Как лучше организовать sftp доступ к веб-серверу?

У меня сделано так
стоит apache-itk
настроен sftp доступ с chroot
Домашняя папка пользователя = домашней папке виртуалхоста, апач воспринимает те фалы что созданы пользователем, если кто-то другой чисто гипотетически что-то сделает в его папке апач этого не выпустит на ружу.

Вот рабочее решение, в несколько копи-пейстов:
www.jamison.org/2010/12/04/how-to-configure-wordpress-for-automatic-ftps-updates-using-vsftp-in-ubuntu/
Да, оно для вордпресса, но это уже ни на что не влияет.

Про chroot чуть выше уже сказали
В /etc/ssh/sshd_config пишем что-то типа

Match User our-user ChrootDirectory /chroot AllowTCPForwarding no X11Forwarding no ForceCommand internal-sftp

у пользователя our-user ~ живет по адресу /chroot/our-user
в ней делаем директорию в которую мы хотим писать-читать
права на ~ делаем что-то типа our-user:www-data 6770
на нужном нам сервере монтируем по sshfs (sftp over fuse) конкретную директорию, а те кто попробуют вылезти далеко не уйдут ибо чрут и зайти этот юзер не может, ибо ForceCommand.

Примерно так.
Дальше можно самому покопать, если что можете постучать ко мне.

Настроить sftp из под proftpd.
https://www.digitalocean.com/community/tutorials/h...
https://www.digitalocean.com/community/tutorials/h...
В процессе настройки:
DefaultRoot ~
Добавить нового пользователя в :apache с /bin/bash.

Если не соединяется то в конфиге proftpd проверить и добавить/закоментить:

UseFtpUsers off
# Set the user and group that the server normally runs at.
#User                           proftpd
#Group                          nogroup

Иначе смотреть в сторону selinux.