[RÉGLÉ] Protection du dossier administrator = 404

[GraphiqueDesign]

Bonjour,
Je suis toujours dans ma migration OVH > 02Switch qui se passe assez bien.
Néanmoins, encore quelques petits soucis à régler.

J'ai toujours protégé mon dossier administrator par .htaccess + .htpasswd et cela a toujours fonctionné.
La même protection chez mon nouvel hébergeur provoque une erreur 404 lors de la connexion à l'administration du site.
J'ai posé la question au support mais la réponse me semble légère pour le moment, j'espère qu'ils vont approfondir.

Malheureusement, vous avez cela car vous bloquez l'accès à l'espace d'administration de votre site. De ce fait, il ne peut pas réaliser l'appel à la page et vous renvoie sur une 404. Le système de blocage par htaccess est utile pour protéger le répertoire global où est votre site dans le cas d'un site de dev par exemple si vous ne souhaitez pas que celui-ci soit accessible au public. Cependant, en bloquant uniquement le dossier d'administration de votre site, vous bloquez le bon fonctionnement du CMS directement.

En fait, le fichier .htaccess contient le texte suivant :

AuthUserFile "/home/graphiquedes/public_html/administrator/.htpasswd"
AuthName "Restricted Area"
AuthType Basic
require valid-user
RewriteEngine On
RewriteRule \.htpasswd$ - [F,L]

À part la chaine de localisation, je ne vois pas ce qui pourrait provoquer une erreur 404.
Qu'en pensez-vous ?

Merci !

[jfque]

Effectivement, ce type de protection est un des moyens classiques de sécuriser l'accès à l'administration et ne perturbe en rien le fonctionnement de Joomla!
Maintenant, je ne sais pas comment vous l'avez activé ? Souvent les hébergeurs ont une fonction "dossier protégé" et c'est par là qu'il faut/vaut mieux passer pour protégé un dossier, plutôt que directement ajouter le .htaccess ou passer par une extension comme AdminTools par exemple.

[Eddy.vh]

Effectivement, ce type de protection est un des moyens classiques de sécuriser l'accès à l'administration et ne perturbe en rien le fonctionnement de Joomla!
Maintenant, je ne sais pas comment vous l'avez activé ? Souvent les hébergeurs ont une fonction "dossier protégé" et c'est par là qu'il faut/vaut mieux passer pour protégé un dossier, plutôt que directement ajouter le .htaccess ou passer par une extension comme AdminTools par exemple.

Et je confirme qu'O2Switch propose ce type de protection depuis le cPanel. Cependant, je l'ai testé et bizarrement, lorsque je protège un répertoire et que je tente d'accéder à son contenu, je n'obtiens pas la demande des accès, mais une erreur 404.

Vais demander à O2 le comment du pourquoi.

[GraphiqueDesign]

Idem ici, toujours une erreur 404 sur le dossier administrator !
Cette fois en passant par la fonction "confidentialité du répertoire" de l'hébergeur.

[Eddy.vh]

Voilà la réponse du support o2Switch :

Bonjour,

Le problème vient du fichier .htaccess situé au dessus de votre dossier prive qui annule alors les effets du fichier .htaccess que vous avez placé en dessous.

Il est alors préférable d'utiliser un sous-domaine dans ce cas ce qui vous permettra d'être dans un répertoire indépendant du domaine actuel et de ne pas être soumis à la restriction de ce fichier .htaccess.

Cordialement,
XXXXXX.

J'imagine qu'il faudra voir du côté d'aesecure ?

[cavo789]

Bonjour

À essayer

RewriteEngine On
RewriteOptions Inherit

Inherit, s'il est supporté par l'hébergeur permet de stopper l'héritage des règles htaccess des dossiers parents.

Cela vaut la peine de tester...

Bonne soirée

[GraphiqueDesign]

Pas tout à fait le même son de cloche chez moi où à présent ça semble fonctionner

Actuellement, le problème vient du fichier .htaccess supérieur qui prend le relais dès qu'une erreur 401 ou 403 est présente.

