Exclure un répertoire ou un fichier lors de la protection d'un répertoire par utilisateur et mot de passe

cPanel propose l'option Directory Privacy, qui permet de protéger un répertoire par un utilisateur et un mot de passe.

Cette fonction sert aussi bien à protéger l'accès à un site en développement qu'à ajouter, dans le cas de WordPress, une couche de protection supplémentaire au répertoire wp-admin.

Mais il faut parfois exclure un fichier ou un répertoire de cette protection. Pour reprendre l'exemple de wp-admin, certaines extensions et certains thèmes font des appels à admin-ajax.php et, si l'accès à wp-admin est protégé, ces appels peuvent échouer à cause d'une demande d'authentification supplémentaire.

Pour cela, vous pouvez ajouter dans le .htaccess une règle qui exclut uniquement le fichier exact qui doit être public. Avec Apache 2.4, utilisez la syntaxe moderne Require et placez l'exception dans le .htaccess du répertoire protégé, après avoir vérifié que ce point d'accès applique sa propre autorisation et sa propre validation :

<Files "admin-ajax.php">
    Require all granted
</Files>

Dans cet exemple, seul le fichier exact admin-ajax.php est exclu de l'authentification de base. L'exception ne dispense pas WordPress de valider les nonces, les permissions et la session pour chaque action sensible.

Ne remplacez pas le fichier par un motif large et n'excluez pas des répertoires d'administration entiers comme wp-admin : tous leurs points d'accès actuels et futurs perdraient cette couche de protection. Si une autre ressource a besoin d'un accès public, créez une exception séparée pour son nom exact, testez uniquement cette URL et vérifiez que le reste du répertoire demande toujours une authentification.

Vérifiez l'exception sans ouvrir le reste

Gardez une copie du .htaccess en dehors du répertoire public avant de le modifier. Respectez les règles de l'application et vérifiez s'il existe déjà d'autres blocs Require, Files ou FilesMatch qui pourraient se combiner ou se remplacer.

Depuis une session non authentifiée, testez l'URL exclue et une autre URL du même répertoire qui doit rester protégée. Une réponse publique du point d'accès ne signifie pas que ses actions sensibles doivent s'exécuter sans l'autorisation de l'application.

Si une erreur 500 apparaît, restaurez la version précédente et consultez le journal des erreurs. Si vous devez ouvrir un sous-répertoire entier, identifiez d'abord ses fichiers et ses accès : l'exemple d'un fichier ne doit pas être élargi en le remplaçant par un joker général.