Como proteger um site ou app web com senha

Vercel

1. Abra o projeto no painel da Vercel e vá em Settings, depois Deployment Protection.
2. Em Password Protection, ative a chave.
3. Escolha o que proteger. Standard Protection deixa seu domínio de produção aberto, então escolha All Deployments para cobrir também o endereço principal.
4. Digite uma senha e clique em Save. Os visitantes digitam a senha uma vez por deployment, e um cookie se lembra dela.

Quanto custa Só no plano Pro: $20 por mês para cada projeto protegido. Incluído no Enterprise, não disponível no Hobby.

A opção grátis em todos os planos é a Vercel Authentication, que agora cobre a produção também. Os visitantes entram com uma conta na Vercel que tenha acesso ao projeto, então cada colega precisa de uma.

Netlify

1. Abra o site e vá em Project configuration, General, Visitor access, Password Protection.
2. Clique em Configure Password Protection, depois em Basic password protection, e digite a senha.
3. Escolha All deploys para cobrir o site no ar além das prévias, depois clique em Save.
4. Nos planos Pro mais novos, baseados em créditos, a mesma opção fica em Visitor access, Project visibility: escolha Password.

/*  Basic-Auth: dana:a-long-password sam:another-long-password

Quanto custa Plano Pro ($20 por mês, membros ilimitados) ou Enterprise. Não disponível no Free nem no Personal.

Para usuário e senha em parte do site, o Pro e o Enterprise também aceitam uma regra Basic-Auth num arquivo _headers, como a abaixo. A Netlify avisa que o basic auth não tem como sair da sessão.

Cloudflare Access

1. Seu domínio precisa estar na Cloudflare. No painel, vá em Zero Trust, Integrations, Identity providers e adicione One-time PIN.
2. Vá em Access controls, Applications, clique em Create new application, depois em Self-hosted and private, e adicione o hostname do seu site.
3. Adicione uma política Allow. Use Emails ending in com @yourcompany.com para a empresa toda, ou Emails para pessoas específicas. Por padrão, o Access barra todas as outras pessoas.
4. Clique em Create. Os visitantes digitam o e-mail, recebem um PIN que vale uma vez por 10 minutos e entram.

Quanto custa Grátis para até 50 usuários, depois $7 por usuário por mês, cobrado anualmente.

Isso não é uma senha compartilhada: cada pessoa prova que lê a própria caixa de entrada, então você vê e remove as pessoas uma a uma.

Um Cloudflare Worker com basic auth

1. Comece pelo exemplo de basic auth para Workers da Cloudflare. Ele pede ao navegador um usuário e uma senha e os compara de um jeito que não vaza a senha pelo tempo de resposta.
2. Guarde a senha como segredo, não no código, com o comando abaixo.
3. Sirva só por HTTPS. Sem isso, o basic auth envia a senha sem criptografia.

npx wrangler secret put PASSWORD

Quanto custa O Workers Free cobre 100.000 requisições por dia. O Workers Paid começa em $5 por mês.

A Cloudflare diz que o exemplo não é adequado para produção e indica o Cloudflare Access no lugar.

Seu próprio servidor

1. Instale a ferramenta htpasswd (pacote apache2-utils no Debian e no Ubuntu, httpd-tools no Red Hat) e crie um arquivo de senhas com uma linha por pessoa.
2. No nginx, adicione auth_basic e auth_basic_user_file ao site, como abaixo. No Apache, use AuthType Basic, AuthUserFile e Require valid-user.
3. Deixe o arquivo de senhas fora da pasta web e use HTTPS. A documentação do Apache avisa que o basic auth envia a senha sem criptografia.

sudo htpasswd -c /etc/apache2/.htpasswd dana

# nginx
location / {
    auth_basic           "Staff only";
    auth_basic_user_file /etc/apache2/.htpasswd;
}

Quanto custa Grátis num servidor que você já mantém.

O basic auth pode ter uma senha separada para cada pessoa, o que é melhor do que uma senha compartilhada. Mesmo assim, você adiciona e remove pessoas à mão no servidor.