V tomto článku se dovíte, jak pomocí .htpasswd (a .htaccess) zaheslovat stránku. Nedávno jsem zahesloval své fotoalbum a tak jsem se rozhodl, že se o návod jak zaheslovat takovou stránku podělím. Všechno je vcelku jednoduché, ale i tak se pokusím vše popsat na maximum…
Pár slov o tomto způsobu zaheslování
.htaccess je nejbezpečnější zaheslování stránek
Podle mého nejlepší, nejbezpečnější a zároveň jednoduché zaheslování stránek. Všechno se dá zvládnout během 2 minut. Zaheslování webu je opravdu hračka. Přístup pod heslem můžete využít například u statistik Vaší stránky, fotoalba a vlastně na všech konkrétních stránkách. Prostě na všechno. Ohromným plusem je také to, že se jedná o nejbezpečnější způsob zaheslování stránek a přitom je to tak jednoduché.
Jak tedy zaheslovat stránku?
Vytvořte si soubory .htaccess a .htpasswd. Podrobný návod jak takový soubory vytvořit najdete v článku Použití souboru .htaccess – zde na blogu. Do .htaccess zapište…
AuthUserFile /home/www/vas-web.cz/www/.htpasswd
AuthName "Text ..."
AuthType Basic
require valid-usera do souboru .htpasswd zadáte uživatelské jméno a heslo pro přihlášení. Heslo musí být zašifrované. To učiňte třeba tady. Finální verze souboru .htpasswd by tedy mohla vypadat asi nějak takto:
Nikol:NTpyGmz5YdvQE
Petr:a2H3HDbwGs82k
Karlos:aGRZIl8tM7PvkJak vidíte uživatelským jmen můžete do souboru .htpasswd zapsat nekonečno. Oba soubory nahrajte do složky, kterou chcete zaheslovat. Všechny soubory a složky budou vyžadovat pro přístup heslo. Pro odhlášení a nové vyžádání hesla pak stačí zavřít prohlížeč (ne panel, či záložku).
Zákaz výpisu složky
V některých případech mohou být soubory přístupné při zadání přesné adresy a tak by celé zaheslování bylo zbytečné. Proto doporučuji do souboru .htaccess také zapsat tento řádek ,který zakáže procházení složek a souborů.
Options -IndexesNaopak zadáním +Indexes procházení složek a souborů povolíte. To ovšem v tomto případě silně nedoporučuji.
Zjištění adresy pro AuthUserFile
Pro správnou funkčnost potřebujeme zadat správnou adresu na soubor .htpasswd. Tu zjistíme například pomocí PHP souboru. Vytvořte tedy PHP soubor (nebo si jej rovnou stáhněte) a zapište do něj toto:
<?php
phpinfo();
?>Poté jej nahrajte na Vás server, otevřete a vyhledejte si řádek SCRIPT_FILENAME. Tuto adresu zapište do Vašeho .htaccess souboru do políčka AuthUserFile. Cesta ovšem musí končit souborem .htpasswd v kterém jsou zapsané Vaše přihlašovací údaje.
Nemáš čas? Stahuj…
Vždy se najde někdo, kdo nemá příliš času. Hlavně pro ty jsem zde připravil verzi na stažení. Jediné, co musíte udělat je to, že změníte adresu AuthUserFile a vygenerujete si nové heslo. V základě jsou přihlašovací údaje celkem dobře zapamatovatelné. Jméno je admin a heslo je 12345.
Alternativy zaheslování stránky
Pokud by vám tento způsob nevyhovoval či připadal málo bezpečný, můžete vyzkoušet další možnosti zaheslování stránky. Více už třeba v článku od Dušana. Najdete v něm užitečné rady, jak zaheslovat stránky jiným způsobem než tím, který zde popisuji já. Odkazovaný článek tedy může sloužit jako inspirace a ukázka alternativních způsobů zaheslování…
{ Komentáře k článku }
Toto je hodně dobrý a užitečný návod, chválím.
Chtěl bych se zeptat, zda bys dokázal tímto způsobem zaheslování zaheslovat články v určité rubrice WordPressu. Určitě to půjde, ale chce to nějak šikovně napsat podmínku pro kontrolu rubriky, na což je také potřeba šikovný člověk. A to já nejsem.
