Opciones de Seguridad con .htaccess

htaccess es para muchas otras cosas, además de la aplicación de Redireccionamientos y personalización de las páginas de error. Otra de las funciones principales de la herramienta es controlar aspectos internos dentro de las carpetas del servidor como la seguridad, el control de acceso a usuarios, etc. En este nuevo artículo de la serie veremos más a detalle estas opciones:

Control de Acceso a Carpetas: algunos ejemplos comunes de este tipo de opción con htaccess es el control de acceso a los directorios mediante contraseñas, bloqueos de motores de SPAM, restricciones por IP, etc.

# Permitir el acceso al motor de Google o a alguien con contraseña
AuthName «Under Development»
AuthUserFile /home/askapache.com/.htpasswd
AuthType basic
Require valid-user
Order Deny,Allow
Deny from all
Allow from 1.1.1.1 w3.org googlebot.com google.com google-analytics.com
Satisfy Any

# Redireccionar todo el tráfico a otro sitio, excepto para una IP
ErrorDocument 403 http://www.somewhere.com
Order deny,allow
Deny from all
Allow from 1.1.1.1

Algunas otras aplicaciones dentro del control del acceso son: forzar la descarga para determinados tipos de archivos y la asignación de scripts para la ejecución de determinadas tareas.

# Archivos .AVI, .MPG, .MOV y .PDF se descargan directamente
AddType application/octet-stream .avi
AddType application/octet-stream .mpg
AddType application/octet-stream .mov
AddType application/octet-stream .pdf

# Procesar archivos .GIF con un Script CGI
Action image/gif /cgi-bin/filter.cgi

# Procesar peticiones para tipos específicos de petición
Script PUT /cgi-bin/upload.cgi
Script HEAD /cgi-bin/head-robot.cgi

Opciones de Seguridad Avanzadas: este tipo de tecnicas también son importantes y brindan un mayor nivel de seguridad. Entre estas tenemos el uso del protocolo HTTPS y SSL y el del archivo .htpasswd:

# Arreglar el problema de la doble autenticación y garantizando que la
# autenticación via .htpasswd pueda ser ingresada solamente con HTTPS
SSLOptions +StrictRequire
SSLRequireSSL
SSLRequire %{HTTP_HOST} eq «somewhere.com»
ErrorDocument 403 https://somewhere.com

# Redireccionar todo lo servido por el puerto 80 a HTTPS
RewriteCond %{SERVER_PORT} ^80$
RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R,L]

Las siguientes son opcines de seguridad via htpasswd:

# Proteger multiples tipos de archivos
<FilesMatch «^(exec|env|doit|phpinfo|w)\.*$»>
    AuthName «htaccess password prompt»
    AuthUserFile /.htpasswd
    AuthType basic
    Require valid-user
</FilesMatch>

# Restringir acceso por IP
Allow/Deny from 10.1.0.0/255.255.0.0

El acceso puede hacerse parcialmente (es decir sin una IP especifica sino permitiendo a todos los que esten dentro de determinado rango).

Este tipo de ejemplos son muy prácticos y sencillos de aprender. Igualmente, seguiré investigando nuevas opciones y funciones para htaccess y publicando periódicamente actualizaciones a los ejemplos. De igual manera es necesario tener siempre a la mano una versión de: Apache HTACCESS CheatSheet para futuras consultas.

Artículos Relacionados

• .htaccess: Configurando nuestro Servidor Apache
• Habilitar Mod_Rewrite para Apache en Ubuntu
• htaccess por defecto
• URL’s amigables con .htaccess