Een map of website beveiligen met een wachtwoord in Plesk

Wil je een testsite, een map met documenten of je hele website alleen openzetten voor mensen die jij een wachtwoord geeft? In Plesk regel je dat bij je domein met Password-Protected Directories. Je kiest de map, maakt een of meer gebruikers aan en vanaf dat moment vraagt de browser van elke bezoeker om een gebruikersnaam en wachtwoord. Zoekmachines komen er ook niet in, dus de inhoud verschijnt niet in Google.

Plesk open je met één klik vanuit het klantenportaal. Plesk staat in het Engels, daarom gebruiken we in dit artikel de Engelse namen van knoppen en menu's.

Wanneer zet je een wachtwoord op een map?

• Een testsite of nieuwe website die nog niet af is: je laat hem zien aan je opdrachtgever of collega's, terwijl de rest van de wereld er nog niet bij kan.
• Een map met bestanden voor klanten, leden of je team, zoals prijslijsten, handleidingen of foto's.
• Een tool of beheeromgeving op je website die alleen voor jezelf bedoeld is.

Google adviseert zelf om vertrouwelijke inhoud met een wachtwoord af te schermen: dan kan alleen wie de inloggegevens heeft erbij en verschijnt de inhoud niet in de zoekresultaten (zie de uitleg van Google).

Een map beveiligen met een wachtwoord

1. Open Plesk vanuit het klantenportaal: ga naar Diensten > Sites, open je site en klik op Inloggen in Plesk. Meer hierover lees je in Plesk openen vanuit het klantenportaal.
2. Je komt op Websites & Domains. Klap je domein open en klik onderaan bij Security op Password-Protected Directories. Staat je testsite op een eigen subdomein, zoals staging.jouwdomein.nl, open dan de kaart van dat subdomein.
3. Klik op Add Protected Directory.
4. Typ bij Directory name achter de schuine streep de map die je wilt afschermen, bijvoorbeeld /staging. De map telt vanaf de hoofdmap van je website (httpdocs): /staging is de map httpdocs/staging en opent op https://jouwdomein.nl/staging. Bestaat de map nog niet, dan maakt Plesk hem voor je aan. Wil je je hele website afschermen, laat dan alleen de / staan.
5. Vul bij Title of the protected area een korte naam in, bijvoorbeeld Staging. Plesk geeft die naam mee aan het inlogvenster van de browser en toont hem in de lijst.
6. Klik op Create. Je map staat nu in de lijst.

Vanaf dit moment is de map afgeschermd, ook alle bestanden en mappen erin. Er is alleen nog niemand die erin mag: voeg dus meteen een gebruiker toe.

Gebruikers toevoegen

1. Klik in de lijst op de naam van je map, bijvoorbeeld /staging.
2. Klik op Add User.
3. Vul bij Username een gebruikersnaam in. Klik bij Password op Generate voor een sterk wachtwoord en kopieer het met de knop ernaast, of typ zelf een wachtwoord. Met het oogje maak je het zichtbaar.
4. Klik op Create en geef de gebruikersnaam en het wachtwoord aan wie erin mag.

Je kunt per map zoveel gebruikers aanmaken als je wilt, bijvoorbeeld één per collega of per klant. Zo neem je later één persoon de toegang af, terwijl de rest erin blijft. Een gebruiker hoort bij één map: wie toegang heeft tot /staging, komt daarmee niet in een andere beveiligde map.

Wat zien je bezoekers?

Wie de map opent, krijgt van de browser een venster met de vraag om een gebruikersnaam en wachtwoord. Met de juiste gegevens opent de pagina. Bij een verkeerd wachtwoord vraagt de browser het opnieuw, en wie op Annuleren klikt, ziet de melding 401 Unauthorized. Dat geldt voor iedereen zonder inloggegevens, ook voor zoekmachines.

• Je wachtwoord gaat versleuteld over het internet. Je website stuurt bezoekers standaard door van http naar https, en pas daarna vraagt de browser om het wachtwoord. Daarvoor heeft je domein of subdomein een SSL-certificaat nodig. Hoe je dat regelt, lees je in Let's Encrypt: gratis SSL-certificaat instellen.
• Je certificaat blijft zich vernieuwen. Ook als je je hele website afschermt, kan Let's Encrypt je domein blijven controleren.
• Je browser onthoudt je inlog tot je hem afsluit. Wil je zien wat een bezoeker zonder wachtwoord ziet, open de pagina dan in een privévenster.

Plesk zet de beveiliging in de instellingen van de webserver en bewaart de wachtwoorden buiten je website. Daarom zie je in Bestandsbeheer geen .htaccess- of .htpasswd-bestand voor deze beveiliging. Wil je het liever met de hand instellen in een .htaccess-bestand, dan lees je in .htaccess: redirects, beveiliging en meer hoe dat werkt.

Wachtwoord wijzigen, toegang intrekken of de beveiliging weghalen

Ga naar Websites & Domains > Password-Protected Directories en kies wat je wilt doen:

Plesk laat een bestaand wachtwoord niet zien. Is iemand het wachtwoord kwijt, stel dan met het sleuteltje een nieuw in.

Een WordPress-site afschermen

Voor een complete WordPress-site, zoals een stagingkopie, heeft WP Toolkit in Plesk een eigen schakelaar: Password protection onder Tools op de kaart van je site. Je stelt daar één gebruikersnaam en wachtwoord in en klikt op Protect. Hoe dat gaat, lees je in WordPress klonen: een stagingkopie maken met WP Toolkit.

Let bij WordPress op twee dingen:

• Zet het wachtwoord op je hele site, niet alleen op de map wp-admin. In wp-admin staat ook admin-ajax.php, het bestand waarmee plugins zoals contactformulieren en webshops op de voorkant van je site werken. Met een wachtwoord op wp-admin vragen die onderdelen ook je bezoekers om een wachtwoord. WordPress waarschuwt hier zelf voor in de handleiding over beveiliging. Beveilig je beheeromgeving liever met een sterk wachtwoord en een tweede stap bij het inloggen.
• Diensten die je site aanroepen, komen er ook niet in. Een betaalprovider die een betaling bevestigt of een dienst die controleert of je site online is, krijgt dezelfde vraag om een wachtwoord. Een beveiligde map past daarom bij een testsite of een nieuwe website, en niet bij een live webshop.

Wat is /plesk-stat in de lijst?

In de lijst staat al een map /plesk-stat met de titel Domain statistics. Daarmee schermt Plesk de webstatistieken van je website af. Laat die regel staan: met Remove Protection zet je je statistieken open voor iedereen.

Kom je er niet uit of zie je bij je domein geen Password-Protected Directories? Maak een supportticket aan in het klantenportaal, dan kijken we met je mee. In Wegwijs in Plesk vind je wat er nog meer bij je domein staat.