Cómo proteger una carpeta con usuario y contraseña en DirectAdmin

Qué pasa cuando alguien entra a una carpeta protegida

La protección usa la autenticación básica de HTTP y la aplica el servidor web, antes de que corra tu sitio. Cuando llega un pedido para algo que está dentro de la carpeta, el servidor responde con el código 401 y el navegador muestra una ventanita que pide usuario y contraseña. Sin credenciales válidas no sale nada: ni páginas, ni imágenes, ni un PDF suelto.

El navegador manda el usuario y la clave en cada pedido, codificados pero no cifrados. Por eso esto se usa con el certificado activo y la dirección en https://: por HTTP común, cualquiera en la misma red puede leerlos. El SSL está incluido en el plan y se renueva solo.

Para qué sirve y para qué no

Activarla paso a paso

Según la versión y el aspecto del panel, la opción aparece en Funciones avanzadas como directorios protegidos con contraseña (Password Protected Directories) o como la acción Proteger (Protect) de cada carpeta en el Administrador de archivos. El recorrido es el mismo:

1. Ubicá la carpeta dentro de public_html. Revisá bien cuál marcás: la protección alcanza a todo lo que tenga adentro.
2. Escribí el texto del cartel que va a ver el visitante antes de identificarse.
3. Creá el primer usuario y su contraseña, y repetila en la confirmación. Ese usuario es solo de la carpeta: no tiene relación con el del panel ni con las casillas de correo.
4. Marcá la casilla que habilita la protección. Si la salteás, el usuario queda creado pero la carpeta sigue abierta.
5. Guardá. La carpeta pasa a figurar en la lista de directorios protegidos.

Sumar, cambiar y quitar usuarios

• Creá un usuario por persona. Así, cuando alguien deja de necesitar el acceso, lo borrás a él y los demás siguen igual.
• Para cambiar una clave, cargá el mismo nombre de usuario con la contraseña nueva: el panel la reemplaza.
• Para quitar a alguien, borralo de la lista de usuarios de esa carpeta. Aunque su navegador tenga la clave guardada, deja de entrar.
• El panel guarda las claves cifradas y no las puede mostrar. Si alguien olvidó la suya, le ponés una nueva.

Comprobar que de verdad quedó cerrada

La prueba en el navegador engaña: si ya pusiste la clave, la ventana la recuerda y vas a ver la carpeta abierta aunque esté protegida. Usá una ventana privada o, mejor, la terminal:

curl -I https://tudominio.com.ar/interno/
curl -I https://tudominio.com.ar/interno/manual.pdf
curl -I -u lucia https://tudominio.com.ar/interno/

• Las dos primeras tienen que responder 401. Si la del archivo suelto responde 200, la protección no está cubriendo lo que creías.
• La tercera pide la contraseña de lucia y, si es correcta, responde 200.
• Probá también una subcarpeta: tiene que pedir la clave igual que la principal.

Carpetas que conviene no proteger

• La raíz del sitio. Además de dejar a todo el mundo afuera, bloquea la validación del certificado, que necesita leer sin credenciales una ruta dentro de /.well-known/. El certificado deja de renovarse y te enterás cuando vence.
• wp-admin en WordPress. El sitio público usa admin-ajax.php, que vive ahí, para formularios, carritos y filtros, y con la carpeta cerrada esas funciones fallan para los visitantes. Para proteger el ingreso de WordPress hay herramientas mejores: cómo endurecer WordPress.
• La carpeta de archivos subidos o de imágenes. Las páginas abren, pero cada imagen pide clave y el sitio aparece roto.
• Carpetas que usan otros sistemas: el aviso de una pasarela de pago o una aplicación del celular esperan datos y reciben un pedido de contraseña.

Sacar la protección

1. Volvé a la lista de directorios protegidos y entrá a la carpeta.
2. Borrá los usuarios que creaste.
3. Desmarcá la casilla que habilita la protección y guardá.
4. Probá con curl -I o en una ventana privada: tiene que responder sin pedir nada.

Si sigue pidiendo la clave, o da error

• Sigue pidiendo la clave después de quitarla: estás probando en una ventana que ya tenía la sesión, o hay una carpeta más arriba que también está protegida.
• Pide la clave dos veces seguidas: el sitio redirige de http a https, o de www a sin www, y cada versión pide sus propias credenciales. Entrá directo con la dirección definitiva.
• Rechaza una clave correcta: fijate que no se haya colado un espacio al copiarla y que estés usando el usuario de la carpeta, no el del panel.
• La carpeta da error 500: algo quedó mal en su configuración, casi siempre por un archivo editado a mano. Escribinos por ticket y lo revisamos antes de que toques nada más.