Какие права ставить на web root для nginx

Так всё зависит от того, каким пользователям (системным?) нужны эти файлы.

chmod -R 755 /var/www/nginx-default/

Кхм... Все файлы в директории и поддиректориях получат бит 755, т.е. право на исполнение, что совсем не нужно. По хорошему делать надо так:

# find /var/www/nginx-default/ -type d -exec chmod 755 {} \;

поставь себя на место юзера www-data и представь что тебе нужно читать а что нет

А права ставятся в зависимости от обстоятельств же.

на php я себе всегда ставил 750/770 в зависимости от говнокода.

Но всем остальным читать то ненужно, или я не прав

o+rx нужно что-бы проявить уважение к нелёгкой работе всяческих взломщиков. Им и так трудно зарабатывать трудовую копейку, а тут всякие повадились задавать umask 007 и не использовать пароль Qwerty1