Por qué una contraseña de directorio de Apache no protege el proxy directo
Una página de bienvenida protegida y una solicitud autorizada de proxy directo usan contextos de configuración distintos. Coloque la política del proxy en la configuración del servidor o del host virtual.
La solicitud de contraseña en la página de inicio de Apache protege solo ese recurso local. No demuestra que las solicitudes arbitrarias de proxy directo requieran el mismo inicio de sesión.
.htaccess se aplica a la configuración de directorio admitida; no es un filtro final para cada solicitud. Las secciones ProxyRequests y <Proxy> pertenecen a la configuración del servidor o del host virtual. Coloque allí la autorización del proxy directo, con la sintaxis de autorización de Apache 2.4 y la configuración de autenticación necesaria.
Para un servicio privado, combine deliberadamente los requisitos previstos de origen de cliente y de cuenta. Después examine el host virtual que selecciona cada escucha, incluidos los hosts predeterminados y la configuración heredada. Acceder a un nombre de host protegido no demuestra que otro host activo tenga las mismas restricciones de proxy.
ProxyPass cumple otra función: normalmente asigna un espacio de nombres local a un backend. Añadirlo no autoriza destinos de reenvío arbitrarios.
Si solo puede editar los archivos de documentos de un sitio, es posible que carezca del alcance administrativo para establecer el límite de acceso de este servicio. Obtenga el cambio de configuración del servidor o use un proxy existente aprobado; una contraseña de directorio no puede sustituirlo.