Mit bplacedlive access ist der Verzeichnisschutz wie automatisch zu erstellen. Mit so ein paar Klicks. Der 'Verzeichnisschutz' erfolgt dann durch eine Regel in der .htaccess-Datei und diese leitet in die .htpasswd-Datei zur Benutzer / Passwortabfrage. Die Doku hier ist mit WordPress.  

Was ist der Verzeichnisschutz

Der Erläuterung des Verzeichnisschutzes geht es um weiteren Schutz für das WP-Log-in bzw. das Backend. Mithin ist dies für Websites geeignet, welche keine Registrierung und damit auch kein Log-in für Nutzer anbietet. Um zum WP-Log-in zu gelangen, erfolgt durch den Verzeichnisschutz erst die Abfrage von Benutzer / Passwort vom Verzeichnisschutz.

Verzeichnisschutz  und
htaccess-Regeln zur Sicherheit

Wie ist das mit dem 'Verzeichnisschutz' und die üblichen Sicherheitsregeln für die .htaccess-Datei? Die Antwort ist hier kurz ausgeführt.

Mit dem 'Verzeichnisschutz' ist das Verzeichnis abgesichert, in dem der Schutz erstellt ist. Also dort sind ohne Eingaben von Benutzer / Passwort keine Aktivitäten möglich. Bspw. wenn die .htaccess mit der Regel zum Verzeichnisschutz im ersten Verzeichnis ist, so sind deren Dateien und die Verzeichnisse darunter mit dabei.

bplacedlive access Verzeichnisschutz
ab bplaced pro

Im Folgenden ist eine Beschreibung, wie welches mit bplacedlive access ab bplaced pro zu erstellen ist und worauf Acht zu geben ist.

1. Anmeldung auf bplacedlive access (la).
   https://la.deinunsername.bplaced.net//
2. Das Verzeichnis wp-admin anklicken → die Schaltfläche "Verzeichnisschutz" anklicken, somit folgt:

1. Verzeichnisschutz: 'Name des Schutzes', individuell.
   In Folge als bspw. namens ’safeguard'
2. Benutzer erstellen: 'Benutzername', individuell.
   In Folge als bspw. namens 'utilizename'
   • Sodann das Passwort! – welches am besten in Vorbereitung selbst erstellt. Hierzu gereicht ein Passwort Generator.
   • Das Passwort generiert, kopiert und notiert! – das ist dann da oben bei Passwort einzugeben. Das Passwort ist nach dem nun folgendem 'Verzeichnisschutz erstellen' nicht mehr zu sehen.

Verzeichnisschutz erstellen

Mit anklicke von 'Verzeichnisschutz erstellen' ist dann dein Passwort selbst mit MD5+Salt verschlüsselt! – und das ist der Form auch in der Datei namens .htpasswd zu sehen. Das Passwort, das da dann bei Passwort steht, ist also nicht mehr dasselbe. Das ist nicht einerlei. In Folge hat das Passwort von dort für sich nichts mehr zu tun mit deinem Log-in vom Verzeichnisschutz. Ja! – das Passwort, das da oben im Pkt. 2  mit dem Passwort Generator von dir erstellt, das funkt dann ganz ungeniert.

Nach der Erstellung vom Verzeichnisschutz

Die .htaccess-Datei im Ordner wp-admin

Der .htaccess-Datei, die automatisch erstellt wurde. (Je nachdem von schon bestehenden .htaccess ist die nun folgende htaccess-Regel zur .htpasswd mit dabei.)

Der .htaccess folgt automatisch diese Regel:

AuthType Basic
require valid-user
AuthName "safeguard"
AuthUserFile /users/deinuser/www/wordpress/wp-admin/.htpasswd

AuthName "safeguard" das ist der 'Name des Schutzes', der da im 'Pkt. 1. Verzeichnisschutz' eingegeben wurde.

Die Regel besagt nun, dass die Benutzer / Passwörter über eine .htpasswd Datei gesteuert werden.

Die Datei .htpasswd im Ordner wp-admin

Dazu die Datei .htpasswd, die auch automatisch erstellt wurde. Da ist der 'Benutzername' von Pkt. 2 und das Passwort, welches da verschlüsselt ist.

Der .htpasswd ist so zu sehen:

utilizename:$apr1$r31…vErsChlüSSeltes.pAsswd

Das obige funkt nun soweit!

– aber sollte bspw. der Website auch welche Seiten mit Passwortschutz dabei sein, dann ist die .htaccess  dort in wp-admin zu editieren. Und zwar mit <limit GET>

<limit GET>
AuthType Basic
require valid-user
AuthName "safeguard"
AuthUserFile /users/deinuser/www/wordpress/wp-admin/.htpasswd
</limit>

Warum das?

Da sonst dem Aufruf zu einer 'Geschützen Seite' nicht nur die Anforderung des Passwortes ist. Vorerst ist da die Eingabemaske vom Verzeichnisschutz* zu sehen. Dort lässt sich das zwar mit 'Abbrechen' entfernen. Aber so wäre das für den Besucher nicht konform.

*Zum Bspw. siehe hier der rechten Seitenleiste unten im Titel AUFTAKT GOOGLE ANALYTICS / Weiter im Tab-Menü! – und dort der Link. Da würde dann die Eingabemaske vom Verzeichnisschutz zu sehen sein. 

Info: https://pmhahn.de/linux/html/access.shtml.de

Fachsimpelei

<Files wp-login.php>
AuthType Basic
require valid-user
AuthName "safeguard"
AuthUserFile /users/deinuser/www/wordpress/.htpasswd
</Files>

• Mit dem anklicke auf Schutz entfernen erfolgt die Löschung des Verzeichnisschutzes. Das ist von sofort wirksam. Ein neuer 'Verzeichnisschutz' ist dort dann wieder möglich.

Für weiteres Interesse

Wer Interesse hat, wie das mit dem Verzeichnisschutz und den Passwörtern so läuft, sind hier ein paar Links, welche sehr weiterführend sind:

selfhtml Webserver/htaccess/Passwortschutz

Wenn du selbst etwas erstellen willst: z. B. mit hostingcanada.org/htpasswd-generator, da ist das mit Apache+MD5+Salt zu empfehlen.

Passwortformate