Díky. Snažil jsem se vytvořit opravdu kvalitní návod jak zaheslovat stránku pomocí
.htpasswd– povedlo se. Alespoň doufám. Snažil jsem se všechno vysvětlit jasně a poukázat i na další věci, které třeba ostatní návody postrádají. Nicméně k tvé otázce. WordPress už zaheslování konkrétního článku podporuje a tak by to byla zbytečná práce. Tenhle způsob zaheslování (který popisuji v článku) se spíše hodí na osobní fotoalba, statistiky návštěvnost a bůh ví co ještě…Mám Windows Server a nejede mi to tam. Co dělám špatně?
Těžko říct. Nemůžu vědět, co je za chybu, když to nevidím. Pokud jsi to zaheslování stránky udělal opravdu podle návodu a soubory (
.htaccessa.htpasswd) obsahují to, co mají – mělo by to fungovat. Určitě by mi pomohlo kdyby jsi mi řekl, co ti to hlásí. Pokud je to chyba 500 bude zřejmě špatně zadaná adresa k souboru.htpasswd. Překontroluj tedy správnost řádku AuthUserFile.Jseš si opravdu jist, že
.htaccessfunguje i na Windows Server? Nebeží to náhodou jenom na Apači?Na Windows Server nefunguje. Máš pravdu. Tenhle druh zaheslování stránek funguje jen na serveru Apache.
.htaccessa.htpasswdjsou Linuxové soubory (konfigurační). Nevím kde jsem nechal hlavu, když jsem psal předešlí komentář. Díky za upozornění ;).A zrovna teď se mi to hodilo. Daleko jednodušší něž přes PHP. Dík, nikdy jsem to přes htaccess nezkoumal.
Jsem rád, že návod našel využití. Je to opravdu jednoduché a zároveň bezpečné zaheslování stránek. Miluju věci, které jsou bezpečné a jednoduché :P.
Jj díky, ale já ani nevím kde jsou ty podadresáře. Já se v PC vyznám, ale tohle? To je složité xD.
Skvělý, že jsi sem napsal jak zaheslovat stránky. Je to fakt o hodně jednodušší, než přes PHP. Jenom nechápu jedinou věc-nějak mi uniklo, jak nadefinovat přesměrování na stránku po zadání správného hesla. Vždy- ať už zadám správné nebo špatné heslo se nic nestane a cedulka vyjede znovu. Nemám nikde napsanou adresu, kterou chci otevřít po zadání správného hesla. Jak to mám udělat?
Trochu jsem na tuhle věc v článku zapomněl. Adresa, která se zobrazí se nikam nepíše. Soubory mají být v ní. Chci říct, že pokud chceš zaheslovat složku WWW – vložíš oba soubory do ní. Po zadání správného hesla se složka zpřístupní.
Ohledně té vyskakující cedulky – zkus si překontrolovat adresu AuthUserFile. Potom koukni na správnost hesla. Tuším, že budeš mít špatně zašifrované heslo (nebo píšeš nesprávné).
A to heslo do té tabulky mám psát to normální, nebo to zašifrovaný? Ohledně té složky to vím. Kontroloval jsem to, ale chybu jsem neodhalil. Šifrování hesla jsem použil to, na který máš tady odkaz. Jestli chceš můžu ti mailem poslat heslo na administraci a můžeš na to mrknout. Nemůžu na to přijít :(. Díky.
Heslo do souboru dej to zašifrované. Mělo by to fungovat (generátor jsem zkontroloval a funguje). Jestli chceš pošli mi to všechno mailem (najdeš v sekci kontakt). Budu potřebovat jen údaje na FTP. Připojím se a vše ti zkontroluji. Hned poté bych ti sem na blog napsal, co bylo špatně (zašlu i na mail).
Chyba byla ve špatném zápisu adresy k souboru
.htpasswd(v řádku AuthUserFile). Správný zápis byl:AuthUserFile /3w/wz.cz/j/***-***/pasw/.htpasswd.Já věděl, že někdo udělá chybu :). Proto jsem napsal návod, který je v článku.
Díky za návod podle kterého se dá pracovat. Jen mi něco nefunguje – jak jinak :-(. V IE a FF je to supr, ale v Chromu je něco špatně – dialog k heslu se zobrazí až poté co se zobrazí ta zaheslovaná stránka a po vystornovaní se na ní dá dál pracovat… Je to udělané podle tvého návodu, jen
Options -Indexesse mi nepovedlo zakomponovat – chyba 500.Díky za odpověď.