J'ai alors corrigé le fichier .htaccess en rajoutant ces deux lignes :

ErrorDocument 401 "401"
ErrorDocument 403 "403"

Bon, je ne suis pas encore au bureau et ne peux pas vérifier ni voir quel fichier .htaccess a été modifié. Mais ce que je vois sur la tablette, c'est que ça ne fait plus de 404 !

[manu93fr]

Bonsoir,
a quoi te servent les deux dernières lignes ?
RewriteEngine On
RewriteRule \.htpasswd$ - [F,L]

je ne suis pas un spécialiste apache mais essaie peut etre ça

AuthName "Page d'administration protégée"
AuthType Basic
AuthUserFile "/home/xxx/xxx/xxx/.htpasswd"
Require valid-user

[cavo789]

Salut Manu

Bonsoir,
a quoi te servent les deux dernières lignes ?
RewriteEngine On
RewriteRule \.htpasswd$ - [F,L]

Le RewriteRule va nterdire l'accès en url au fichier .htpasswd. C'est une bonne chose mais un peu inutile dans /administrator car en principe, sur un site sécurisé, le .htaccess du dossier racine interdit l'accès à tout qui commence par un point. C'est donc superflu dans l'admin.

[Eddy.vh]

Bonjour

À essayer

RewriteEngine On
RewriteOptions Inherit

Inherit, s'il est supporté par l'hébergeur permet de stopper l'héritage des règles htaccess des dossiers parents.

Cela vaut la peine de tester...

Bonne soirée

Bonjour Christophe,

Malheureusement, il me retourne toujours l'erreur 404.

Bizarrement, si je désactive aesecure, l'erreur 404 continue d'être retournée…
C'est très étrange non ?

Ce qui me surprends encore plus, j'ai supprimé la protection activée depuis o2Switch et mis en place une protection depuis aesecure, je devrais alors être certain de la compatibilité entre la protection et le fichier .htaccess d'aesecure…

j'ai toujours le 404…

[cavo789]

Salut Eddy

Donc http tonsite/administrator/index.php retourne une 404 alors que le fichier index existe et cela avec ou sans .htaccess à la racine du site ? Ai-je bien compris ? (cela me paraît invraisemblable)
Si la réponse est oui, est-ce que le fait de créer un fichier bidon (test.txt) avec un petit "Coucou" dans /administrator, est-ce que tu accèdes au fichier ?
Si oui, très étrange (à investiguer)
Si pas, est-ce que le nom de domaine pointe sur le bon FTP ?

[GraphiqueDesign]

Malheureusement, il me retourne toujours l'erreur 404.

Bonjour Eddy,
Remets la protection de 02Switch et ajoute à ton fichier .htaccess qui est dans le dossier Administrator, ces 2 lignes :

ErrorDocument 401 "401"
ErrorDocument 403 "403"

[GraphiqueDesign]

Bonsoir,
a quoi te servent les deux dernières lignes ?
RewriteEngine On
RewriteRule \.htpasswd$ - [F,L]

Bonjour Manu,
En fait, ce sont les instructions que fournit Akeeba Admintools !

[Eddy.vh]

Bonjour.

@Christophe.
J'ai testé la protection sur un répertoire créé pour ce test. J'y ai place un fichier .pdf.
La 404 se présente lorsque j'appelle ce fichier voir un index.html de ce répertoire.

Le htaccess a la racine est toujours présent mais j'ai désactivé aesecure pour m'assurer qu'il ne soit pas en cause.

@GD.
Je vais tester ça aujourd'hui.

[Eddy.vh]

Bonjour Eddy,
Remets la protection de 02Switch et ajoute à ton fichier .htaccess qui est dans le dossier Administrator, ces 2 lignes :

ErrorDocument 401 "401"
ErrorDocument 403 "403"

GD.

J'ai ajouté ces lignes et j'obtiens bien la demande d'authentification.
J'ai même testé uniquement la première ligne, elle suffit apparemment.

Merci pour l'astuce.