Dieci trucchi con .htaccess che tutti do­vreb­be­ro conoscere

I webmaster possono uti­liz­za­re una serie di im­po­sta­zio­ni a livello di directory su web server NCSA com­pa­ti­bi­li come Apache HTTP Server con l’aiuto del file di con­fi­gu­ra­zio­ne .htaccess (acronimo di Hypertext Access). In questo modo è possibile stabilire, ad esempio, quali utenti possono accedere a de­ter­mi­na­ti file. Anche la creazione di rein­di­riz­za­men­ti au­to­ma­ti­ci è un tipico esempio di attacchi hacker tramite htaccess.

L’.htaccess è un file di testo grazie al quale utenti au­to­riz­za­ti possono mo­di­fi­ca­re le im­po­sta­zio­ni di una directory specifica uti­liz­zan­do web server NCSA com­pa­ti­bi­li. Questa tecnica è stata scoperta negli anni ’90 per il server web NCSA HTTPD, allora ri­vo­lu­zio­na­rio, ma oggi entra in azione so­prat­tut­to con il ben più uti­liz­za­to Apache. Questo processo viene gestito da una o più centrali di file di con­fi­gu­ra­zio­ne che si chiamano httpd.conf. Questi file di con­fi­gu­ra­zio­ne superiori vengono di solito salvati all’interno dell’elenco di programmi del server web stesso e definiti dall’am­mi­ni­stra­to­re del server. In questo file l’am­mi­ni­stra­to­re sta­bi­li­sce, tra le altre cose, se un utente riceve l’au­to­riz­za­zio­ne a cambiare la con­fi­gu­ra­zio­ne del server at­tra­ver­so trucchi .htaccess. Se riceve l’au­to­riz­za­zio­ne, l’utente può creare e mo­di­fi­ca­re i file .htaccess per ogni directory de­si­de­ra­ta, so­vra­scri­ven­do parti della con­fi­gu­ra­zio­ne a livello della directory.

Ogni volta che il server web accede a una pagina, so­vra­scri­ve ri­cor­si­va­men­te tutte le directory superiori senza tra­sfe­ri­re le in­for­ma­zio­ni; in altre parole il file .htaccess di una sot­to­di­rec­to­ry so­vra­scri­ve quello di una directory superiore. Le im­po­sta­zio­ni del server, che vengono mo­di­fi­ca­te con un file .htaccess, sono valide a partire dal momento in cui l’.htaccess viene me­mo­riz­za­to nella ri­spet­ti­va directory, senza necessità di riavviare il server. La tra­scri­zio­ne deve essere corretta al 100 per cento, in quanto un .htaccess scritto male impedisce, in alcuni casi, l’accesso a tutto il server. Se i trucchi .htaccess vengono usati cor­ret­ta­men­te, si ha accesso ad alcune funzioni utili per la gestione del server web. Poiché queste possono essere tra­sfe­ri­te ve­lo­ce­men­te e in­cor­po­ra­te in modo semplice nella struttura del sistema esistente, spesso si utilizza anche la de­no­mi­na­zio­ne attacchi hacker tramite .htaccess. 

Poiché i file .htaccess sono dei semplici file di testo, è facile crearli e mo­di­fi­car­li con un qualsiasi editor di testo. In base al tipo di accesso di­spo­ni­bi­le al server web dif­fe­ri­sce anche la procedura di creazione. Con la con­nes­sio­ne Telnet o SSH è possibile creare e mo­di­fi­ca­re file .htaccess di­ret­ta­men­te sul server. Se si ha soltanto un accesso FTP a di­spo­si­zio­ne, è ne­ces­sa­rio prima creare il file in locale e in seguito caricarlo. Nei sistemi Unix i file di con­fi­gu­ra­zio­ne di una directory specifica co­min­cia­no sempre con un punto. Questo lo ca­rat­te­riz­za come “nascosto”, che gra­fi­ca­men­te, uti­liz­zan­do un client FTP, può far apparire il file .htaccess caricato come scomparso. Durante la creazione di un file .htaccess in locale su sistemi Windows il punto genera inoltre un problema fa­cil­men­te ri­sol­vi­bi­le. Affinché l’editor non ci aggiunga la tipica esten­sio­ne .txt, si dovrebbe scegliere la voce “tutti i file” quando lo si salva. Quando il file .htaccess è stato scritto con il comando de­si­de­ra­to, va spostato nella directory ap­pro­pria­ta. A questo punto diventa subito valido, anche per tutte le sot­to­di­rec­to­ry.

