Ein Verzeichnis oder eine Datei vom Passwortschutz eines Verzeichnisses ausnehmen

cPanel bietet die Option Directory Privacy, mit der Sie ein Verzeichnis mit Benutzer und Passwort schützen können.

Diese Funktion ist nützlich, um den Zugriff auf eine Website in Entwicklung zu schützen oder, im Fall von WordPress, dem Verzeichnis wp-admin eine zusätzliche Schutzschicht hinzuzufügen.

Manchmal müssen Sie jedoch eine Datei oder ein Verzeichnis von diesem Schutz ausnehmen. Um beim Beispiel wp-admin zu bleiben: Es gibt Plugins und Themes, die admin-ajax.php aufrufen, und wenn Sie den Zugriff auf wp-admin schützen, können diese Aufrufe an einer zusätzlichen Authentifizierungsabfrage scheitern.

Dafür können Sie in der .htaccess eine Regel hinzufügen, die nur genau die Datei ausnimmt, die öffentlich sein muss. Verwenden Sie in Apache 2.4 die moderne Require-Syntax und setzen Sie die Ausnahme in die .htaccess des geschützten Verzeichnisses, nachdem Sie geprüft haben, dass dieser Endpunkt eine eigene Autorisierung und Validierung durchführt:

<Files "admin-ajax.php">
    Require all granted
</Files>

In diesem Beispiel nehmen wir nur genau die Datei admin-ajax.php von der Basic-Authentifizierung aus. Die Ausnahme ändert nichts daran, dass WordPress für jede sensible Aktion Nonces, Berechtigungen und Sitzung prüfen muss.

Ersetzen Sie die Datei nicht durch ein breites Muster und nehmen Sie keine kompletten Verwaltungsverzeichnisse wie wp-admin aus: Sonst verlieren alle aktuellen und künftigen Endpunkte darin diese Schutzschicht. Wenn eine weitere Ressource öffentlich erreichbar sein muss, legen Sie für ihren genauen Namen eine eigene Ausnahme an, testen Sie nur diese URL und prüfen Sie, dass der Rest des Verzeichnisses weiterhin eine Authentifizierung verlangt.

Die Ausnahme prüfen, ohne den Rest zu öffnen

Speichern Sie vor dem Bearbeiten eine Kopie der .htaccess außerhalb des öffentlichen Verzeichnisses. Beachten Sie die Regeln der Anwendung und prüfen Sie, ob es bereits andere Require-, Files- oder FilesMatch-Blöcke gibt, die sich kombinieren oder ersetzen könnten.

Testen Sie aus einer nicht authentifizierten Sitzung die ausgenommene URL und eine andere URL desselben Verzeichnisses, die geschützt bleiben muss. Dass der Endpunkt öffentlich antwortet, bedeutet nicht, dass seine sensiblen Aktionen ohne Autorisierung durch die Anwendung ausgeführt werden dürfen.

Wenn ein Fehler 500 erscheint, stellen Sie die vorherige Version wieder her und prüfen das Fehlerprotokoll. Wenn Sie ein ganzes Unterverzeichnis öffnen müssen, erfassen Sie vorher dessen Dateien und Zugriffe: Das Beispiel einer einzelnen Datei darf nicht durch einen allgemeinen Platzhalter erweitert werden.