Protokół starszy niż strony internetowe
File Transfer Protocol (FTP) to protokół sieciowy służący do przesyłania plików między komputerem a serwerem, w praktyce najstarszy sposób wgrania plików strony na hosting. Specyfikację, na której opiera się do dziś, opublikowano w październiku 1985 roku jako RFC 959, sześć lat przed uruchomieniem pierwszej strony internetowej.1 Kolejność dat tłumaczy resztę: FTP nie powstał dla webmasterów, tylko dla wymiany plików w sieci, w której nikt jeszcze nie zakładał obcego słuchacza po drodze.
Zdanie z 1985 roku, które nadal obowiązuje
Autorzy specyfikacji doskonale wiedzieli, że hasło jest wrażliwe, i zapisali to wprost. Przy komendzie PASS czytamy: „Since password information is quite sensitive, it is desirable in general to »mask« it or suppress typeout. It appears that the server has no foolproof way to achieve this. It is therefore the responsibility of the user-FTP process to hide the sensitive password information”.1 Ochrona hasła spoczywa więc na programie po stronie użytkownika, bo serwer, jak przyznano już wtedy, nie ma na to pewnego sposobu. Rozkład ról nie zmienił się przez czterdzieści lat i to jest jedyna rzecz, którą trzeba zapamiętać o bezpieczeństwie FTP.
Dwie rozmowy z tym samym serwerem
Sprawdziliśmy to 4 września 2026 roku na serwerze, na którym stoi ta strona. Pierwsze połączenie na port 21 poszło bez szyfrowania. Serwer przywitał się komunikatem „220 ProFTPD Server (Debian)”, przyjął nazwę użytkownika, poprosił o hasło („331 Password required”) i zerwał sesję dopiero na błędnych danych. Brak szyfrowania nie przeszkodził mu w niczym: nazwa i hasło poszły jawnym tekstem. Drugie połączenie, z tego samego programu i pod ten sam adres, zaczęło się od komendy AUTH SSL, na którą serwer odpowiedział „234 AUTH SSL successful”; dalsza wymiana szła już szyfrowanym kanałem. Ten sam port, ten sam login, dwa różne poziomy ochrony. O różnicy zdecydowało jedno pole zaznaczone w kliencie.
FTPS i SFTP nie są dwiema nazwami jednej rzeczy
Mechanizm z naszego pomiaru nazywa się FTPS, a opisuje go RFC 4217 „Securing FTP with TLS” z października 2005 roku. Kod 234 to zdefiniowana tam odpowiedź serwera na komendę AUTH TLS.2 FTPS jest zatem zwykłym FTP, do którego dokłada się tę samą warstwę szyfrowania co w protokole HTTPS. SFTP działa zupełnie inaczej: jest podsystemem SSH, korzysta z jego portu i jego uwierzytelniania, a z FTP łączy go wyłącznie skrót w nazwie. Jego opis nigdy zresztą nie doczekał się rangi standardu. Dokument „SSH File Transfer Protocol” zatrzymał się na trzynastej wersji roboczej z 18 lipca 2006 roku i leży w archiwum IETF jako wygasły szkic.3 Praktycznie sprowadza się to do jednego pytania do hostingu: jest dostęp SSH czy tylko FTP. W pierwszym przypadku wystarczy wybrać SFTP, w drugim trzeba w kliencie ręcznie włączyć jawne szyfrowanie TLS.
Co zostaje dla FTP po wyjściu z przeglądarek
Adresy ftp:// przestały działać w przeglądarkach. Chrome wygaszał ich obsługę od wersji 72, a usunął ją całkowicie w wersji 95, której beta ukazała się 23 września 2021 roku. W uzasadnieniu podano rzecz prostą: użycie FTP w przeglądarce zrobiło się na tyle małe, że rozwijanie wbudowanego klienta przestało się opłacać.4 Wpisanie takiego adresu w pasku nic więc dziś nie da, potrzebny jest osobny program. Zostają natomiast zadania, których nie wykona żaden panel administracyjny: podmiana pliku .htaccess, wgranie kopii zapasowej, wreszcie ręczne wyłączenie wtyczki, która położyła stronę razem z dostępem do kokpitu. Konto FTP widzi przy tym wszystkie pliki serwisu, więc hasło po zakończeniu współpracy z wykonawcą zmienia się równie rutynowo jak każdy inny dostęp.
Najczęstsze pytania
Czy FTP jest bezpieczny?
Sam z siebie nie: login, hasło i pliki idą jawnym tekstem, dopóki klient nie włączy szyfrowania. Nasz pomiar pokazał, że serwer przyjmuje obie wersje połączenia, więc decyzja zapada po stronie programu, nie hostingu.
Czym różni się SFTP od FTPS?
FTPS to FTP z dołożonym szyfrowaniem TLS, zwykle na tym samym porcie 21. SFTP to osobny protokół działający wewnątrz SSH, najczęściej na porcie 22.
Czy FTP jest jeszcze potrzebny przy stronie na WordPressie?
Tak, do zadań spoza kokpitu: edycji plików konfiguracyjnych, wgrania kopii zapasowej i odblokowania strony wtedy, gdy panel przestaje się otwierać.
Źródła
1. J. Postel, J. Reynolds, RFC 959: File Transfer Protocol (FTP), październik 1985 — opis komendy PASS i odpowiedzialności klienta za ochronę hasła. Zobacz specyfikację →
2. P. Ford-Hutchinson, RFC 4217: Securing FTP with TLS, październik 2005 — komenda AUTH TLS i odpowiedź serwera 234. Zobacz specyfikację →
3. J. Galbraith, O. Saarenmaa, SSH File Transfer Protocol, draft-ietf-secsh-filexfer-13, ostatnia aktualizacja 18 lipca 2006 — w archiwum IETF jako wygasły szkic. Zobacz kartę dokumentu →
4. Chrome for Developers, Deprecations and removals in Chrome 95 — usunięcie obsługi adresów FTP. Zobacz zapowiedź →
Tadeusz Wolskizałożyciel ESSA SEO · 40+ zrealizowanych projektów · 5,0★ Google · 5,0★ Fiverr (30+ ocen)Zaktualizowano ⋅ 4 września 2026