid, setgid et sticky

Un quatrième chiffre, placé devant les trois autres, porte trois droits spéciaux :

Les trois se rencontrent sur tout système :

clambert@srv-web:~$ ls -l /usr/bin/passwd
-rwsr-xr-x 1 root root 118168 18 avril 2025 /usr/bin/passwd
clambert@srv-web:~$ ls -ld /tmp
drwxrwxrwt 12 root root 260  4 nov.  10:02 /tmp

passwd appartient à root et porte le setuid : un utilisateur ordinaire qui le lance obtient, le temps de la commande, le droit d'écrire dans /etc/shadow pour changer son mot de passe. /tmp est en 1777 : tout le monde y écrit, mais personne ne peut effacer les fichiers des autres.

Le setgid sur un dossier est l'outil des dossiers partagés : dans /srv/www/suivi, appartenant au groupe web-dev et en mode 2775, tout fichier créé par dev-igarnier ou dev-hpetit appartient automatiquement au groupe web-dev, au lieu du groupe principal de son créateur. Combiné à un umask 002, chacun peut modifier les fichiers de l'autre.

sudo chown root:web-dev /srv/www/suivi
sudo chmod 2775 /srv/www/suivi      # rwxrwsr-x

Un S ou un T majuscule signale un bit spécial posé sans le x correspondant : rwSr--r-- est un setuid sur un fichier non exécutable, donc sans effet, et souvent le signe d'une erreur.

Exercices

sudo mkdir -p /srv/www/suivi
sudo chown root:web-dev /srv/www/suivi
sudo chmod 2770 /srv/www/suivi