Options -Indexesnení až tak důležitý. Na funkčnost to nemá vliv. Podle mého máš chybu v adrese v řádkuAuthUserFile. Je zvláštní, že v některých prohlížečích ti zaheslování té stránky funguje a někde ne. Nejde mi to do hlavy. Zkus se ozvat přes kontaktní formulář a nějak to vyřešíme :).Jak se dá heslo vygenerovat jinak? Když využiji stránku
generator-hesel.station.cz/, tak to je v pohodě. Co když ale za pár dní (týdnů…) přestane fungovat?Můžu si ten generátor hesel dát někam k sobě?
Určitě. Můžeš si jej klidně nakopírovat k sobě. Pokud to tedy hosting podporuje. Věnuji se tomu v jednom článku. Můžeš si to vyzkoušet, zkouknout a stáhnout. Problém je, že na většině serverů ti to nepůjde a tak budeš muset spíše hledat :).
Ahoj Tomáši, chtěl bych ti moc poděkovat za tento návod, dělám stránky ve formátu Flash a marně si lámu hlavu už pár měsíců jak vytvořit zaheslování stránek v programu ve kterým dělám a vzhledem k tomu, že jsem samouk, tak fakt nevím. Tenhle návod mi to hodně ulehčil. Takže díky!
Mám však otázku. Používám Mozillu a jakmile se jednou zaloguju pod jedním heslem a jménem, tak stránky po mě již heslo nevyžadují a automaticky se přihlásí (v Exploreru to funguje bez problému). Nevíš kde by mohla být chybička nebo jak to vyřešit, aby to vždy vyžadovalo heslo. Díky moc za odpověď.
Rádo se stalo. Těší mne to :). Odpověď hledej v článku (pro odhlášení a nové vyžádání hesla stačí zavřít prohlížeč).
Ahoj, vše jsem udělal podle návodu ale… logovací okýnko se zobrazí, ale když napíšu jméno a heslo neuzná mi to. Mohl by ses podívat?
Ahoj, všechno jsem udělal podle návodu, jakmile naraju do adresáře soubor
.htaccess, stránka se zablokuje, ale neukáže se žádné logovací okénko. Nevíte někdo proč?Možná tvůj server nepodporuje
.htaccess…Čau lidi. Já jsem amatér a proto se chci zeptat jak mám ty dvě složky, co jsem zde stáhl otevřít, když na to poklikam, tak se to neotevře. Děkuji za rady předem =).
Otevři je normálně v textovém editoru (Poznámkový blok, PSPad).
Problem je, ze
.htaccessa htpasswd musi byt v ANSI znakove sade. Mne PSPad soubor preformatoval do UTF-8, s cimz si uz apache neporadil. Ja jsem to resil jinak. Pridat souboru priponu txt a otevrit v poznamkovym bloku.No to jsem hledal :).
Zkoušel jsem to přes login pomocí php scriptu, ale to se dá k daným souborům dostat ručně, když znám cestu k souborům. Tohle je perfekt.
Ale dotaz, dá se to nějak použít pro jednotlivé soubory v adresáři? Aby ke každému souboru bylo jiné heslo? Asi ne co.
Napadá mě jen jedno. Každý soubor do jiného adresáře a v každém adresáři „speciální“
.htaccesss odkazem na „speciální“.htpasswd. Pokud zadám správnou cestu, pak je umístění.htpasswdlibovolné, ne?Ale stejně, nešlo by to jednodušeji? Např do jednoho
.htaccesssouboru zadám jednotlivé soubory a u nich nějaký kód, který bude odpovídat jednotlivým kódům v.htpasswds jinými přihl. údaji. Tohle asi ne, co? :)Ale stejně dík za tohle, určitě to využiju.
Ano, přes PHP něco zaheslovávat je ztráta času. Pro jednotlivé soubory to použít nejde, alespoň co vím. Funguje to totiž tak, že to znepřístupní celý adresář. Používá se to například u statistik webů a podobně. Rozdělil bych vše do různých adresářů. Pokud to nějak nevadí, soubory mají stejně něco kolem 0.1 kB.
