Benutzername und Passwort eingeben, Zeile kopieren, als .htpasswd speichern und mit FileZilla hochladen. Dazu bekommst du die passende .htaccess für den Verzeichnisschutz.
Alles wird im Browser berechnet, nichts verlässt deinen Rechner. Für mehrere Benutzer je eine Zeile in die .htpasswd einfügen.
So richtest du den Verzeichnisschutz ein
- Oben Benutzername und Passwort festlegen, die erzeugte Zeile in eine Textdatei
.htpasswdkopieren (ohne Endung, UTF-8, Unix-Zeilenumbrüche). - Die Datei mit FileZilla außerhalb des Webroots hochladen, wenn dein Hoster das zulässt; sonst ins geschützte Verzeichnis selbst. Falls du sie nicht siehst: versteckte Dateien einblenden.
- Den absoluten Serverpfad der Datei ermitteln. Er steht im Kundenbereich des Hosters oder wird im FileZilla-Protokoll nach dem Verbinden angezeigt (Zeile „Status: Verzeichnis … erfolgreich“ zeigt oft nur den relativen Pfad; dann hilft eine PHP-Datei mit
<?php echo __DIR__;). - Die
.htaccessaus dem Generator anpassen (Pfad eintragen) und ins zu schützende Verzeichnis laden. - Im Browser aufrufen: Es muss eine Passwortabfrage erscheinen. Bei Fehler 500 stimmt meist der Pfad in
AuthUserFilenicht.
Welches Verfahren?
| Verfahren | Unterstützung | Bewertung |
|---|---|---|
| MD5 (APR1) | Apache, LiteSpeed, Nginx (mit Modul), alle Hoster | Standard. Für Verzeichnisschutz ausreichend, wenn das Passwort stark ist |
| SHA-1 | Apache, Nginx | Ohne Salt, schwächer. Nur wenn APR1 nicht funktioniert |
| bcrypt | Apache ab 2.4, nicht überall | Am stärksten; mit htpasswd -B auf dem Server erzeugen |
Typische Einsatzfälle
- Staging- oder Testinstallation vor Google und Besuchern verstecken
- Admin-Bereich zusätzlich absichern, etwa
/wp-admin/oder/wp-login.php - Download-Ordner für Kunden schützen
Für die restlichen Regeln einer sauberen .htaccess (HTTPS-Umleitung, Caching, Schutz der Konfigurationsdateien) nutze den .htaccess-Generator.
Häufige Fragen
Frage antippen, um die Antwort zu öffnen.
Funktioniert das auch bei Nginx?
Ja, die .htpasswd-Datei ist gleich. Statt .htaccess kommen die Direktiven auth_basic und auth_basic_user_file in die Server-Konfiguration; bei Shared Hosting mit Nginx bietet der Hoster dafür meist eine Funktion im Kundenbereich.
Kann ich mehrere Benutzer anlegen?
Ja, pro Benutzer eine Zeile. Der Generator erzeugt jeweils eine Zeile; nacheinander erzeugen und untereinander in die Datei kopieren.
Ist der Verzeichnisschutz sicher?
Er überträgt das Passwort nur bei HTTPS verschlüsselt. Ohne SSL-Zertifikat ist Basic Auth im Klartext lesbar. HTTPS vorher aktivieren, dann ist der Schutz für Staging und interne Bereiche ausreichend.