.htaccess soll extern schützen ohne passwort

[Sven Rautenberg]

Moin!

Deny from all
Allow from "meine Host-IP" ?

Oder deny,allow
Allow from subnetz

Nö. Die letzte Einstellung von Order definiert den Default für nicht näher erwähnte Zugriffe. Mit "Order deny,allow" wird der Zugriff defaultmäßig erlaubt, es macht dann nur Sinn, zusätzliche Verbote zu definieren.

Umgekehrt war es schon richtig:
Order allow, deny
Allow from IRGENDWOHER

Default ist dann kein Zugriff, Erlaubnisse werden explizit definiert.

Und an Matthias: Irgendwie mußt du ja wissen, dass der Zugriff von einer berechtigten Gruppe kommt, die die Informationen sehen darf. Wahlweise geschieht dies durch:
a) Authentifizierung mit Usernamen und Passwort
b) Identifikation eines möglichst schwer fälschbaren Merkmals. Und das ist in diesem Fall eben die IP-Adresse, die sich zwar grundsätzlich fälschen ließe (IP-Spoofing), aber die Antwort ginge dann ja an die falsche (erlaubte) Adresse, und nicht an den Fälscher.

Wenn du es also nicht konfigurieren kannst, dass die Menschen, die Zugriff haben sollen, alle aus einem oder mehreren definierten und auch niemals von anderen benutzten IP-Bereichen kommen (beispielsweise, weil deren IP dynamisch vergeben wird), dann kannst du den Zugang ohne Passwort vergessen.

- Sven Rautenberg