So schützen Sie eine Website oder Web-App mit einem Passwort

Vercel

1. Öffnen Sie das Projekt im Vercel-Dashboard und gehen Sie zu Settings und dann Deployment Protection.
2. Schalten Sie unter Password Protection den Schalter ein.
3. Wählen Sie, was geschützt werden soll. Standard Protection lässt Ihre Produktionsdomain offen, wählen Sie also All Deployments, damit auch die Hauptadresse geschützt ist.
4. Geben Sie ein Passwort ein und wählen Sie Save. Besucher geben es einmal pro Deployment ein, ein Cookie merkt es sich.

Was es kostet Nur im Pro-Tarif: $20 im Monat für jedes geschützte Projekt. Bei Enterprise enthalten, bei Hobby nicht verfügbar.

Die kostenlose Option in jedem Tarif ist Vercel Authentication, die jetzt auch die Produktion abdeckt. Besucher melden sich mit einem Vercel-Konto an, das Zugriff auf das Projekt hat, jede Kollegin und jeder Kollege braucht also eins.

Netlify

1. Öffnen Sie die Seite und gehen Sie zu Project configuration, General, Visitor access, Password Protection.
2. Wählen Sie Configure Password Protection, dann Basic password protection, und geben Sie das Passwort ein.
3. Wählen Sie All deploys, damit neben den Vorschauen auch die Live-Seite geschützt ist, und dann Save.
4. In neueren Pro-Tarifen mit Credits liegt dieselbe Einstellung unter Visitor access, Project visibility: Wählen Sie Password.

/*  Basic-Auth: dana:a-long-password sam:another-long-password

Was es kostet Pro-Tarif ($20 im Monat, unbegrenzt viele Mitglieder) oder Enterprise. Nicht verfügbar bei Free oder Personal.

Für Benutzername und Passwort auf einem Teil der Seite akzeptieren Pro und Enterprise auch eine Basic-Auth-Regel in einer _headers-Datei, wie unten. Netlify weist darauf hin, dass man sich bei Basic Auth nicht abmelden kann.

Cloudflare Access

1. Ihre Domain muss bei Cloudflare liegen. Gehen Sie im Dashboard zu Zero Trust, Integrations, Identity providers und fügen Sie One-time PIN hinzu.
2. Gehen Sie zu Access controls, Applications, wählen Sie Create new application, dann Self-hosted and private, und tragen Sie den Hostnamen Ihrer Seite ein.
3. Fügen Sie eine Allow-Richtlinie hinzu. Nehmen Sie Emails ending in mit @yourcompany.com für die ganze Firma oder Emails für einzelne Personen. Alle anderen weist Access standardmäßig ab.
4. Wählen Sie Create. Besucher geben ihre E-Mail ein, bekommen eine PIN, die einmal und 10 Minuten lang gilt, und werden hereingelassen.

Was es kostet Kostenlos für bis zu 50 Nutzer, danach $7 pro Nutzer im Monat, jährlich abgerechnet.

Das ist kein gemeinsames Passwort: Jede Person beweist, dass sie ihr eigenes Postfach liest, so sehen Sie jede Person einzeln und können sie einzeln entfernen.

Ein Cloudflare Worker mit Basic Auth

1. Starten Sie mit dem Basic-Auth-Beispiel von Cloudflare für Workers. Es fragt den Browser nach Benutzername und Passwort und vergleicht sie so, dass das Passwort nicht über die Laufzeit verraten wird.
2. Speichern Sie das Passwort mit dem Befehl unten als Secret, nicht im Code.
3. Liefern Sie die Seite nur über HTTPS aus. Sonst schickt Basic Auth das Passwort unverschlüsselt.

npx wrangler secret put PASSWORD

Was es kostet Workers Free deckt 100.000 Anfragen am Tag ab. Workers Paid beginnt bei $5 im Monat.

Cloudflare kennzeichnet sein Beispiel als nicht geeignet für den Produktivbetrieb und verweist stattdessen auf Cloudflare Access.

Ihr eigener Server

1. Installieren Sie das Tool htpasswd (Paket apache2-utils bei Debian und Ubuntu, httpd-tools bei Red Hat) und legen Sie eine Passwortdatei mit einer Zeile pro Person an.
2. Fügen Sie in nginx auth_basic und auth_basic_user_file zur Seite hinzu, wie unten. In Apache nutzen Sie AuthType Basic, AuthUserFile und Require valid-user.
3. Legen Sie die Passwortdatei außerhalb des Web-Ordners ab und nutzen Sie HTTPS. Die Apache-Doku warnt, dass Basic Auth das Passwort unverschlüsselt schickt.

sudo htpasswd -c /etc/apache2/.htpasswd dana

# nginx
location / {
    auth_basic           "Staff only";
    auth_basic_user_file /etc/apache2/.htpasswd;
}

Was es kostet Kostenlos auf einem Server, den Sie schon betreiben.

Basic Auth kann für jede Person ein eigenes Passwort speichern, das ist besser als ein gemeinsames Passwort. Personen hinzufügen und entfernen müssen Sie trotzdem von Hand auf dem Server.