Wie schütze ich meine Website oder ein Verzeichnis per .htaccess?

Mit einer .htaccess- und einer .htpasswd-Datei können Sie eine Website oder ein einzelnes Verzeichnis mit einem Benutzernamen und Passwort schützen. Besucher müssen anschließend gültige Zugangsdaten eingeben, bevor die geschützten Inhalte angezeigt werden.

Die .htaccess-Datei aktiviert den Passwortschutz. In der .htpasswd-Datei werden die zulässigen Benutzernamen und die dazugehörigen verschlüsselten Passwörter gespeichert.

Welche Dateien werden benötigt?

• .htaccess: Aktiviert den Passwortschutz und verweist auf die Datei mit den Zugangsdaten.
• .htpasswd: Enthält den Benutzernamen und einen verschlüsselten Hash des Passworts.

.htpasswd-Datei erstellen

Erstellen Sie mit einem Texteditor eine Datei mit dem Namen .htpasswd. Für jeden Benutzer wird eine eigene Zeile in folgendem Format benötigt:

benutzername:verschluesselter-passwort-hash

Der Inhalt kann beispielsweise so aussehen:

geschuetzterzugang:$apr1$a5VYywhz$OEM8ZY9.lb23N6VY3KTSz1

Möchten Sie mehreren Benutzern den Zugriff erlauben, ergänzen Sie für jeden Benutzer eine weitere Zeile:

benutzer1:verschluesselter-passwort-hash
benutzer2:verschluesselter-passwort-hash

Absoluten Pfad zur .htpasswd-Datei ermitteln

Die .htaccess-Datei benötigt den vollständigen absoluten Serverpfad zur .htpasswd-Datei. Dieser kann beispielsweise folgendermaßen aufgebaut sein:

/var/www/vhosts/vertragsverzeichnis/.htpasswd

Den für Ihr Hosting-Paket gültigen Grundpfad finden Sie in oneHome im Bereich mit den Pfad- und Serverinformationen. Prüfen Sie außerdem in der Domainverwaltung, welches Verzeichnis der betreffenden Domain oder Subdomain zugewiesen ist.

.htaccess-Datei erstellen

Erstellen Sie mit einem Texteditor eine Datei mit dem Namen .htaccess. Tragen Sie folgenden Inhalt ein:

AuthType Basic
AuthName "Passwortgeschützter Bereich"
AuthUserFile "/vollstaendiger/serverpfad/.htpasswd"
Require valid-user

Passen Sie folgende Angabe an:

• Ersetzen Sie /vollstaendiger/serverpfad/.htpasswd durch den tatsächlichen absoluten Pfad zu Ihrer .htpasswd-Datei.

Der Text hinter AuthName wird im Anmeldefenster des Browsers angezeigt. Sie können diesen Text bei Bedarf ändern.

Dateien auf den Webspace hochladen

1. Speichern Sie beide Dateien als reine Textdateien im Format UTF-8.
2. Prüfen Sie, dass die Dateien exakt .htaccess und .htpasswd heißen.
3. Achten Sie darauf, dass Ihr Texteditor keine zusätzliche Dateiendung wie .txt ergänzt.
4. Laden Sie die .htaccess-Datei über Web-FTP, FTP oder SFTP in das Verzeichnis, das geschützt werden soll.
5. Laden Sie die .htpasswd-Datei an den Speicherort hoch, den Sie bei AuthUserFile angegeben haben.

Der Passwortschutz gilt für das Verzeichnis, in dem sich die .htaccess-Datei befindet, sowie normalerweise für dessen Unterverzeichnisse.

Passwortschutz prüfen

Öffnen Sie die geschützte Website oder das geschützte Verzeichnis in einem privaten Browserfenster. Der Browser sollte nun einen Benutzernamen und ein Passwort anfordern.

Funktioniert der Passwortschutz nicht, prüfen Sie insbesondere:

• Ist der Pfad bei AuthUserFile vollständig und korrekt?
• Befindet sich die .htaccess-Datei im richtigen Verzeichnis?
• Befindet sich die .htpasswd-Datei am angegebenen Speicherort?
• Beginnen beide Dateinamen mit einem Punkt?
• Wurde versehentlich die Dateiendung .txt ergänzt?
• Stimmen Benutzername und Passwort mit dem Eintrag in der .htpasswd-Datei überein?

Passwortschutz wieder entfernen

Um den Passwortschutz zu deaktivieren, entfernen Sie die eingefügten Authentifizierungsanweisungen aus der .htaccess-Datei. Löschen Sie die gesamte Datei nur, wenn sie keine weiteren Einstellungen für Ihre Website enthält.