Les fichiers '.htaccess' - Protéger un répertoire

Les fonctions de gestion d'accès à des répertoires ou des fichiers sont les plus couramment utilisées avec celle de gestion des pages d'erreurs (partie suivante).

Il faut dans un premier temps indiquer dans le fichier ".htaccess" les consignes de l'authentification.

  1. AuthUserFile {emplacement du fichier de mot de passe}
  2. AuthName "Accès à la zone protégée"
  3. AuthType Basic
  4. <LIMIT GET POST>
  5. Require valid-user
  6. </LIMIT>
  • AuthUserFile (et son équivalent pour les groupes AuthGroupFile) indique l'emplacement du fichier de mot de passe souvent ".htpasswd".
  • AuthName est le nom de la fenêtre d'identification.
  • La propriété Require permet d'indiquer les utilisateurs ou groupes d'utilisateurs ayant accès à la zone restreintes, vous pouvez y indiquer "valid-user" pour n'importe quel utilisateur.

Le fichier de mot de passe ".htpasswd" contient un ou plusieurs mot de passe par rapport à un utilisateur. Les mots de passe sont chiffrés.

Comment chiffrer les mots de passe ?

Vous pouvez chiffrer un mot de passe sur Internet avec l'outil htpasswd Generator ou sur Windows avec le fichier htpasswd.exe (fichier executable de 65 Ko) ou sur Linux avec la commande de base.

Protéger le fichier de mot de passe !

  1. AuthGroupFile /dev/null
  2. AuthName "Acces restreint"
  3. AuthType Basic
  4. deny from all

Je vous conseille de placer le fichier contenant les mots de passe dans un répertoire autre que celui du ".htaccess" principal, et dans ce dossier vous placer un fichier ".htaccess" qui n'autorise personne à afficher le contenu du répertoire ou à faire autre chose et effectuer un CHMOD 644.

John The Ripper !

Il existe un outil pour décrypter les mots de passe des fichiers ".htpasswd", il faut pour cela déjà avoir accès au mot de passe, ensuite vous pouvez utiliser l'outil John The Ripper qui n'est pas à la portée de tous au niveau de l'utilisation. Il existe d'autres outils pour contourner les protections par mot de passe. Si je vous en parle c'est pour que vous preniez conscience que rien n'est impiratable et qu'il faut mieux prendre ses précautions.
Vous pouvez utiliser ce genre d'outil pour voir s'il est aisé de pirater vos mots de passe.


Informations

Liens commerciaux