Protéger un dossier avec un .htaccess

• .htaccess : ce fichier contiendra l’adresse du fichier .htpasswd et quelques autres options que vous pourrez définir ;
• .htpasswd : ce fichier contiendra une liste de logins/mots de passe, pour chaque personne autorisée à accéder aux pages !

AuthName "Page d'administration protégée"
AuthType Basic
AuthUserFile "/home/site/www/admini.htpasswd"
Require valid-user

• AuthName: c’est le texte qui invitera l’utilisateur a inscrire son login et son mot de passe. Vous pouvez personnaliser ce texte comme bon vous semble.
• AuthUserFile : là c’est plus délicat,il s’agit du chemin absolu vers le fichier .htpasswd (que vous mettrez dans le même répertoire que le fichier .htaccess)

• En effet, la plupart du temps, cola s’avère délicat Car cela dépend du serveur
• Heureusement, il existe une fonction PHP qui va beaucoup nous aider : realpath Cette fonction donne le chemin absolu vers le fichier que vous indiquez.
• Vous allez donc faire comme suit pour trouver le chemin absolu.

1. Créez un fichier appelé chemin.php.
2. Inscrivez juste cette ligne de code à l’intérieur : <?php echo realpath('chemin.php'); ?>
3. Envoyez ce fichier sur votre serveur avec votre logiciel FTP, et placez-le dans le dossier que vous voulez protéger.
4. Ouvrez votre navigateur et allez voir ce fichier PHP. Il vous donne le chemin absolu. Par exemple dans mon cas : /home/site/ www/admin/chemin.php
5. Copiez ce chemin dans votre fichier .htaccess, et remplacez le chemin.php par .htpasswd.
Nous obtenons par exemple au final :/home/site/www/admin/.htpasswd
6. Supprimez le fichier chemin .php de votre serveur, il ne nous sert plus à rien main-tenant qu’il nous a donné le chemin absolu.

mateo21 : $1$MEqT//cb$hAVid.qmmSGFW/wD1IfQ81
ptipilou : $1$/lgP8dYaSsQNXcCP47KhPisneRIZo00
difox:$1$1T7nqnsecVtoPfe0IgrjES7Ushmoy.
vincent:$1Sh4oVHp30$X7Ejpn.uuOhJRkT3qnw3i0

• Bonne question ! Encore une fois, il y a une super fonction PHP qui va nous tirer d’affaire : crypt . Vous lui donnez un mot de passe et elle vous le crypte (ne cherchez pas à savoir comment).
• Par exemple, si mon mot de passe est « kangourou », voici le code PHP que je devrai écrire pour l’obtenir en version cryptée :

<?php echo crypt('kangourou'); ?>

• Crypter ses mots de passe est très utile : en effet, si quelqu’un vient un jour à lire votre fichier .htpasswd (quelqu’un qui utilise le même PC que vous, par exemple), il ne verra que le mot de passe crypté. Et là, aucun risque qu’il retrouve votre mot de passe : ce cryptage est indéchiffrable. Il est à sens unique (il s’agit en fait d’une autre forme du hachage que l’on a découvert dans le TP Espace membres).

<?php
if (isset($_POST['login']) AND isset($_POST['pass']))
{
    $login = $_POST['login'];
    $pass_crypte = crypt($_POST['pass']); // On crypte le mot de passe

    echo '<p>Ligne à copier dans le .htpasswd :<br />' . $login . ':' . $pass_crypte . '</p>';
}

else // On n'a pas encore rempli le formulaire
{
?>

<p>Entrez votre login et votre mot de passe pour le crypter.</p>

<form method="post">
    <p>
        Login : <input type="text" name="login"><br />
        Mot de passe : <input type="text" name="pass"><br /><br />
    
        <input type="submit" value="Crypter !">
    </p>
</form>

<?php
}
?>

• Il y a deux parties dans ce code :
• 1. SI les variables $_POST['login'] et $_POST['pass'] existent, alors c’est qu’on vient de valider le formulaire.
• On crypte le mot de passe qu’on a entré, et on affiche $login:$pass_crypte pour que vous n’ayez plus qu’à copier la ligne dans le .htpasswd ;
• 2. SINON, si les variables $_POST['login'] ou $_POST['pass'] n’existent pas, on affiche donc le formulaire pour demander d’entrer un login et un mot de passe.
• Le formulaire recharge la même page car il n’y a pas d’attribut action dans la balise
  
  , comme on l’a vu dans le chapitre sur les formulaires. Lors du rechargement de la page, les variables $_POST['login'] et $_POST['pass'] existeront puisque vous venez d’entrer le login et le mot de passe. Ce dernier sera alors crypté !
• Je vous conseille de créer cette page quelque part sur votre disque dur (ou sur votre serveur, peu importe), pour que vous puissiez crypter rapidement vos mots de passe pour le .htpasswd .
• Si vous avez la flemme de la créer, pas de souci, vous n’avez qu’à vous servir du code web ci-dessus.