Estoy fortaleciendo la configuración de mi servidor Apache y me pregunto si utiliza otros "^.ht.+"archivos además de .htaccess y .htpasswd.
Respuesta1
¿Apache? No.
El único que normalmente usa es .htaccess, pero en realidad solo se debe a que el valor predeterminado AccessFileNamees AccessFileName .htaccess: cambie esa configuración y Apache no tendrá ningún interés especial en los archivos que comienzan con .ht.
.htpasswdno es un estándar normal y realmente ni siquiera es una buena idea; La recomendación general es mantener los archivos de autenticación fuera de la raíz web, ya que existen otras formas (vulnerabilidades de inclusión remota de archivos) de acceder potencialmente al contenido del archivo, evitando las restricciones de acceso de Apache.
¿Otras personas? Tal vez.
.ht*Algunas personas/contenido/aplicaciones web esperan o abusan del uso común de "este es un archivo restringido/inaccesible de algún tipo", por muchas de las mismas razones que .htaccessmuchas personas malinterpretan como el lugar "correcto" para poner acceso. controles y reescribir reglas,a pesar de que no está destinado a eso. Entonces, si desactiva el comportamiento predeterminado de <Files ~ "^\.ht">(¿por qué necesitaría hacer esto para protegerlo?), asegúrese de que su contenido no esté abusando de esa convención de nombres de archivos para ocultar cosas.
Respuesta2
.htaccesses el valor predeterminado AccessFileNameutilizado por Apache. No hay nada especial en '.htpasswd' sólo que la mayoría de la gente lo usa, por lo que facilita que la ACL bloquee el acceso a ellos. No hay nada que diga que necesita usar esos nombres de archivos, y si tiene acceso al archivo httpd.conf, no debería usarlos en absoluto, ya que ralentizan el acceso a los directorios. Son buenos para permitir el acceso de anulación a personas que no tienen acceso a la configuración del servidor.
Dicho esto, si no ha cambiado los valores predeterminados mediante el uso de AccessFileNamela directiva en su configuración y ha nombrado todos sus archivos de contraseñas .htpasswd, entonces debería ser bueno con los archivos dot.
Respuesta3
Así es como puedes verificar si estás usando algún otro .htaccess:núcleo - Servidor HTTP Apache, también esto es lo que debería usar cualquier Apache, ya que impediría que las personas accedan a él:
#
# The following lines prevent .htaccess and .htpasswd files from being
# viewed by Web clients.
#
<Files ~ "^\.ht">
Order allow,deny
Deny from all
Satisfy All
</Files>