Pokud zadáte správnou cestu může být soubor
.htpasswdkdekoliv (alespoň myslím – nezkoušel jsem to). O lehčím zaheslování nevím. Tohle je opravdu všechno, co o zaheslování přes htaccess vím :).Čus nevím proč ale háže mi to tam pětistovku (chyba 500) mám vše dobře a hosting mam IC.CZ
Srandovní. Pokud by jsi měl vše správně, fungovalo by to. Zkontroluj si ještě jednou správnost adresy k souboru
.htpasswd. Je to řádek AuthUserFile v phpinfo (věnuji tomu celý odstavec).Ahoj, udělal jsem vše podle návodu. Když, ale spustím soubor phpinfo.php nic se nestane pouze bílá stránka. Kde je chyba? Jak jinak můžu zjistit adresu pro řádek AuthUserFile. Dík
Zkus kontaktovat podporu hostingu. Je možné, že nepodporuje PHP (i když tomu nevěřím) nebo jede na jiné verzi. Pokud poprosíš technickou podporu o adresu k zaheslování (řádek AuthUserFile) – určitě ti pomohou :).
Ahoj, chtěl bych poděkovat za skvělý návod k zaheslování stránek. Já mám taky jeden problém. Zkoušel jsem to na svých stránkách, ale nemůžu se dostat přes logovací okýnko. Heslo v souboru
.htpasswdjsem zkoušel generovat přes doporučovaný generátor. Tuším, že chyba bude opět v řádku AuthUserFile, ale ať to zkouším obměňovat jak chci, pořád mi to nejede. Z návodu jsem jasně nepochopil, jak má ta cesta vypadat.Můžeš mi, prosím, poradit? V phpinfo jsem našel řádek SCRIPT_FILENAME a zkopíroval tu cestu. Končí to /web/.phpinfo. Mám za to ještě připojit /.htpasswd? Když to udělám, nefunguje mi to. Díky za odpověď.
Děkuji za pochvalu. Samozřejmě adresa musí končit souborem .htpasswd. To znamená pokud je tvoje adresa „…/web/phpinfo.php“ a opravdu chceš zaheslovat adresář web, stačí adresu změnit takto: /web/.htpasswd (pokud je v tomto adresáři soubor umístěn).
Zdravim,
pekny navod a hlavne funguje. Ale mam jeden problem s predhazovani textu error message, konkretne ErrorDocument 401 „Blabla“. Pak mi Apache vyhodi chybu 500. Bez osetreni chyby vse jde jak ma. Napada nekoho, o muze byt spatne? Jo a resenim neni nastavit natrvrdo na apache errorove zpravy, ale predhazovat, jak jse psal.
co se tyce problemu s AuthUserFile nasel jsem jeden script co vypise absolutni adresu k adresari kam je vlozeny, tudiz musi byt tam kde je htac…
staci akorat vytvorit soubor napr. adresa.php, hodit tam co je pod timle textem a pak soubot akorat zavolat. Je to dobry na freeweby ja jsem na ic a vzivote bych to nedokazal odvodit.
Ahoj, všechno funguje, moc pěkně spracované, akorát jediná věc, která se mi nepovedla sprovoznit je to šifrovaní v htpasswd. Heslo jsem si zašifroval, podle různých generátorů, ale přístup neprojde, pouze pokud je heslo nezašifrované. Nebo se tohle někde nastavuje? Uniklo mi něco? JInak to mam na apachi a prostředí windows.
Díky za odpověď
Aha! Použij generátor který je tady na webu!
Dovolím si nesouhlasit s tím, že
.htpasswdje nejbezpečnější způsob. Přihlašovací údaje se při každém novém http požadavku na soubor v zaheslované zóně přenášejí na server znovu, a to nezahashované, útočník má víc příležitostí je odchytit a méně práce s rozkódováním. Sessions jsou v tomto směru mnohem bezpečnější, heslo se přenáší jen na začátku (a lze ho hashovat už u klienta).No, nejlepsi zpusob to rozhodne neni a to z jednoho zasadniho duvodu – prihlasovaci udaje se posilaji znovu pri kazdem pozadavku. Staci si uvedomit, co se deje na pozadi. Server posle prohlizeci http stav 401 – „vyzaduji prihlaseni“ a zaroven obsah stranky not authorized, ktera je definovatelna pres errordocument. Prohlizec na to zareaguje zobrazenim dialogu. Pokud ho uzivatel odklikne stornem, zobrazi zaslanou 401 stranku. Po vyplneni prohlizec posle v http hlavicce login a heslo (oboje nesifrovane) a server je overi. Pokud jsou ok, posle pozadovanou stranku, pokud nejsou ok, odpovi http stavem 403 – forbidden.
