Hvordan passordbeskytte et Apache-nettsted ved å bruke .htaccess

Hvis du kjører nettstedet ditt med Apache,å sikre nettstedet med passord er en enkel prosess. Jeg har nylig kjørt gjennom prosessen på en Windows-boks (Flertallet av skuddene nedenfor), men trinnene er stort sett de samme for Windows eller Linux Apache-nettsteder.

Trinn 1: Konfigurer .htaccess-filen

Alt arbeidet vil bli gjort ved å bruke din .htaccess-fil. Du finner denne filen på roten til de fleste Apache-nettsteder.

Skjermbildet er hentet fra en vaniljeinstallasjon av WordPress som kjører på Windows 2003 Server:

.Htaccess-filen sjekkes av Apache før den viser websider. Vanligvis brukes den til ReWrites eller ReDirects, men du kan også bruke den til å utnytte de innebygde sikkerhetsfunksjonene til Apache.

Så det første trinnet er å legge til noen få parametere til filen. Nedenfor er en prøve .htaccess-fil. (TIPS: Jeg bruker notisblokk ++ for å redigere de fleste PHP og relaterte filer)

AuthUserFile c:apachesecurity.htpasswd
AuthName "Please Enter User & PW"
AuthType Basic
require valid-user

Noen forklaring:

AuthUserFile: APACHE trenger plasseringen av brukeren / passordetfil. Bare skriv inn hele banen til passorddatabasefilen som vist ovenfor. Eksemplet over er hentet fra Windows-boksen min. Hvis du kjører Linux, vil det være noe som: AuthUserFile /full/path/to/.htpasswd

AuthName: Dette feltet definerer tittelen og teksten for popup-boksen som vil be om brukernavn og PW. Du kan lage dette ALT du ønsker. Her er et eksempel på testboksen min:

AuthType: Dette feltet forteller Apache hvilken type autentisering som brukes. I nesten alle tilfeller er “Basic” helt fint (og det vanligste).

Krev gyldig bruker: Denne siste kommandoen lar Apache vite hvem som tillater det. Ved bruk av "valid-user“, du forteller Apache NOEN har lov til å autentisere hvis de har et gyldig brukernavn og passord.

Hvis du foretrekker å være mer eksakt, kan du spesifisere en spesifikk BRUKER eller BRUKERE. Denne kommandoen ser ut som:

Require user mrgroove groovyguest

I dette tilfellet er det bare brukerne som mrgroove oggroovyguest vil få lov til å gå inn på siden / katalogen du beskytter (etter å ha oppgitt riktig brukernavn og passord selvfølgelig). Alle andre brukere (inkludert gyldige) blir nektet tilgang. Hvis du vil tillate flere brukere, bare skille dem med mellomrom.

Så nå som vi har gjort alle konfigurasjonsinnstillingene, er det slik den ferdige .htaccess-filen din skal se ut:

Skjermbilde er hentet fra en Windows 2003 Server-boks som kjører WordPress:

Trinn 2: Lag .htpasswd-filen

Å lage .htpasswd-filen er en enkel prosess. Filen er ikke noe mer enn en tekstfil som inneholder en liste over brukere og deres krypterte passord. Hver brukerstreng skal skilles på linjen. Personlig bruker jeg bare notisblokk ++ eller Windows Notisblokk for å lage filen.

Nedenfor er et eksempel på .htpasswd-fil med to brukere:

Selv om Apache ikke "krever" deg for å kryptere passordene, er det en enkel prosess for både Windows og Linux-systemer.

Windows

Naviger til Apache BIN-mappen (vanligvis funnetpå C: Program FilesApache GroupApache2bin) og kjør htpasswd.exe-verktøyet for å generere en MD5-kryptert brukernavn / passordstreng. Du kan også bruke verktøyet til å lage .htpasswd-filen for deg (hva som fungerer ...). For alle detaljene, bare kjør hjelpebryteren fra kommandolinjen (htpasswd.exe /?).

I nesten alle tilfeller er det bare å utføre følgende kommando:

htpasswd -nb username password

Når kommandoen er utført, vil htpasswd.exe-verktøyet sende ut brukerstrengen med den kryptert passordet.

Skjermbilde nedenfor er et eksempel på å utføre htpasswd.exe-verktøyet på Windows 2003 Server

Når du har brukerstrengen, kopier den til din .htpasswd-fil.

Linux:

Gå til: http://railpix.railfan.net/pwdonly.html for å lage dine brukerstrenger med krypterte passord. Veldig enkel prosess.

Trinn 3: Bekreft at Apache er konfigurert riktig * valgfritt

Som standard har Apache de riktige modulene aktivert. Når det er sagt, gjør det aldri vondt å være litt proaktiv pluss at det er en rask "sjekk".

Åpne Apache httpd.conf-filen og bekreft at AUTH-modulen er aktivert:

Hvis du finner ut at modulen ikke er aktivert, bare rett den som vist ovenfor. Ikke glem; må du starte Apache på nytt for at endringer i httpd.conf skal tre i kraft.

Det burde ta seg av det. Ferdig.

Tags: apache, kryptering, htaccess, sikkerhet, windows