Comment protéger un répertoire au moyen d’un mot de passe

Le serveur Web Apache vous permet de protéger les répertoires en leur attribuant un mot de passe au moyen des fichiers de configuration .htaccess et .htpasswd Si vous voulez protéger l’un des répertoires de votre site Web, veuillez suivre les instructions ci-dessous.

Créez un répertoire sur le serveur
Utilisez votre programme client FTP préféré pour créer le répertoire que vous voulez protéger sur le serveur. Vous devez créer le répertoire dans l’arborescence sous.

Exemple :
Supposons que vous voulez protéger un répertoire test. Il suffirait alors de créer un répertoire nommé « test » dans htdocs.

Pour créer un fichier .htaccess

----------- Begin .htaccess ---------

AuthUserFile /www/home/your_domain.com/htdocs/your_directory/.htpasswd
AuthName Protected-Area
AuthType Basic
<limit GET>
require valid-user
</limit>

----------- End .htaccess ---------

Vous devez d’abord créer le fichier .htaccess.
Vous devrez copier les lignes ci-dessous et les enregistrer sous la forme d’un fichier texte en clair portant le nom « htaccess ».
Veuillez copier tout ce qui se trouve entre les lignes « BEGIN .htaccess » et « END .htaccess ».

Après avoir copié ces lignes dans un nouveau fichier de texte, vous devrez modifier la directive AuthUserFile.

AuthUserFile:
Veuillez remplacer « votre_domaine.com » (your_domain.com) par votre nom de domaine et « votre_répertoire » (your_directory) par le nom du répertoire que vous voulez protéger. Vous devez créer ce répertoire sous le répertoire htdocs.

Exemple :
Supposons que votre nom de domaine est « anything.com » et que votre répertoire se nomme « test ». Alors la directive AuthUserFile se lirait comme suit :

AuthUserFile /www/home/anything.com/htdocs/test/.htpasswd Pour terminer, enregistrez le document sous la forme d’un fichier texte en clair et nommez-le « .htaccess » (sans les guillemets et en minuscules). Après l’avoir ainsi enregistré, assurez-vous que votre éditeur de texte n’a pas ajouté l’extension « .txt » au fichier. Il se peut que vous deviez renommer le fichier en remplaçant « .htaccess.txt » par « . htaccess ».

Pour créer un fichier .htpasswd

La prochaine étape consiste à chiffrer votre mot de passe et à créer le fichier de mot de passe.

Veuillez choisir un nom d’utilisateur et un mot de passe, puis utiliser le formulaire ci-dessous pour obtenir votre condensé numérique de mot de passe.

Copiez la ligne dans un nouveau document de texte et enregistrez-le sous « . htpasswd » (encore une fois sans les guillemets, en minuscules et sans extension « .txt »).

Exemple :
L’entrée dans le fichier de mot de passe de l’utilisateur Bob pourrait se lire comme suit :

----------- Begin .htpasswd---------

Bob:axFAaXpmb81qQ

----------- End .htpasswd----------

S’il y a plusieurs utilisateurs, il suffit d’ajouter leurs condensés numériques au fichier de mot de passe, en les inscrivant chacun sur une ligne distincte.

----------- Begin .htpasswd ---------

Bob:axFAaXpmb81qQ
peter:99og8d/51IPt.
pierre:oMkE9ZNU1mASU
mark:VhMS7KdsN.rlc
john:E.DSv1KG/Bg/.

------------ End .htpasswd -----------

Téléchargez les deux fichiers de configuration dans votre répertoire!

Ayant créé les deux fichiers de configuration, vous devez maintenant les transférer tous deux au moyen du protocole ftp dans le répertoire que vous voulez protéger. Assurez-vous de bien télécharger les deux fichiers en mode ASCII, c.-à-d. sous forme de texte et non de valeurs binaires. Assurez-vous également que les noms des fichiers sont bien « .htaccess » et « .htpasswd », et qu’ils sont inscrits en minuscules, sans les guillemets et sans extension de fichier « .txt ».

À présent, si vous tentez d’accéder à votre répertoire au moyen de votre navigateur, le système devrait vous demander d’entrer un nom d’utilisateur et un mot de passe.

Voila, done!

Questions fréquentes

• Comment puis-je supprimer un utilisateur ?
  Pour supprimer un utilisateur, il suffit de retirer son nom et son mot de passe du fichier .htpasswd et de télécharger le fichier de nouveau.
• Mon répertoire protégé peut-il se trouver ailleurs dans l’arborescence plutôt que directement sous htdocs ?
  Oui. Vous pouvez créer votre répertoire n’importe où dans l’arborescence sous htdocs. Cependant, vous devrez modifier la directive AuthUserFile et indiquer le chemin d’accès complet vers votre répertoire.
• Puis-je protéger tout mon site au moyen d’un mot de passe ?
  Oui. Il suffit de placer les fichiers .htaccess et .htpasswd dans votre répertoire personnel et de modifier la directive AuthUserFile sous la forme « AuthUserFile/www/home/your_domain.com/.htpasswd ».
• Ma liste d’utilisateurs est plutôt longue. Puis-je organiser celle-ci en groupes d’utilisateurs ?
  Oui. Htaccess vous permet d’organiser vos utilisateurs en groupes.
  Il suffit d’ajouter la directive AuthGroupFile à votre fichier .htaccess et de créer le fichier .passwd.group.
  Vous pourrez ensuite restreindre l’accès par noms de groupe en plaçant le fichier .htaccess dans un répertoire que vous voulez protéger et en précisant le ou les groupes dans la directive require group.

En voici un exemple :

----------- Begin .htaccess ---------

AuthUserFile /www/home/your_domain.com/.htpasswd
AuthGroupFile /www/home/your_domain.com/.passwd.group
AuthName Protected-Area
AuthType Basic
<limit GET>
require group groupname1
</limit>

----------- End .htaccess ---------

----------- Begin .passwd.group ---------

groupname1: user1 user2 user3
groupname2: user5 user6 user7

-------- End .passwd.group ---------

----------- BEGIN .htpasswd ---------

user1:axFAaXpmb81qQ
user2:99og8d/51IPt.
user3:oMkE9ZNU1mASU
user5:VhMS7KdsN.rlc
user6:E.DSv1KG/Bg/.
user7:H8kfR3.iP6V

------------ END .htpasswd -----------

• Puis-je restreindre l’accès à mon site selon l’adresse IP ou le nom de domaine ?
  Oui. Voici un exemple de la procédure à suivre pour ne permettre l’accès qu’à certaines adresses IP ou qu’à certains noms de domaine.

----------- Begin .htaccess ---------

<Limit GET>
order deny,allow
deny from all
allow from .allstream.com
allow from 216.209.194.135
</Limit>

----------- End .htaccess ---------

• La commande « order deny, allow » précise dans quel ordre les commandes d’interdiction et d’autorisation (deny/allow) seront traitées.
• La commande « deny from all » précise tous les noms d’hôte et les adresses auxquels le système interdira l’accès à la page du répertoire.
• La commande « allow from » précise la liste des hôtes et des adresses auxquels l’accès sera accordé.

Dans cet exemple, tous les navigateurs sont interdits d’accès à la troisième ligne, puis les deux lignes suivantes autorisent l’accès à tout navigateur provenant de « allstream.com » et de l’adresse IP « 216.209.194.135 ».