Le .htaccess est un fichier de configuration pour votre serveur Apache. Il permet de définir des règles pour un dossier ainsi que ses sous-dossiers. Ce fichier vous permet entre autres de faire des redirections, de protéger un répertoire par mot de passe, de créer vos propres pages d’erreurs …
Définition du fichier htaccess
Cas où il ne faut pas l’utiliser
Instructions utiles
Bloquer l’accès à des contenus
Protéger par identification
Protéger par mot de passe
Créer des redirections
Personnaliser une page d’erreur
Redirections de liens
Vérifier son .htaccess
Le .htaccess : Qu’est ce que c’est? Comment l’utiliser?
Le fichier .htaccess permet d’ajouter des directives (des ordres) à votre serveur Apache. Les directives du .htaccess sont appliquées à tous le dossier où il se trouve, ainsi qu’à tous les sous dossier tant qu’il n’y à pas de réécriture.
Prenons un exemple pour que ce soit plus clair :
- Dans l’image ci-dessus nous avons un premier fichier htaccess dans le “Dossier 1”. Nous y avons ajouté la directive “deny from all” (qui bloque l’accès aux fichiers et dossiers). Les directives que nous mettons à l’intérieur s’appliquent donc à l’ensemble des dossiers, fichiers et sous dossiers se trouvant dans le “Dossier 1”. Nous n’avons donc plus accès à aucun fichier, dossier ou sous-dossier se trouvant dans le “Dossier 1”.
- Dans le “Dossier 2”, nous avons également un fichier htaccess :
- Nous ne réécrivons pas l’instruction “deny from all” : dans ce cas, aucun changement, tous ce qui se trouve dans “Dossier 1” reste inaccessible.
- Nous réécrivons l’instruction “allow from all” : dans ce cas, seul le “Dossier 2” est accessible par tout le monde, les Dossiers 3 et 4 ne le sont pas.
Il vous sera impossible de créer le fichier “.htaccess” directement sur Windows, un nom de fichier vous sera toujours demandé. Pour le créer vous avez 2 méthodes :
- Vous le créez directement sur votre FTP puis vous l’éditez.
- Vous l’enregistrez depuis votre éditeur de texte, et quand vous le nommez, ajouter des guillemets :
Quand ne pas utiliser le fichier .htaccess?
Dans l’idéal, vous ne devez jamais utiliser de fichier .htaccess. Tous les réglages peuvent se faire directement dans les fichiers de configurations du serveur. Mais si votre site est sur un serveur mutualisé (ce qui est très souvent le cas lorsque vous démarrez) vous n’avez dans ce cas pas accès à ces fichiers. Il vous est donc nécessaire de passer par le .htaccess, de le créer au besoin dans les dossiers qui vous semblent utiles.
Si vous hébergez votre site sur un serveur dédié, nous vous conseillons de configurer directement Apache.
La principale raison d’éviter l’utilisation du .htaccess est : la perte de performance du serveur. Quand on utilise les fichiers .htaccess, le serveur va rechercher dans chaque répertoire la présence d’un fichier de même nature. Il doit également rechercher dans tous les répertoires parents pour rassembler toutes les directives. De plus, cette recherche se fait pour chaque requête sur un fichier.
Quelques instructions utiles pour votre .htaccess
De nombreuses utilisations sont possibles et il n’est pas rare que son usage un peu trop important gêne au fonctionnement de l’ensemble d’un site Internet. En référencement naturel, on utile particulièrement ce dernier pour créer des redirections et nous en avons déjà parlé à maintes reprises. Mais son usage peut être multiple comme nous le voyons ici.
Pensez à faire une sauvegarde de votre fichier .htaccess avant toute modification!!
Maintenant que nous en savons un peu plus sur son fonctionnement et son utilité, nous allons voir quelques instructions qui peuvent être utiles et que vous devez observer lors de la création de votre site Internet.
Bloquer l’accès à certains contenus
Pour plusieurs raisons vous pourriez avoir envie de bloquer l’accès à certains dossiers ou fichiers disponible sur votre hébergement. Typiquement, ces restrictions peuvent être utiles pour des back-office ou des dossiers très sensibles. Nous allons voir comment les protéger.
Protéger un dossier par identification
Il est possible de protéger l’accès d’un dossier avec un identifiant et un mot de passe, voici le code à intégrer dans votre fichier .htaccess :
[pastacode lang=”apacheconf” manual=”AuthUserFile%20%2Fchemin%2Fabsolu%2F.motsdepasse%0AAuthName%20%22Acc%C3%A8s%20prot%C3%A9g%C3%A9%22%0AAuthType%20Basic%0ARequire%20valid-user” message=”Protection d’un dossier par mot de passe” highlight=”” provider=”manual”/]- AuthUserFile : Chemin absolu indiquant où trouver le fichier contenant les mots de passe.
- AuthName : C’est le texte qui s’affichera sur la boite de dialogue demandant les identifiants.
- AuthType Basic : indique qu’il faut utiliser AuthUserFile pour vérifier les mots de passe. Dans ce cas ce sera le fichier “.motsdepasse”.
- Require valid-user : indique que seul les utilisateurs identifiés sont autorisés.
Le fichier contenant les mot de passe peut avoir n’importe quel nom. La syntaxe à respecter pour l’utilisateur et son mot de passe est :
[pastacode lang=”apacheconf” manual=”Pseudo%3AMot_de_passe” message=”Syntaxe des Mots de passe” highlight=”” provider=”manual”/]Protection de fichier par mot de passe : Un classique pour protéger les données sensibles
Voici l’instruction à utiliser pour protéger un fichier :
[pastacode lang=”markup” manual=”%3CFiles%20monfichier.php%3E%0AAuthUserFile%20%2Fchemin%2Fabsolu%2F.motsdepasse%0AAuthName%20%22Acc%C3%A8s%20refus%C3%A9%22%0AAuthType%20Basic%0Arequire%20valid-user%0A%3C%2FFiles%3E%0A” message=”Protection d’un fichier par mot de passe” highlight=”” provider=”manual”/]- Un seul fichier peut être protégé avec ce code. Il faudra donc le répéter autant de fois que de fichier à protéger.
