Autoriser l'accès web à un répertoire depuis une seule IP

Sur un serveur compatible avec les règles d'Apache 2.4, vous pouvez restreindre l'accès web à un dossier au moyen de son fichier .htaccess. La règle ne contrôle pas à elle seule le FTP, le SSH ni les accès locaux aux fichiers.

Préparer et ajouter la règle

Confirmez votre IP publique et enregistrez une copie du .htaccess en dehors de la racine publique. Gardez cPanel ou SFTP à portée de main pour annuler la modification si vous perdez l'accès web.

Dans le .htaccess du dossier à restreindre, une règle de base serait :

Require ip 192.0.2.25

Remplacez l'IP de documentation par l'adresse réelle autorisée. Vous pouvez indiquer plusieurs adresses dans la même directive si nécessaire ; évitez d'autoriser une plage CIDR complète pour une seule connexion.

Une IP dynamique peut changer. Si le service se trouve derrière un CDN ou un proxy, vérifiez quelle adresse le serveur identifie comme origine : autoriser l'intermédiaire peut autoriser tous ses visiteurs.

S'il y a aussi un mot de passe

Examinez l'ensemble des règles existantes avant d'en ajouter une autre. Plusieurs Require peuvent se comporter comme des alternatives. Si vous devez exiger IP et utilisateur valide, le bloc doit exprimer les deux conditions :

<RequireAll>
    Require ip 192.0.2.25
    Require valid-user
</RequireAll>

Ce second exemple suppose que l'authentification est déjà configurée avec ses utilisateurs et son mot de passe. Il ne crée pas à lui seul le mécanisme d'authentification. Ne mélangez pas les anciennes règles Order/Allow/Deny avec les modernes sans vérifier leur interaction.

Vérifier et annuler si nécessaire

Testez depuis une connexion autorisée et depuis une autre connexion à vous qui ne l'est pas. Vérifiez le dossier principal et les chemins directs qu'il doit couvrir, y compris les sous-répertoires ayant leurs propres règles.

En cas d'erreur 500, revenez au fichier précédent et consultez le journal des erreurs. Si un accès autorisé reçoit une erreur 403, vérifiez l'IP réelle et la combinaison des règles avant d'ouvrir l'accès à tout le monde. Une restriction par IP complète l'authentification de l'application ; elle ne fait pas d'une IP une identité individuelle.