Wachtwoordbeveiliging plaatst een browser-aanmeldprompt voor je hele site of een specifiek pad, wat de eenvoudigste manier is om een site voor de lancering, een staging-kopie of een beheerdersgebied privé te houden. Deze handleiding behandelt het instellen ervan, het beheren van gebruikers, het verifiëren dat het werkt, en het weer verwijderen ervan.
Waar Wachtwoordbeveiliging zich bevindt in KPanel
- Log in op KPanel.
- Klik op Websites in de zijbalk links, en klik dan op de site.
- Open in het linkermenu van de site Instellingen, en dan Wachtwoordbeveiliging.
Het directe adres is /websites/<site-id>/password-protect.
Hoe het werkt
Beveiliging wordt toegepast door de webserver met HTTP Basic Auth, voordat je applicatie draait. Een bezoeker van een beveiligde URL krijgt het eigen aanmeldvenster van de browser te zien en kan niets van je inhoud zien, en ook niets van je applicatiecode bereiken, totdat hij zich authenticeert.
Omdat het voor alles staat, beveiligt het ook assets, uploads en API-endpoints onder hetzelfde pad, niet alleen weergegeven pagina's. Het blokkeert ook zoekmachine-crawlers volledig, wat precies is wat je wilt bij een site die nog niet gelanceerd is.
Kiezen wat je wilt beveiligen
Wanneer je op Beveiliging toevoegen klikt, is de eerste vraag de reikwijdte, en daar zijn twee antwoorden op.
Beveilig de hele site. Iedereen die het domein bezoekt, de root, het beheerdersgebied, alles, krijgt de aanmeldprompt. Dit is de juiste keuze voor een site die nog niet gelanceerd is, voor een staging-kopie, of voor alles wat helemaal niet publiek leesbaar zou mogen zijn.
Beveilig een specifiek pad. Vergrendel één subpad en laat de rest van de site publiek. Alles onder het pad valt eronder, dus het beveiligen van /admin dekt ook /admin/users.
Je kunt meer dan één beveiliging op een site aanmaken, elk voor een ander pad, met verschillende gebruikers.
Het instellen
- Klik op Beveiliging toevoegen.
- Kies Beveilig de hele site of Beveilig een specifiek pad. Typ voor een pad dit in beginnend met een schuine streep, zoals
/admin. - Stel het Prompt-label in. Dit is de tekst die in het aanmeldvenster van de browser wordt getoond, tot 64 tekens. Standaard is dit Beveiligd gebied. Iets herkenbaars, zoals je sitenaam, helpt bezoekers te zien dat de prompt echt is en geen phishingpoging.
- Voeg minstens één gebruiker toe met een gebruikersnaam en een wachtwoord van minstens 8 tekens.
- Klik op Gebruiker toevoegen voor elke extra persoon die toegang nodig heeft.
- Klik op Beveiliging toepassen.
De regel wordt toegepast en daarna rechtstreeks tegen je site gecontroleerd, dus de status die je daarna ziet weerspiegelt het werkelijke gedrag.
Basic Auth-gegevens worden met elk verzoek meegestuurd. Via HTTPS worden ze versleuteld verzonden, wat prima is om een staging-site of een intern gebied af te schermen. Het is geen identiteitssysteem: er is geen audittrail per gebruiker, geen sessie, geen wachtwoordherstelproces en geen blokkering na mislukte pogingen. Gebruik het niet om iets echt gevoeligs te beveiligen, en hergebruik nooit een wachtwoord dat je team elders gebruikt.
Gebruikers beheren
Open een bestaande beveiliging via de bewerkknop om de gebruikerslijst te wijzigen.
- Gebruiker toevoegen: klik op Gebruiker toevoegen, voer dan een gebruikersnaam en wachtwoord in.
- Wachtwoord wijzigen: typ een nieuw wachtwoord in het wachtwoordveld van die gebruiker.
- Wachtwoord behouden: laat het veld leeg. Bestaande gebruikers tonen een plaatshouder die aangeeft dat het wachtwoord ongewijzigd is.
- Gebruiker verwijderen: klik op de verwijderknop bij die rij.
Wachtwoorden worden nooit opnieuw aan jou getoond. Als iemand zijn wachtwoord is vergeten, stel dan een nieuw in en geef het door.
De reikwijdte van een bestaande beveiliging kan niet worden gewijzigd. Om een beveiliging van het ene pad naar het andere te verplaatsen, verwijder je deze en maak je een nieuwe aan.
