.htaccess (hypertext access) je soubor, který dodatečně upravuje chování serveru, na úrovni daného adresáře. Jinými slovy přepisuje pravidla pro adresář, v kterém se nachází a další podadresáře. Umí některé věci, které je opravdu dobré znát.
Před jakoukoliv úpravou je dobré si jej zazálohovat, protože pokud nebude fungovat správně většinou skončí všechny požadavky na soubory v daném adresáři chybou 500. Také při nevhodném používání přepisování URL může vést ke smyčce.
K úpravě souboru budete potřebovat FTP klienta, který má možnost pracovat se skrytými soubory. V Unixových systémech totiž soubory začínající tečkou jsou považované za skryté. Ovšem je to jen případ některých hostingů.
Ochrana obsahu adresáře
Mezi největší výhody .htaccess patří možnost zablokovat přístup k souborům v určitém adresáři. Dá se tak nejen zabezpečit administrace ale také odrazit slabší DoS útok, které způsobují automatické brute force útoky.
Pokud do adresáře nahrajete .htaccess s následujícím kódem bude do něj mít přístup, každý z IP adresou aaa.bbb.ccc.ddd
Order deny,allow Deny from all Allow from aaa.bbb.ccc.ddd
V případě, že chcete aby měl přístup více lidí IP adresy vypište za sebou.
Order deny,allow
Deny from all
Allow from aaa.bbb.ccc.ddd eee.fff.ggg.hhh
Zákaz procházení adresářů
Standardně mají hostingy nastavené zakázání procházení adresářů. Ovšem najdou se výjimky. Pokud se v nich nenachází index.php/html tak v nich případný útočník uvidí všechny soubory. Naštěstí s tím nám pomůže .htaccess stačí do něj přidat následující řádek.
Options -Indexes
Vypnutí PHP v adresáři
Jeden z nejčastějších útoků je propašovat přes chybu v pluginu či šabloně PHP soubor do adresáře, kam se běžně ukládají obrázky. Jakmile se to útočníkovi povede, tak má v podstatě vyhráno, protože fakticky už má backdoor k vašemu webu. .htaccess mu to však může pěkně ztížit. Stačí, když v adresáři do kterého se nahrávají multimediální soubory nahrajete .htaccess s následujícím kódem:
<Files *.php> deny from all </Files>
U WordPress to jsou adresáře:
- /wp-content/uploads/
- /wp-includes/
Zákaz hotlinkování
Někteří lidé nejen kopírují vaše obrázky, ale občas si je rovnou vkládají na stránky. Přitom tím, že se nachází pořád na vašem webu, vám vytěžují hosting. Zvláště pokud jsou limitované přenosy tak to můžete pocítit. Navíc u navštěvovaných webů, který takto stahuje obsah od vás, může dojít k znatelnému zpomalení toho vašeho. Řešením je zakázání stahování obsahu od vás.
Tuto metodu používají hlavně eshopy na ochranu obrázků jejich zboží.
.htaccess umí navíc místo stahovaného obrázku umístit jakýkoliv jiný. Takže můžete případného kopírovače upozornit anebo si udělat reklamu.
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?vašedoména.cz [NC]
RewriteRule \.(jpg|jpeg|png|gif)$ varovani.png [NC,R,L]
Nezapomeňte si přenastavit vašedoména.cz na tu vaši a pak varovani.png. U varovani.png dbejte na co nejvyšší kompresi (minimum barev pomůže). Pokud by někdo umístil váš obrázek třeba na web s návštěvností v desítkách tisíc, tak pocítíte co jsou to velké přenosy. Nezapomeňte, že se varovani.png musí nacházet na vaší doméně (nikoliv subdoméně/doméně třetího řádu – to už by nefungovalo, protože by se aktivovalo pravidlo o zákazu hotlinkování).
