Cómo proteger un sitio web o directorio con contraseña mediante .htaccess y .htpasswd

Proteger un sitio web o un directorio específico con una contraseña es una forma sencilla pero eficaz de restringir el acceso. Esto se puede hacer mediante los archivos .htaccess y .htpasswd en Apache. El archivo .htaccess controla el acceso, mientras que el archivo .htpasswd almacena los nombres de usuario y las contraseñas cifradas.

Instrucción en video

Las instrucciones en video muestran una opción de configuración ligeramente diferente.

Creación del archivo .htpasswd

El archivo .htpasswd contiene credenciales en el formato:

username:hashed_password

Dado que almacenar contraseñas en texto simple no es seguro, debemos convertirlas en hashes mediante un algoritmo seguro como MD5 o bcrypt. Puede generar una contraseña en hashes mediante un servicio en línea como generador htpasswd. Una vez generado, guarde el archivo .htpasswd en una ubicación segura, preferiblemente fuera de la raíz web.

Configuración de .htaccess para requerir autenticación

Para proteger con contraseña un sitio web completo o una carpeta específica, cree (o edite) el archivo .htaccess dentro de ese directorio y agregue las siguientes líneas:

AuthType Basic
AuthName "Restricted Area"
AuthUserFile /path/to/.htpasswd
Require valid-user

• AuthType Basic habilita la autenticación básica.
• AuthName es el mensaje que se muestra en el mensaje de inicio de sesión.
• AuthUserFile especifica la ruta al archivo .htpasswd.
• Require valid-user permite el acceso solo a los usuarios incluidos en .htpasswd.

Permitir varios usuarios

Puede agregar varios usuarios a .htpasswd, cada uno con una contraseña cifrada:

user1:$apr1$abcdefg$xyzxyzxyzxyzxyzxyzxyz
user2:$apr1$1234567$abcdefghijklmnopqrs

Cada usuario podrá iniciar sesión con sus credenciales únicas.

Restringir el acceso a una carpeta específica

En lugar de proteger todo el sitio, puede aplicar la autenticación a un solo directorio. Coloque el archivo .htaccess dentro de esa carpeta y protegerá solo ese directorio y su contenido.

Probar la protección

Una vez configurado, intente acceder al área protegida. Debería aparecer un mensaje de inicio de sesión que le solicitará credenciales válidas para continuar. Si la autenticación falla, se denegará el acceso.

Eliminar la protección con contraseña

Para eliminar la protección con contraseña, simplemente elimine o comente las reglas .htaccess. Al usar .htaccess y .htpasswd, puede proteger fácilmente las áreas privadas de su sitio web sin necesidad de sistemas de autenticación complejos.