Dulezite je, ze se prihlasovaci udaje posilaji pokazde pri kazdem pozadavku, tedy i v pripade obrazku apod. To vychazi z nestavovosti http a tim padem z nemoznosti si pro server ciste pomoci http zapamatovat „tenhle uzivatel uz se prihlasil“. V kombinaci s neexistenci http stavu „odhlas me“ se z http prihlasovani stava velmi nebezpecna metoda.
Jinak
.htpasswda.htconfignejsou zadne linuxove konfiguracni soubory jak pises, ale konfiguracni soubory apache. Stejne soubory se pouziji i pokud apache rozbehnes na windows, macu, telefonu nebo cemkoliv jinem, s linuxem nemaji nic spolecneho.Ahoj, vše pěkně funguje. Mám zaheslovaný celý web, jak jsem chtěl. Jak ale vytvořit (asi v
.htaccessnějaký řádek) tak, aby byl přístupný jeden soubor (je v rootu)? Dík za odpověď.Pokud to chápu dobře tak bude nejlepší tu první stránku umístit do kořenového adresáře. To vše ostatní, co chceš mít zaheslované vlož do nějaké složky a tam dej ty soubory k zaheslování.
Pak prostě na první stránku napiš, co chceš a dej odkaz na zaheslovanou část. Stejně jako to mám ve svém fotoalbu.
Dík za velice užitečný články! Nejlepší na tom je, že si to můžu stáhnout už v podstatě hotový :).
Já chci, aby po zadání špatných údajů mě to hodilo na stránku ve stejném adresáři se jménem spatne.html jaký skript mám zadat?
Pokud se zadá špatný kód, ukáže to nějakou chybu. Něco jako 301 (přesměrování), 404 (soubor nenalezen) a tak. Teoreticky by to mohlo jít tak, jak zde popíšu.
Kód pro vyžadování hesla je 401, takže pokud zadáte heslo špatně, bude to vracet stránku 401 (Authorization Required). Takže zadej do
.htaccess(který nahraješ pouze do zaheslovaného adresáře) řádek:ErrorDocument 401 "http://google.com/"a po zadání špatného hesla by to mělo přesměrovat na stránku Google. Tam si samozřejmě zadáš stránku, kterou chceš.Píše mi to, že je chyba v
.httaccesssouboru.Je to správně?
Největší chyby dělají lidé v špatném zadání adresy AuthUserFile. Zkontroluj si prosím řádek SCRIPT_FILENAME v tvém phpinfo souboru ;).
Jinak nepoužívej české uvozovky, ale anglické (to „). Snad to bude řešení.
Mám problém, jakmile zadám do tabulky jméno a heslo tak mi to vyhodí chybu Chyba 324(net::ERR_EMPTY_RESPONSE): Server ukončil spojení, aniž by odeslal jakákoli data.
Ahoj Jakube. Zkus jiný prohlížeč než Chrome. Zřejmě bude chyba někde v hlavičce nebo v kódu, ale bez informací nevím kde. Pokud jsi to už vyřešil, poděl se o to ;). Zatím.
Ahoj vytvořil jsem si databázi a exportoval jsem ji do
.html(výchozí soubor index.html). Použil jsem tvojí verzi pro stažení, ale pořád mi to nefunguje pořád se to nechce přihlásit..htaccess:
Druhý soubor jsem neměnil.
Tady žádná chyba není, už jsi na problém přišel? Myslíš, že problém bude jinde…
Ahoj Tomáši,
vše jsem udělal podle Tvého návodu a heslování mi funguje. Jen jedna věc mi nesedí, heslo mi totiž stačí zadat jen poprvé a následně se přihlašuji již bez hesla. Kde jsem udělal chybu?
