Re: htaccess en htpasswd

[Arjen Bax <arjenbax@googlemail.com>]

Op 2010/3/9 schreef Mathijs

> Ten eerste is .htaccess en .htpasswd niet nodig voor authenticatie als je
> ook toegang hebt tot httpd.conf, gebruik dan iets als:
>
> <Directory "/var/www/example.com/htdocs/geheim">
> AuthType Basic
> AuthName "Geheim!"
> AuthUserFile "/var/www/example.com/users"
> Require valid-user
> </Directory>

Volgens mij adviseer je hier om de AuthUserFile file met usernamen en
wachtwoorden neer te zetten onder de DocumentRoot van de virtual host
example.com, zodat dit bestand op te vragen is via url
http://example.com/users. Dit veroorzaakt een gapend gat in de
beveiliging.
Zorg er altijd voor dat administratieve bestanden en andere bestanden
waar voorbijgangers niets in te zoeken hebben, buiten de DocumentRoot
staan.