Crie um arquivo chamado ".htpasswd".
O nome pode ser qualquer um que lhe convier, não necessariamente ".htpasswd".
Cole isso dentro do ".htpasswd":
login:$apr1$pfIh.j7l$Zlqiecx1ZoYfEoUn1QVA50
"login" é o usuário
"$apr1$pfIh.j7l$Zlqiecx1ZoYfEoUn1QVA50" é uma string encriptada. A senha é "pass".
No htaccess, adicione:
AuthType Basic
AuthName "Password Protected Area"
AuthUserFile /caminho/absoluto/do/arquivo/.htpasswd
Require valid-user
Isso é o suficiente para começar a usar.
Para gerar o password encriptado, há centenas de sites como esse: http://www.htaccesstools.com/htpasswd-generator/. Basta procurar no google "htaccess password generator" ou você mesmo pode gerar sem uso de internet.
*Até aqui abordamos de forma superficial. Caso queira saber mais sobre o assunto, continue com a leitura abaixo.
Gerando senha
Para ambiente Windows, no diretório de instalação do Apache, na pasta "bin", encontrará o executável "htpasswd.exe". Pelo CMD do Windows, acesse a pasta desse arquivo, exemplo
cd C:\Apache\httpd-2.4.20-win64-VC14\bin
*O local exato varia de acordo com a instalação no seu sistema.





A senha pode possuir tipos diferentes de encriptação e inclusive pode ser gerada como plain/text
, ou seja, em "texto plano", sem encriptação. O padrão é MD5. Note que o tipo de senha escolhido afeta o parâmetro AuthType
, portanto, caso encripte a senha com outro formato como o crypt, defina o AuthType
equivalente a encriptação utilizada. Consulte a documentação: http://httpd.apache.org/docs/current/howto/auth.html
*Para gerar a senha em outros ambientes como linux e mac, segue a mesma lógica. Apenas modificará o caminho do executável e alguns recursos.
Dicas de segurança
O caminho do arquivo .htpasswd deve estar num local privado, sem acesso público.
Exemplo, se o index do site estiver em c:/www/site/index.php, coloque o arquivo numa pasta fora da pasta pública
Como NÃO fazer:
c:/www/site/.htpasswd
Desse modo, terceiros podem fazer download do arquivo da senha. Por isso, evite colocar num local de acesso público
Sugestão de onde colocar:
c:/www/.htpasswd
Nomenclatura do arquivo de senha
O nome padrão é .htpasswd pois a instalação padrão do Apache verifica se esse arquivo existe e caso exista, ele é bloqueado de acesso externo caso esteja num diretório público. Isso é para os casos onde houver um descuido e deixar o arquivo com acesso público.
Apesar disso, não confie plenamente, pois nem todos os ambientes podem possuir a mesmo regra por padrão. Por via das dúvidas, deixe o arquivo fora da pasta pública.
Para mais detalhes sobre o assunto, leia a documentação: https://httpd.apache.org/docs/current/programs/htpasswd.html#examples
Permitir arquivos e diretórios específicos
Para permitir acesso livre a subdiretórios ou arquivos específicos, adicione a regra baseada na URI:
SetEnvIf Request_URI "(/caminho/completo/do/diretorio1/)$" allow
SetEnvIf Request_URI "(/caminho/completo/do/diretorio2/)$" allow
SetEnvIf Request_URI "(/caminho/completo/do/diretorio3/)$" allow
SetEnvIf Request_URI "(/caminho/completo/aquivo/especifico\.php)$" allow
Order allow,deny
Allow from env=allow
Satisfy any
Uma alternativa usando somente PHP
if (
!isset($_SERVER['PHP_AUTH_USER'], $_SERVER['PHP_AUTH_PW'])
|| $_SERVER['PHP_AUTH_USER'] !== 'login'
|| $_SERVER['PHP_AUTH_PW'] !== 'pass'
) {
header('WWW-Authenticate: Basic realm="Enter username and password."');
header('Content-Type: text/plain; charset=utf-8');
echo 'Restricted Area'; exit;
}
Nesse caso teria que adicionar o script em todas as páginas que deseja bloquear com a senha.
Se o seu sistema possuir um roteador, por exemplo, então bastaria apenas adicionar o código no roteador, normalmente o "index.php".
Contra
Outros arquivos como imagens, acesso a diretórios, etc, por fim, tudo que não for PHP e não possui o script, terá acesso livre.
Apesar disso, para um propósito geral como manter o site bloqueado de acesso público enquanto está em desenvolvimento ou manutenção, é o suficiente.
Pró
O ponto contra pode ser também um ponto positivo, pois como os arquivos de imagens estão com acesso livre, mecanismos de busca como google ainda poderão indexar imagens enquanto o sistema está numa manutenção temporária, por exemplo. Evitando, assim, perder rankeamento e indexações das imagens enquanto o site está bloqueado.
É também mais flexível, pois poderá criar as condições diretamente com o PHP, onde é mais fácil de lidar. No seu caso, você quer permitir acesso livre ao arquivo login.php. Então bastaria criar uma condicional que verifica qual o nome do arquivo que está em execução e gerar as condições que desejar.