איך להגן על אתר או אפליקציית ווב עם סיסמה

Vercel

1. פותחים את הפרויקט בדשבורד של Vercel ועוברים ל-Settings, ואז ל-Deployment Protection.
2. ב-Password Protection, מדליקים את המתג.
3. בוחרים על מה להגן. Standard Protection משאיר את הדומיין של הפרודקשן פתוח, אז בחרו All Deployments כדי לכסות גם את הכתובת הראשית.
4. מזינים סיסמה ובוחרים Save. המבקרים מקלידים אותה פעם אחת לכל פריסה, ועוגייה זוכרת אותה.

כמה זה עולה רק במסלול Pro: $20 לחודש לכל פרויקט מוגן. כלול ב-Enterprise, לא זמין ב-Hobby.

האפשרות החינמית בכל המסלולים היא Vercel Authentication, שעכשיו מכסה גם את הפרודקשן. המבקרים מתחברים עם חשבון Vercel שיש לו גישה לפרויקט, אז כל עמית צריך חשבון כזה.

Netlify

1. פותחים את האתר ועוברים ל-Project configuration, General, Visitor access, Password Protection.
2. בוחרים Configure Password Protection, ואז Basic password protection, ומזינים את הסיסמה.
3. בוחרים All deploys כדי שגם האתר החי יהיה מכוסה ולא רק התצוגות המקדימות, ואז Save.
4. במסלולי Pro החדשים שמבוססים על קרדיטים, אותה הגדרה נמצאת תחת Visitor access, Project visibility: בוחרים Password.

/*  Basic-Auth: dana:a-long-password sam:another-long-password

כמה זה עולה מסלול Pro ($20 לחודש, מספר חברים בלתי מוגבל) או Enterprise. לא זמין ב-Free או ב-Personal.

לשם משתמש וסיסמה על חלק מהאתר, Pro ו-Enterprise מקבלים גם כלל Basic-Auth בקובץ _headers, כמו זה שלמטה. Netlify מציינים שב-basic auth אין דרך להתנתק.

Cloudflare Access

1. הדומיין שלכם צריך להיות ב-Cloudflare. בדשבורד, עוברים ל-Zero Trust, Integrations, Identity providers, ומוסיפים One-time PIN.
2. עוברים ל-Access controls, Applications, בוחרים Create new application, ואז Self-hosted and private, ומוסיפים את שם המארח (hostname) של האתר.
3. מוסיפים policy מסוג Allow. משתמשים ב-Emails ending in עם @yourcompany.com לחברה שלמה, או ב-Emails לאנשים מסוימים. Access חוסם את כל השאר כברירת מחדל.
4. בוחרים Create. המבקרים מקלידים את המייל שלהם, מקבלים PIN שעובד פעם אחת למשך 10 דקות, ונכנסים.

כמה זה עולה חינם עד 50 משתמשים, ואז $7 למשתמש לחודש, בחיוב שנתי.

זו לא סיסמה משותפת: כל אחד מוכיח שהוא קורא את תיבת המייל שלו, כך שאפשר לראות ולהסיר אנשים אחד אחד.

Cloudflare Worker עם basic auth

1. מתחילים מהדוגמה של Cloudflare ל-basic auth ב-Workers. היא מבקשת מהדפדפן שם משתמש וסיסמה ומשווה אותם בדרך שלא חושפת את הסיסמה דרך תזמון.
2. שומרים את הסיסמה כסוד, לא בקוד, עם הפקודה שלמטה.
3. מגישים את האתר רק ב-HTTPS. אחרת basic auth שולח את הסיסמה בלי הצפנה.

npx wrangler secret put PASSWORD

כמה זה עולה Workers Free מכסה 100,000 בקשות ביום. Workers Paid מתחיל ב-$5 לחודש.

Cloudflare מסמנים את הדוגמה שלהם כלא מתאימה לפרודקשן ומפנים ל-Cloudflare Access במקומה.

השרת שלכם

1. מתקינים את הכלי htpasswd (החבילה apache2-utils ב-Debian וב-Ubuntu, httpd-tools ב-Red Hat) ויוצרים קובץ סיסמאות עם שורה אחת לכל אדם.
2. ב-nginx, מוסיפים auth_basic ו-auth_basic_user_file לאתר, כמו בדוגמה שלמטה. ב-Apache, משתמשים ב-AuthType Basic, AuthUserFile ו-Require valid-user.
3. שומרים את קובץ הסיסמאות מחוץ לתיקיית האתר, ומשתמשים ב-HTTPS. התיעוד של Apache מזהיר ש-basic auth שולח את הסיסמה בלי הצפנה.

sudo htpasswd -c /etc/apache2/.htpasswd dana

# nginx
location / {
    auth_basic           "Staff only";
    auth_basic_user_file /etc/apache2/.htpasswd;
}

כמה זה עולה חינם בשרת שכבר מריצים.

ב-basic auth אפשר לתת סיסמה נפרדת לכל אדם, וזה עדיף על סיסמה משותפת אחת. עדיין מוסיפים ומסירים אנשים ידנית בשרת.