Upozorňuji že nemám toto heslo ani žádné jiné uložené ve windows a na ostatní weby standardně musím heslo vkládat při každém vstupu.
díky
Milan
Ahoj, to je jednoduché. Při tomto způsobu zaheslování stránek se heslo uloží do prohlížeče (tedy do procesu v paměti). Dokud prohlížeč nevypneš (čímž se proces ukončí) tak si to tvé heslo bude prostě pamatovat. Takto to má fungovat :). Takže pokud chceš, aby bylo znovu vyžadováno heslo, vypni a znovu zapni prohlížeč.
Ahoj, vyzkoušel jsem všechny možnosti a nemohu se dopracovat k úspěchu. Může mi někdo prosím poslat komplet na e-mail. Nevím kde dělám chybu. Pro příklad webové adresy např. abcd.wz.cz. Vše by bylo ve složce X na tomto webu. Potřebuji aby to fungovalo ve Windows. Děkuji předem za jakoukoliv odpověď.
Přečti si článek řádek po řádce, je tu celé zaheslování stránek krok-za-krokem popsané. Jedinou chybu můžeš udělat v AuthUserFile, protože web-zdarma zaheslování podporuje. Oba soubory vlož do složky X a zkus to znovu. Pokud si nevíš rady, napiš na podporu. Určitě ti správnou cestu (AuthUs…) napíšou. Držím palce.
Dobrý den, na doporučení jsem vyzkoušel, ale musím bohužel oznámit, že mi to nefunguje… Kdepak může být chyba? Bohužel zde není možnost pro vložení přílohy, takže nemůžu ani poslat mnou vytvořené soubory.
Doporučení mne těší. Podívejte se na obrázek v článku a najděte tu adresu v tom phpinfo souboru (který nahrajete kamkoli k sobě). Snad každý tam dělá chybu. Každý hosting má totiž svou vlastní cestu k místu kde sou Vaše soubory. Udělejte vše podle návodu a uvidíte. Pokud to nepůjde, zkuste mi tu problém popsat. Jinak jestli začínáte, doporučuji mrknout na můj nový článek o kešování a až stránky poběží naostro, určitě kešování zkuste. Stránky se pak načítají o mnoho rychleji a návštěvníky to určitě potěší.
Předpokládal jsem, že zde bude problém. Celý eshop je v kořenovém adresáři. Takže jsem zkoušel postupné alternativy:
AuthUserFile /home/www.balvin.eu/www/.htpasswd
AuthUserFile /home/www/balvin.eu/www/.htpasswd
AuthUserFile /home/www/www.balvin.eu/www/.htpasswd
Nevidíte zde kde dělám chybu?
Pokud chcete zaheslovat celý web tak bude adresa: /home/www/balvin.eu/www/.htpasswd – s tím, že v kořenovém adresáři ty oba soubory musí být. Tohle jsem vyčetl z phpinfo souboru hostingu, který používáte. Pokud to nejde… bude asi lepší napsat na podporu.
Ahoj mám dotaz, nemůže to uživatel zjistit když zadá třeba „www.domena.cz/zaheslovana/.htpasswd“?
Ahoj, nemůže. Totiž htaccess i htpasswd jsou normální konfigurační soubory a ty uživatel nezobrazí (většinou se ukáže chyba 403 = nemáte oprávnění prohlížet tuto stránku). Navíc ta tečka před názvem značí skrytý soubor. Takže ani při výpisu adresáře nejsou soubory viditelné. Zkus si to na své stránce, ať to vidíš na vlastní oči.
Aha, dík ;).
Potřeboval bych trochu poradit. Mám zaheslovaný celý web např.:
domena.czAle potřebuji vyjmout z toho zaheslování jeden skript např.:domena.cz/volnastranka.phptak aby tahle konkretni stranka byla volne pristupna. Jde to vubec? Díky za radu.Zdravím, tohle tuším nejde. Kam vložíš ten soubor tak se zahesluje celá složka, včetně všech podsložek v ní. Pokud chceš volnou stránku tak ji musíš dát třeba na subdoménu, nebo tam kde to zaheslované není.
Zkus si na stránce udělat složku třeba /povoleno/ a do ní vložit další
.htaccesssoubor do kterého napíšešallow from all. Třeba to bude fungovat.Ahoj, zase já :D. Jak se dá povolit přístup botům (index,follow) pomocí
.htaccess?Komentáře jsou pro tento článek již uzavřeny.