Salasanasuojatut sivut
Kotisivujen salasanasuojaukseen on olemassa monta tapaa. Esimerkiksi JavaScriptillä on helppo koodata rutiini, joka kysyy salasanaa, tarkistaa sen oikeellisuuden ja siirtyy halutulle sivulle, jos salasana on oikein. Näiden skriptien murtaminen on kuitenkin äärimmäisen helppoa: kuka tahansa voi tutkia sivun lähdekoodia ja selvittää salasanan sitä kautta. Jos kaipaat varmempaa suojausta, palvelinpohjainen htaccess-menetelmä lienee parempi sinulle.
Huomaattehan että voitte helposti lisätä kansiokohtaisia .htaccess-suojauksia Sigmaticin palveluhallinnan kautta valikosta salasanasuojaukset.
Lisää .htaaccess-suojaamisesta:
Sivujen suojaus .htaccess-tiedostoja käyttäen
Htaccess-menetelmään tarvitaan yleensä kaksi tiedostoa: käyttäjätiedosto ja asetustiedosto. Näistä käyttäjätiedosto sisältää käyttäjätunnukset ja salasanat, kun taas asetustiedostossa määritellään mm. ketkä saavat katsoa tietyn hakemiston sivuja ja missä käyttäjätiedosto sijaitsee. Myös ryhmätiedoston käyttämisestä on hyötyä, kun haluat luokitella käyttäjät ryhmiin ja määrittää, mitkä ryhmät pääsevät tarkastelemaan tietyn hakemiston sivuja. Seuraavassa käymme läpi kaikkien kolmen tiedoston luomisen.
Käyttäjätiedosto (.htpasswd)
Salasanasuojauksen rakentelu aloitetaan luomalla käyttäjätiedosto. Se kannattaa turvallisuussyistä sijoittaa jonnekin public_html-hakemistosi ulkopuolelle, jotta ulkopuoliset eivät pääsisi tarkastelemaan salasanoja. Tiedoston nimellä ei ole väliä, mutta usein sen nimeksi annetaan .htpasswd.
Käyttäjätiedoston luonti on helpointa htpasswd-komennolla. Luo aluksi SSH-yhteys palvelimelle, missä kotisivusi sijaitsee ja siirry cd-komennolla siihen hakemistoon, johon haluat sijoittaa tiedoston. Seuraavaksi anna komento
htpasswd -c .htpasswd tunnus
jossa .htpasswd on haluamasi käyttäjätiedoston nimi ja tunnus ensimmäisen tiedostoon lisättävän käyttäjätunnus. Sen jälkeen ohjelma kysyy sinulta kyseiseen tunnukseen liitettävää salasanaa. Kun olet antanut tiedot, se luo hakemistoon käyttäjätiedoston, joka sisältää seuraavanlaisen rivin:
|
Rivin alussa on juuri antamasi käyttäjätunnus, sen perässä kaksoispiste ja lopussa salasana kryptattuna. Jos haluat lisätä tiedostoon lisää tunnuksia, se onnistuu komennolla
htpasswd .htpasswd tunnus
Komento on muuten sama kuin edellä käytetty, mutta siinä ei käytetä -c-parametria.
Ryhmätiedosto (.htgroup)
Ryhmätiedostojen käyttäminen ei ole välttämätöntä. Jos haluat päästää sivuille kaikki tunnuksen ja salasanan omistavat henkilöt, tai haluat rajoittaa sivuille pääsyn vain parille henkilölle, voit hypätä tämän osion yli. Mutta jos haluat luokitella käyttäjät ryhmiin (esim. kaverit, sukulaiset) ja päästää tietyn ryhmän jäsenet tietyille sivuille, ryhmätiedoston luominen saattaa helpottaa työtäsi.
Ryhmätiedosto on yleensä nimeltään .htgroup (voit toki käyttää muutakin nimeä) ja sen sisällöstä tulee seuraavanlainen:
|
Kuten huomaat, jokainen rivi koostuu ryhmän nimestä, kaksoispisteestä ja ryhmään kuuluvista tunnuksista. Uuden ryhmän lisäämisen ei pitäisi siis tuottaa suuria ongelmia: keksit vain ryhmälle nimen, lisäät kaksoispisteen perään ja kirjoitat tunnukset välilyönneillä erotettuina. Huomaa kuitenkin, että tunnusten täytyy löytyä käyttäjätiedostosta.
Asetustiedosto (.htaccess)
Kotihakemiston polku vaihtelee asiakaskohtaisesti. Voitte tarkistaa oman kotihakemistonne palveluhallinnasta, kohdasta Tietoja sopimuksesta. Seuraavaksi voimme luoda asetustiedoston jolla varsinainen suojaus tapahtuu. Avaa tekstieditori ja kirjoita allaolevat rivit .htaccess-nimiseen tiedostoon:
|
Seuraavaksi tuota tiedostoa pitää vielä hieman muokata. Alla on selostus jokaisesta asetuksesta:
AuthName-rivillä määritellään sivuston nimi, joka näkyy ikkunassa, jossa kysytään käyttäjän tunnusta ja salasanaa. Muista kirjoittaa se lainausmerkkeihin!
AuthUserFile sisältää tarkan hakupolun käyttäjätiedostoon. Esim. jos kotihakemistosi on /tarkka/polku/tunnus ja olet tallentanut käyttäjätiedoston sinne nimellä .htpasswd, kirjoita hakupoluksi /tarkka/polku/tunnus/.htpasswd.
AuthGroupFile sisältää tarkan hakupolun ryhmätiedostoon. Poista tämä rivi, mikäli et aio käyttää käyttäjäryhmiä.
AuthType kertoo käytettävän suojauksen tyypin. Nykyiset selaimet osaavat pääosin vain Basic-tyypin, joten tätä riviä ei tarvitse muuttaa.
require-rivillä määritellään, ketkä pääsevät käyttämään sivuja. Jos arvona on valid-user, kaikki käyttäjät, joiden tunnus löytyy käyttäjätiedostosta, pääsevät sivuille. Jos arvona on user jussi mikko, käyttäjät jussi ja mikko pääsevät sivuille. Jos arvona on group kaverit, kaikki kaverit-ryhmään kuuluvat pääsevät sivuille.
Kun .htaccess-asetustiedosto on valmis, siirrä se hakemistoon, jonka haluat suojata. Tämän jälkeen kaikki sivut, jotka löytyvät kyseisestä hakemistosta ja sen alihakemistoista, ovat suojattu eli niihin ei pääse ilman käyttäjätunnusta ja salasanaa. Jos haluat suojata useamman hakemiston, käyttäjä- ja ryhmätiedostoja ei tarvitse tehdä uudelleen: Teet vain jokaiseen hakemistoon oman .htaccess-tiedoston, joka määrittää, ketkä pääsevät katsomaan hakemiston ja sen alihakemistojen sivuja.