Pourquoi un mot de passe de répertoire Apache ne protège pas le proxy direct
Une page d'accueil protégée et une requête de proxy direct autorisée relèvent de contextes de configuration différents. Placez la politique de proxy dans la configuration du serveur ou de l'hôte virtuel.
L'invite de mot de passe sur la page d'accueil d'Apache ne protège que cette ressource locale. Elle n'établit pas que des requêtes de proxy direct arbitraires exigent la même authentification.
.htaccess s'applique à la configuration de répertoire prise en charge ; ce n'est pas un filtre final pour chaque requête. Les sections ProxyRequests et <Proxy> appartiennent à la configuration du serveur ou de l'hôte virtuel. Placez-y l'autorisation du proxy direct, avec la syntaxe d'autorisation d'Apache 2.4 et la configuration d'authentification requise.
Pour un service privé, combinez délibérément les exigences prévues de source client et de compte. Examinez ensuite l'hôte virtuel sélectionné par chaque écouteur, y compris les hôtes par défaut et la configuration héritée. Accéder à un nom d'hôte protégé n'établit pas qu'un autre hôte actif applique les mêmes restrictions de proxy.
ProxyPass joue un autre rôle : il associe généralement un espace de noms local à un backend. L'ajouter n'autorise pas des destinations de transfert arbitraires.
Si vous ne pouvez modifier que les fichiers de documents d'un site, il vous manque peut-être la portée administrative nécessaire pour établir la limite d'accès de ce service. Obtenez la modification de configuration du serveur ou utilisez un proxy existant approuvé ; un mot de passe de répertoire ne peut pas le remplacer.