Come proteggere con password un sito o una web app

Vercel

1. Apri il progetto nella dashboard di Vercel e vai su Settings, poi Deployment Protection.
2. In Password Protection, attiva l’interruttore.
3. Scegli cosa proteggere. Standard Protection lascia aperto il dominio di produzione, quindi scegli All Deployments per coprire anche l’indirizzo principale.
4. Inserisci una password e seleziona Save. I visitatori la digitano una volta per ogni pubblicazione, e un cookie la ricorda.

Quanto costa Solo piano Pro: $20 al mese per ogni progetto protetto. Inclusa in Enterprise, non disponibile su Hobby.

L’opzione gratuita su tutti i piani è Vercel Authentication, che ora copre anche la produzione. I visitatori accedono con un account Vercel che ha accesso al progetto, quindi ogni collega ne deve avere uno.

Netlify

1. Apri il sito e vai su Project configuration, General, Visitor access, Password Protection.
2. Seleziona Configure Password Protection, poi Basic password protection, e inserisci la password.
3. Seleziona All deploys così è coperto il sito online oltre alle anteprime, poi Save.
4. Sui piani Pro più recenti basati sui crediti, la stessa impostazione è in Visitor access, Project visibility: scegli Password.

/*  Basic-Auth: dana:a-long-password sam:another-long-password

Quanto costa Piano Pro ($20 al mese, membri illimitati) o Enterprise. Non disponibile su Free o Personal.

Per un nome utente e una password su una parte del sito, Pro ed Enterprise accettano anche una regola Basic-Auth in un file _headers, come quella qui sotto. Netlify fa notare che con la basic auth non c’è modo di uscire.

Cloudflare Access

1. Il tuo dominio deve essere su Cloudflare. Nella dashboard, vai su Zero Trust, Integrations, Identity providers, e aggiungi One-time PIN.
2. Vai su Access controls, Applications, seleziona Create new application, poi Self-hosted and private, e aggiungi l’hostname del tuo sito.
3. Aggiungi una policy Allow. Usa Emails ending in con @yourcompany.com per tutta l’azienda, o Emails per persone specifiche. Access blocca tutti gli altri per impostazione predefinita.
4. Seleziona Create. I visitatori digitano la loro email, ricevono un PIN valido una sola volta per 10 minuti, ed entrano.

Quanto costa Gratis fino a 50 utenti, poi $7 per utente al mese, fatturati annualmente.

Non è una password condivisa: ogni persona dimostra di leggere la propria casella email, quindi puoi vedere e rimuovere le persone una per una.

Un Cloudflare Worker con basic auth

1. Parti dall’esempio di basic auth di Cloudflare per i Workers. Chiede al browser nome utente e password e li confronta in un modo che non fa trapelare la password attraverso i tempi di risposta.
2. Salva la password come segreto, non nel codice, con il comando qui sotto.
3. Servilo solo in HTTPS. Altrimenti la basic auth invia la password in chiaro.

npx wrangler secret put PASSWORD

Quanto costa Workers Free copre 100.000 richieste al giorno. Workers Paid parte da $5 al mese.

Cloudflare indica che il suo esempio non è adatto alla produzione e consiglia invece Cloudflare Access.

Il tuo server

1. Installa lo strumento htpasswd (pacchetto apache2-utils su Debian e Ubuntu, httpd-tools su Red Hat) e crea un file di password con una riga per persona.
2. In nginx, aggiungi auth_basic e auth_basic_user_file al sito, come qui sotto. In Apache, usa AuthType Basic, AuthUserFile e Require valid-user.
3. Tieni il file di password fuori dalla cartella web, e usa HTTPS. La documentazione di Apache avverte che la basic auth invia la password in chiaro.

sudo htpasswd -c /etc/apache2/.htpasswd dana

# nginx
location / {
    auth_basic           "Staff only";
    auth_basic_user_file /etc/apache2/.htpasswd;
}

Quanto costa Gratis su un server che hai già.

La basic auth può avere una password diversa per ogni persona, che è meglio di una sola password condivisa. Però aggiungi e togli le persone a mano sul server.