sécurité - technique - htaccess
Attention: cet article date du 26 février 2008
Ce qu'il contient est peut être encore valable...
... ou complètement obsolète!
Pour continuer dans ma série d’articles sur la protection d’accès, et toujours dans l’utilisation des fichiers htaccess / htpasswd, je me suis posé la question de savoir comment limiter l’accès à une interface d’administration, SOIT en utilisant un mot de passe car je suis en déplacement, SOIT grâce à mon adresse IP car je suis au bureau (et dans cette hypothèse, sans entrer de mot de passe…)
Je ne reviens pas dessus, les fidèles s’en souviennent. Les autres pourront se reporter aux articles précédents (voir ci contre).
Mais histoire de refixer les esprits, petit rappel télégraphique.
Si nous avons déjà vu la protection par mots de passe, la protection par adresse IP est finalement beaucoup plus simple. Pour peu que l’on parle anglais…
allow from 217.12.6.29
allow from 216.239.59.104
deny from all
Les deux premières lignes listent les 2 seules adresses IP autorisées dans notre cas (allow = autoriser) la dernière signifie que toutes les autres seront rejetées (deny = refuser).
Les plus habiles auront reconnus les adresses IP de Google et Yahoo. A remplacer par VOTRE adresse IP !
Et donc, l’objet était de demander un mot de passe uniquement si nous ne sommes pas authentifié avec une adresse IP listée. La solution en exemple :
PerlSetVar AuthFile /users/c/carlier/www/XkdjsfZZ/.htpasswd
AuthName "Acces Restreint"
AuthType Basic
Require valid-user
allow from 217.12.6.29
allow from 216.239.59.104
deny from all
satisfy any
Le premier bloc nous donne les informations pour une protection par mot de passe, le second pour les adresses IP, et la dernière ligne, clef de tout, nous dit que l’accès sera donné à qui satisfait une règle ci-dessus…
Cela va sans dire, mais parfois mieux en le disant :