راه‌اندازی احراز هویت پایه در وبسایت با .htaccess و .htpasswd

در اینجا یک آموزش گام به گام برای فعال کردن محافظت .htaccess/.htpasswd برای یک دایرکتوری در وب سرور شما ارائه شده است. این روش معمولاً برای افزودن لایه‌ای از احراز هویت برای محدود کردن دسترسی به بخش‌های خاصی از وبسایت شما استفاده می‌شود.

آنچه نیاز دارید

• دسترسی به وب سرور شما (از طریق SSH، FTP یا پنل هاستینگ).
• توانایی ایجاد یا ویرایش فایل‌ها در سرور.
• آشنایی اولیه با پیمایش در سیستم فایل سرور.

مرحله ۱: ایجاد فایل .htpasswd

فایل .htpasswd نام کاربری و رمزهای عبور رمزنگاری شده کاربران مجاز را ذخیره می‌کند.

1. یک مکان امن انتخاب کنید: تصمیم بگیرید فایل .htpasswd را کجا ذخیره کنید. باید خارج از دایرکتوری قابل دسترسی عمومی وب باشد تا از دسترسی غیرمجاز جلوگیری شود. مثلاً اگر دایرکتوری وب شما /public_html است، می‌توانید .htpasswd را در / ذخیره کنید.

2. تولید فایل:

   • در سیستم Unix/Linux: ترمینال را باز کرده و از ابزار htpasswd استفاده کنید. اگر نصب نیست، ممکن است نیاز به نصب آن با استفاده از مدیر بسته داشته باشید (مثلاً apt-get install apache2-utils در Debian/Ubuntu).
     htpasswd -c /مسیر/به/.htpasswd نام‌کاربری
     /مسیر/به/.htpasswd را با مسیر کامل محل ذخیره فایل و نام‌کاربری را با نام کاربری مورد نظر جایگزین کنید. از شما خواسته می‌شود رمز عبور کاربر را وارد و تأیید کنید.
   • مولدهای آنلاین: همچنین می‌توانید از مولدهای آنلاین .htpasswd برای ایجاد جفت نام کاربری و رمز عبور استفاده کنید. فایل تولید شده .htpasswd را در محل انتخاب شده آپلود کنید.

مرحله ۲: ایجاد فایل .htaccess

فایل .htaccess در دایرکتوری که می‌خواهید محافظت شود قرار می‌گیرد. به وب سرور می‌گوید که احراز هویت را بررسی کند.

1. به دایرکتوری بروید: به دایرکتوری که می‌خواهید محافظت کنید بروید. اگر از طریق SSH یا FTP به سرور دسترسی دارید، به دایرکتوری مورد نظر تغییر دهید.

2. ایجاد/ویرایش .htaccess: یک فایل .htaccess جدید ایجاد کنید یا اگر از قبل وجود دارد آن را ویرایش کنید. خطوط زیر را اضافه کنید:

   AuthType Basic
AuthName "ناحیه محدود"
AuthUserFile /مسیر/به/.htpasswd
Require valid-user
   • AuthType Basic نوع احراز هویت را مشخص می‌کند.
   • AuthName پیامی است که در درخواست ورود نمایش داده می‌شود.
   • AuthUserFile باید مسیر کامل به فایل .htpasswd شما باشد.
   • Require valid-user به این معنی است که هر کاربر معتبر لیست شده در .htpasswd می‌تواند به دایرکتوری دسترسی داشته باشد.

مرحله ۳: تست تنظیمات

پس از تنظیم هر دو فایل، زمان تست است:

• مرورگر وب را باز کرده و به دایرکتوری محافظت شده بروید.
• باید از شما خواسته شود نام کاربری و رمز عبور را وارد کنید.
• پس از وارد کردن اعتبارنامه‌های صحیح، باید به دایرکتوری دسترسی پیدا کنید.

عیب‌یابی

• مجوزهای فایل: مطمئن شوید فایل .htpasswd توسط وب سرور قابل خواندن است و از طریق وب قابل دسترسی نیست.
• پیکربندی سرور: برخی سرورها ممکن است نیاز به پیکربندی اضافی داشته باشند تا اجازه دهند فایل‌های .htaccess تنظیمات سرور را لغو کنند. اگر تنظیمات شما کار نمی‌کند، فایل پیکربندی اصلی سرور (مثلاً httpd.conf برای آپاچی) را برای دستورالعمل‌های AllowOverride بررسی کنید.

نکات تکمیلی

• امنیت: به‌طور منظم رمزهای عبور خود را به‌روزرسانی کنید و لاگ‌های دسترسی را برای تلاش‌های غیرمجاز بررسی کنید.
• چند کاربره: برای افزودن کاربران بیشتر، از دستور htpasswd بدون گزینه -c استفاده کنید: htpasswd /مسیر/به/.htpasswd کاربر‌دیگر.

با دنبال کردن این مراحل، یک لایه احراز هویت پایه به وبسایت خود اضافه کرده‌اید. این روش برای محافظت از بخش‌های حساس سایت مفید است، اما به یاد داشته باشید که جایگزین یک استراتژی امنیتی جامع نیست.