Verifiëren dat het werkt
Elke beveiliging toont een statusbadge:
| Badge | Betekenis |
|---|---|
| Nog niet geverifieerd | De controle is nog niet uitgevoerd. Ververs over een moment |
| Beveiliging geverifieerd live (401) | We hebben de URL van buitenaf opgevraagd en een echte aanmeldcontrole gekregen |
| Toegepast maar vraagt niet om aanmelden, met een status | De regel is geschreven maar de site antwoordde met iets anders |
De middelste badge is degene die je wilt. Dat betekent dat een extern verzoek daadwerkelijk werd uitgedaagd, niet dat alleen een configuratiebestand is geschreven.
Er is ook een knop Test bij elke rij, die de beveiligde URL in een nieuw tabblad opent zodat je de prompt zelf kunt zien. Doe dit in een privévenster: zodra je bent ingelogd, blijft je browser de inloggegevens meesturen en lijkt de site voor jou open.
Als je na het opslaan een waarschuwing ziet dat een andere configuratie op de server hetzelfde domein claimt, wordt de beveiliging niet toegepast totdat dat conflict is opgelost. Het bericht noemt de andere configuratie bij naam. Neem contact op met support als je het niet zeker weet.
Beveiliging verwijderen
Klik op de verwijderknop bij een beveiliging en bevestig. De bevestiging is expliciet over de gevolgen: de aanmeldprompt wordt verwijderd en het pad, of de hele site, wordt voor iedereen toegankelijk.
Na verwijdering controleert het paneel de site opnieuw. Als het nog niet kan bevestigen dat de site open is, zegt het je ongeveer 30 seconden te wachten en te verversen in plaats van succes te claimen dat het niet heeft waargenomen.
Het verwijderen van beveiliging voor de hele site publiceert de site onmiddellijk voor het hele internet, inclusief zoekmachines. Zorg er voordat je dit op een lanceringsdag doet voor dat de inhoud werkelijk klaar is: de juiste pagina's gepubliceerd, testinhoud verwijderd, en eventuele placeholder-prijzen gecorrigeerd.
Veelvoorkomende toepassingen
Voor de lancering. Beveilig de hele site terwijl je bouwt. Verwijder de beveiliging zodra je live gaat. Dit is betrouwbaarder dan een "binnenkort beschikbaar"-plugin, omdat het ook je beheerdersgebied, je uploads en je staging-data verbergt.
Staging-omgevingen. Een staging-kopie die publiek leesbaar is, is een probleem van dubbele inhoud en een risico op datalekken. Beveilig deze en laat de beveiliging staan. Zie Staging-omgevingen.
Beheerdersgebieden op niet-WordPress-sites. Voor een statische site of een maatwerkapplicatie met een /admin-pad geeft dit een tweede slot voor wat je applicatie al doet.
Reviewsites voor klanten. Geef de klant één gebruikersnaam en wachtwoord, en het prompt-label vertelt hen waar ze zich op aanmelden.
Probleemoplossing
Ik krijg de prompt maar mijn wachtwoord wordt geweigerd. Controleer of de gebruikersnaam geen spatie aan het begin of einde heeft, en stel het wachtwoord opnieuw in vanuit het bewerkingsvenster. Wachtwoorden moeten minstens 8 tekens lang zijn.
De site lijkt voor mij open maar beveiligd voor anderen. Je browser heeft de inloggegevens opgeslagen. Test in een privévenster.
Uptime-bewaking meldt nu dat de site offline is. Verwacht bij beveiliging van de hele site: de controle krijgt een 401. Zie Monitoring van sitebeschikbaarheid, waar de incidentreden de 401 zal tonen.
Zoekmachines hebben mijn pagina's verwijderd. Ook verwacht zolang de beveiliging actief is. Ze komen terug zodra je de beveiliging verwijdert en de site weer doorzoekbaar is.
De badge zegt toegepast maar vraagt niet om aanmelden. Iets anders antwoordde voordat de regel dat deed. Noteer de getoonde statuscode, controleer of een redirect op dat pad het verzoek eerst onderschept, en zie Site-redirects.
Ik kan de beveiliging niet verwijderen. Verwijderen vereist schrijfrechten voor de site. Met een alleen-lezen rol zijn de knoppen uitgeschakeld.
Gerelateerde pagina's
- Sitebeveiliging voor certificaten, malwarescans, IP-blokkering en inlogverharding.
- Landblokkering voor een site om de toegang per bezoekersland te beperken.
- Aangepaste foutpagina's om de 401-pagina die bezoekers zien te brandën.