Grazie ai file .htaccess gli utenti au­to­riz­za­ti dall’am­mi­ni­stra­to­re del server hanno la pos­si­bi­li­tà di in­fluen­za­re in modo rapido e semplice la con­fi­gu­ra­zio­ne del server web. Così per esempio, grazie all’au­ten­ti­ca­zio­ne http, possono pro­teg­ge­re intere directory da accessi non au­to­riz­za­ti. Inoltre è possibile impostare pagine di errore o rein­di­riz­za­men­to. Esistono diversi sug­ge­ri­men­ti e trucchi.htaccess. I dieci più im­por­tan­ti sono descritti nei seguenti paragrafi: 

2. Redirect

Un grande ambito di utilizzo dei file .htaccess sono i re­di­rec­ting o rein­di­riz­za­men­ti. È possibile per esempio rein­di­riz­za­re singoli file all’interno di un sito o anche tra­smet­te­re le richieste a un altro dominio. Questo è utile so­prat­tut­to se si tra­sfe­ri­sce un sito.  Una volta salvato nella root, il seguente codice fa in modo che le richieste al dominio ori­gi­na­rio vengano tra­sfe­ri­te dal server al nuovo dominio:

3.  Creare un’area protetta da password

Chi non volesse scrivere uno script per login in PHP, ma ha comunque bisogno di pro­teg­ge­re una directory o dei file sul suo server, può uti­liz­za­re invece dei trucchi .htaccess per la con­fi­gu­ra­zio­ne di ambiti protetti. In­nan­zi­tut­to per questo tipo di password è ne­ces­sa­rio un secondo file chiamato .htpasswd, nel quale vengono salvate le ri­spet­ti­ve password. Queste vanno inserite nel sistema Unix solo in modo cifrato (a tal scopo esistono diversi ge­ne­ra­to­ri di .htpasswd). Ecco come creare directory protette:

4. Aumentare il limite di memoria PHP

L’utilizzo di ap­pli­ca­zio­ni PHP è soggetto a un memory limit preciso. Il memory limit determina l’utilizzo massimo della memoria, che tutti gli script PHP uti­liz­za­ti sul server possono in­fluen­za­re. Con il seguente comando nel file .htaccess è possibile aumentare la quantità di memoria:

5. Mo­di­fi­ca­re il fuso orario del server

Se il server web è impostato su un fuso orario sbagliato, è possibile mo­di­fi­car­lo sull’.htaccess con il seguente codice:

6. Bloccare indirizzi IP

È possibile impedire l’accesso al sito a indirizzi e ambiti IP specifici. Con il giusto codice nel file .htaccess è possibile escludere ad­di­rit­tu­ra tutti gli indirizzi IP e ga­ran­tir­ne l’accesso soltanto ad alcuni. Così si può per esempio rendere di­spo­ni­bi­le l’accesso al web soltanto ai di­pen­den­ti nell’ambito di un intranet aziendale. Il seguente comando riassume alcuni possibili accessi limitati:

7. Rein­di­riz­za­men­to del sito da HTTP a HTTPS

Chi per il suo dominio utilizza un cer­ti­fi­ca­to SSL, ha la pos­si­bi­li­tà di rein­di­riz­zar­lo at­tra­ver­so un comando .htaccess su un pro­to­col­lo HTTPS cifrato:

8. Attivare l’accesso ai file tramite il browser

Con il seguente comando si può mostrare il contenuto della cartella nel browser e renderlo sca­ri­ca­bi­le da altri utenti:

9. Bloccare l'ho­tlin­king delle immagini

Gli hotlink sono dei link mediante i quali una terza persona collega un file mul­ti­me­dia­le sul suo sito web, so­li­ta­men­te immagini, che sono salvate su un altro host. Così per il pro­prie­ta­rio vero si crea un aumento del volume di dati, che non è causato da lui. Grazie ad alcuni trucchi .htaccess è possibile bloccare il col­le­ga­men­to su de­ter­mi­na­ti tipi di dati del proprio sito con il seguente comando:

10. Con­fi­gu­ra­re il set di caratteri per documenti

I caratteri speciali creano spesso problemi, se non si attiva la giusta codifica di caratteri. Con il file .htaccess si può co­di­fi­ca­re, a livello di directory, quale sistema uti­liz­za­re per i ri­spet­ti­vi documenti. Il seguente comando definisce la codifica UTF-8 per tutti i documenti:

I trucchi e sug­ge­ri­men­ti qui elencati per uti­liz­za­re i file .htaccess per la con­fi­gu­ra­zio­ne del server, danno solo una piccola idea dell’ampio spettro di fun­zio­na­li­tà di questo pratico file. Tutti i comandi vengono subito eseguiti dal server web, senza che sia ne­ces­sa­rio un riavvio completo.