htaccess Verzeichnisschutz erstellen

Schützen Sie wichtige Ordner Ihres Shops vor neugierigen Blicken mit einem .htaccess Passwortschutz

Wenn Ihr Webshop auf einen Apache Webserver läuft, kann einfach und schnell selbst der Zugriff auf wichtige Bereiche Ihres Online-Shops über ein Passwort verweigert oder freigegeben werden.

Die Einsatzgebiete sind vielfältig: Schützen Sie z.B. Ihren Admin-Bereich neben dem Standard-Login für den Admin noch zusätzlich mit einem Verzeichnisschutz. Ein potentieller Angreifer müsste, wenn er Ihren Admin-Bereich eindringen will, zusätzlich noch ein weiteres Passwort überwinden.

So geht’s:

Erstellen Sie in dem zu schützenden Verzeichnis Ihres Shops zwei Dateien: .htaccess und .htpasswd. Der Punkt vor dem Dateinamen ist dabei beabsichtigt. Beide Dateien können mit einem beliebigen Text-Editor, z.B. Notepad, editiert und mit Ihrem FTP-Programm aktualisiert werden.

Noch komfortabler geht das Editieren, wenn Sie den Webseiten-Editor Dreamweaver verwenden. Standardmäßig kann dieser .htaccess und .htpasswd-Dateien zwar nicht darstellen, doch kann man das Programm für diesen Zweck etwas erweitern: Gehen Sie in der deutschen Version vom Adobe Dreamweaver auf Bearbeiten > Voreinstellungen, und wählen dort Dateitypen / Editoren aus. Im Eingabefeld 'In Codeansicht öffnen' ergänzen Sie die Dateitypen '.htaccess' und '.htpasswd' und bestätigen Sie die Änderung mit OK.

Code der .htaccess-Datei:

AuthName "Mein sicherer Bereich"
AuthType Basic 
AuthUserFile /pfad/zum/ordner/.htpasswd 
<Limit GET>    
  require valid-user 
</Limit>

/pfad/zum/ordner/ entspricht dabei dem absoluten Pfad zum Ordner in dem die .htaccess-Datei liegt.

Code der .htpasswd-Datei:

user:pass 

Das Beispiel könnte nun so aussehen:

us00001:dGg9qyNKDeGQE  

In diesem Fall müssten Sie an der Passworteingabe als User: us00001 und als Passwort: testpasswort angeben werden, wobei dGg9qyNKDeGQE dem generierten Passwort 'testpasswort' entspricht.

Aber woher kommt das zu generierende Passwort?

htaccess-Passwort generieren

Meistens wird empfohlen das erforderliche Passwort über einen Online-Dienst zu generieren, weil dies einfach und schnell geht. Solange Sie hier nur Ihr Passwort erzeugen lassen, sind diese Dienste gut zu verwenden. Achten Sie jedoch auf Ihre Angaben. Es gab schon Seiten, auf denen aufgefordert wurde, den kompletten Pfad zu Ihrer Datei, inklusive User und Passwort anzugeben, um aus Service-Gründen alle Dateien zu erzeugen, welche dann nur noch auf den Server zu spielen waren.

Doch Online-Dienste sind gar nicht erforderlich. Machen Sie sich die Arbeit und erstellen Sie auf Ihrem lokalen Testserver, oder direkt auf Ihrem Server, oder Webspace folgende PHP-Datei:

<?php
// Password Im Klartext 
$htaccess_passwort = 'meinpasswort';
// Passwort verschlüsseln und anzeigen 
echo crypt($htaccess_passwort, base64_encode($htaccess_passwort)); 
?>

Anstatt meinpasswort schreiben Sie Ihr gewünschtes Passwort in das Script und führen dieses aus, dann das generierte Passwort kopieren und in die .htpasswd-Datei direkt nach dem Doppelpunkt einfügen.

Erschienen am 10.07.2008, um 17:08h.