Webzugriff auf ein Verzeichnis nur von einer IP erlauben

Auf einem Server, der die Regeln von Apache 2.4 unterstützt, können Sie den Webzugriff auf einen Ordner über dessen .htaccess-Datei beschränken. Die Regel allein steuert weder FTP noch SSH noch lokale Zugriffe auf die Dateien.

Die Regel vorbereiten und hinzufügen

Ermitteln Sie Ihre öffentliche IP und speichern Sie eine Kopie der .htaccess außerhalb des öffentlichen Stammverzeichnisses. Halten Sie cPanel oder SFTP bereit, um die Änderung rückgängig zu machen, falls Sie den Webzugriff verlieren.

In der .htaccess des Ordners, den Sie beschränken möchten, sähe eine einfache Regel so aus:

Require ip 192.0.2.25

Ersetzen Sie die Dokumentations-IP durch die tatsächlich freigegebene Adresse. Bei Bedarf können Sie mehrere Adressen in dieselbe Direktive schreiben; vermeiden Sie es, einen ganzen CIDR-Bereich für eine einzige Verbindung freizugeben.

Eine dynamische IP kann sich ändern. Liegt der Dienst hinter einem CDN oder Proxy, klären Sie, welche Adresse der Server als Herkunft erkennt: Den Vermittler freizugeben, kann alle seine Besucher freigeben.

Wenn es zusätzlich ein Passwort gibt

Prüfen Sie die bestehenden Regeln, bevor Sie eine weitere hinzufügen. Mehrere Require können als Alternativen wirken. Müssen Sie IP und gültigen Benutzer verlangen, muss der Block beide Bedingungen ausdrücken:

<RequireAll>
    Require ip 192.0.2.25
    Require valid-user
</RequireAll>

Dieses zweite Beispiel setzt voraus, dass die Authentifizierung mit Benutzern und Passwort bereits eingerichtet ist. Es erstellt den Authentifizierungsmechanismus nicht selbst. Mischen Sie alte Order/Allow/Deny-Regeln nicht mit den modernen, ohne ihr Zusammenspiel zu prüfen.

Prüfen und bei Bedarf rückgängig machen

Testen Sie von einer erlaubten und von einer eigenen, nicht erlaubten Verbindung aus. Prüfen Sie den Hauptordner und die direkten Pfade, die abgedeckt sein sollen, auch Unterverzeichnisse mit eigenen Regeln.

Erscheint ein Fehler 500, stellen Sie die vorherige Datei wieder her und sehen Sie im Fehlerlog nach. Erhält ein erlaubter Zugriff einen 403, prüfen Sie die tatsächliche IP und das Zusammenspiel der Regeln, bevor Sie den Zugriff für alle öffnen. Eine IP-Beschränkung ergänzt die Authentifizierung der Anwendung; sie macht eine IP nicht zur Identität einer einzelnen Person.