Protéger un dossier par mot de passe

Ce que fait cette protection

Le navigateur affiche une fenêtre d'identification, avant même que la page se charge. C'est l'authentification de base d'Apache. Sa documentation, relue le 15 octobre 2026, rappelle que cette méthode envoie le mot de passe sans le chiffrer : elle ne se conçoit qu'avec une connexion en HTTPS, ce qui est le cas de tous les sites que nous hébergeons, avec leur certificat Let's Encrypt.

Elle convient pour un dossier de préproduction, des documents réservés à une équipe, un outil interne. Pour réserver un dossier à vos seules adresses IP, sans mot de passe, voir Bloquer une adresse IP avec .htaccess.

Elle ne remplace pas les comptes d'une application : un identifiant partagé entre plusieurs personnes ne dit pas laquelle s'en est servie. Donnez plutôt un compte à chacun.

Avec les répertoires protégés de Plesk

Cette fonction est ouverte selon votre offre : sur Départ et Business, pas sur Sérénité. Si le menu n'apparaît pas dans votre panneau, passez à la méthode par .htaccess, plus bas. Les étapes suivent la page Restreindre l'accès au contenu de la documentation de Plesk, relue le 15 octobre 2026.

1. Connectez-vous à Plesk depuis votre espace client, avec le bouton « Se connecter à Plesk ».
2. Ouvrez « Sites Web & Domaines », puis « Répertoires protégés par mot de passe ».
3. Cliquez sur « Ajouter un répertoire protégé ».
4. Indiquez le chemin du dossier, relatif à la racine du site, par exemple /prive, et si vous le voulez un nom que les visiteurs verront dans la fenêtre d'identification. Plesk crée le dossier s'il n'existe pas.
5. Validez par « OK ».
6. Ouvrez le répertoire que vous venez de protéger, cliquez sur « Ajouter un utilisateur », saisissez un identifiant et un mot de passe, puis validez.

La documentation de Plesk le précise : sans au moins un utilisateur, personne ne peut entrer. Un utilisateur n'a accès qu'au répertoire auquel il est rattaché.

Avec un fichier .htaccess et un fichier .htpasswd

Cette méthode marche sur toutes nos offres : Apache lit les directives d'authentification dans les fichiers .htaccess de nos hébergements.

1. Créer le fichier des mots de passe

Le fichier .htpasswd contient un compte par ligne, avec le mot de passe chiffré. La documentation d'Apache demande de le ranger hors des dossiers publiés, pour que personne ne puisse le télécharger. Chez nous, le répertoire principal de l'abonnement, au-dessus de httpdocs, convient : /var/www/vhosts/votre-domaine.fr/.

Sur Sérénité et Business, avec SSH activé, la commande htpasswd d'Apache, présente sur nos serveurs, crée le fichier :

1. Placez-vous dans le répertoire principal : cd /var/www/vhosts/votre-domaine.fr
2. Créez le fichier avec le premier compte : htpasswd -B -c .htpasswd marie. La commande demande le mot de passe deux fois. L'option -B chiffre en bcrypt, que la page de htpasswd juge très sûr ; sans elle, la commande utilise MD5.
3. Ajoutez les comptes suivants sans l'option -c : htpasswd -B .htpasswd paul. Avec -c, un fichier existant est réécrit et vidé, et les comptes déjà créés sont perdus.
4. Rendez le fichier lisible par Apache. Sur nos serveurs, Apache fait partie du groupe psaserv. Regardez le groupe du fichier avec ls -l .htpasswd : s'il s'agit de psaserv, chmod 640 .htpasswd suffit ; sinon, chmod 644 .htpasswd. Le fichier reste hors du dossier publié : personne ne peut le télécharger.

N'utilisez pas un générateur de .htpasswd en ligne : vous confieriez le mot de passe à un site tiers.

2. Écrire le fichier .htaccess du dossier

Dans le dossier à protéger, créez un fichier .htaccess avec ces lignes, en adaptant le chemin :

AuthType Basic
AuthName "Espace réservé"
AuthUserFile "/var/www/vhosts/votre-domaine.fr/.htpasswd"
Require valid-user

Ce bloc reprend l'exemple de la documentation d'Apache, avec la directive qu'elle propose pour laisser entrer tout compte du fichier, Require valid-user. Son exemple de base n'autorise qu'un compte nommé : remplacez alors la dernière ligne par Require user marie. La manière de créer et d'éditer un .htaccess est dans Le fichier .htaccess.

3. Vérifier

1. Ouvrez l'adresse du dossier dans une fenêtre de navigation privée.
2. La fenêtre d'identification doit apparaître. Entrez un compte du fichier.
3. Si le site renvoie une erreur 500, une ligne est mal écrite ou le chemin du fichier .htpasswd est faux : le journal d'erreurs du site le dit.

Pour un site WordPress entier

WP Toolkit propose une bascule de protection par mot de passe (« Password Protection ») sur la fiche de chaque site, qui ferme tout le site sans fichier à écrire. Voir WP Toolkit dans Plesk. Protéger seulement wp-admin par .htaccess demande des précautions : la page de WordPress sur la sécurisation prévient que cela peut casser certaines fonctions, comme le gestionnaire AJAX wp-admin/admin-ajax.php dont se servent des extensions côté visiteur.

Questions fréquentes