- Ce sont les mêmes instructions que pour protéger un dossier, seul <Files></Files> est à ajouter.
Depuis Apache 1.3 , la balise <FilesMatch> peut aussi être utilisé. Elle ne permet de gérer qu’un seul argument, mais l’utilisation d’expressions régulières permet de gérer plusieurs fichiers.
Création de redirections avec le fichier htaccess, à connaître lorsque l’on gère un site !
Pour diverses raisons, vous pouvez être amené à vouloir faire des redirections (passage du hhtp au https, erreurs…). Grâce au .htaccess, vous pouvez très facilement le faire en suivant quelques règles ci-dessous. C’est d’autant plus important que la perte de trafic suite à de nombreuses 404 est une réalité particulièrement rageante, pour ne citer que ce cas.
Si vous souhaitez créer des pages d’erreur personnalisées, vous pouvez utiliser ces codes :
[pastacode lang=”apacheconf” manual=”ErrorDocument%20401%20%2Ferreurs%2Ferreur_401.php%0AErrorDocument%20403%20%2Ferreurs%2Ferreur_403.php%0AErrorDocument%20404%20%2Ferreurs%2Ferreur_404.php%0AErrorDocument%20500%20%2Ferreurs%2Ferreur_500.php%0A…” message=”Redirections des pages d’erreurs” highlight=”” provider=”manual”/]Redirection de liens : (Utilisé tous les jours à l’agence ou presque 😉 )
Si vous avez supprimé une page, ou que son URL à changé, il est nécessaire de faire une redirection vers la nouvelle page (sinon il y aura une erreur 404). Dans l’exemple qui suit, notez que la redirection pointe vers une url absolue (le https + wwww + le nom de domaine et l’URI de la page qui est ici “nouvellepage”) :
[pastacode lang=”apacheconf” manual=”Redirect%20301%20%2Fanciennepage%2F%20http%3A%2F%2Fwww.monsite.com%2Fnouvellepage” message=”Redirection de liens” highlight=”” provider=”manual”/]Inutile de dire que ces erreurs 404 peuvent foisonner si l’on effectue une refonte de site Internet “bourrin” de l’ensemble sans attention sur l’existant. Prenez le temps de les analyser avec un outil comme Screaming Frog qui se charge de les retrouver assez facilement en interne et (même en externe pour les liens que vous produisez sur d’autres sites).
Nombreux de ceux qui nous lisent utilisent le CMS WordPress, il bénéficie de facilités pour faire des redirections mais il permet surtout à l’aide d’un plugin à télécharger occasionnellement de trouver ces erreurs: Broken Link Checker analyse rapidement votre site pour trouver tous les liens cassés et générant donc des erreurs 404.
Vérification de votre .htaccess
Si une erreur se glisse dans votre fichier .htaccess, vous vous retrouverez avec une erreur 500 (page blanche). Il faut dans ce cas retrouver d’où viens le problème, ce qui n’est pas tout le temps évident quand on commence à avoir beaucoup de ligne. Vous pouvez dans ce cas copier le contenu de votre fichier et le coller sur le site htaccesscheck.com qui vous indiquera où se trouvent les erreurs.
Et vous, quel usage faites-vous de votre fichier .htaccess ?
L’utilisation de HTACCESS pour rédiriger le HTTP vers le HTTPS peut causer les problèmes d’accès au site si au préalable on a pas un certificat SSL.
Il y a aussi d’autres hébergeurs qui ne prennent pas en charge cette pratique.
Dans le cas des sites utilisant les CMS il y a plusieurs alternatifs.
Bonsoir, Merci pour votre commentaire. Oui bien sûr le SSL doit être actif.
Cet article est intéressant. Mais de ma part j’aurai souhaité que l’auteur parle aussi de l’URL Canonical. Je trouve qu’il faut en parler surtout quand on évoque le passage de HTTP vers HTTPS pour éviter les Duplicated Content.
Bonjour, l’url canonical sur chaque page évidemment, nous avons un dossier sur le sujet ici. Que ce soit en https ou en http d’ailleurs. Ici on parle bien du htaccess.
Merci pour cet article, bien qu’un peu complexe pour les personnes peu expérimentées. J’ai un site sur wordpress et j’ai justement besoin d’accéder à ce fichier htaccess. Auriez-vous un tuto “pas à pas” pour pouvoir le trouver ? Je suis perdue et toutes les infos que je trouve sont vagues.
Bonjour Lili, le fichier .htaccess est très facile à trouver si vous avez un accès FTP. Il est à la racine de votre serveur où est installé votre site WordPress, en compagnie des dossiers wp-admin, wp-includes et wp-content. Vous y trouverez également le fichier index.php et probablement le fichier robots.txt. Vous avez donc besoin d’un accès au serveur pour le trouver par exemple avec un logiciel comme Filezilla permettant de se connecter à un serveur distant.
Merci Xavier pour votre réponse. Pour être honnête je ne sais pas si j’ai un accès FTP. Comment savoir ? J’ai une LiveBox orange et mon hébergement est ovh, est-ce que cela a une importance ?
LIli, pour la livebox d’Orange, aucune importance. Pour OVH : rendez-vous sur votre manager avec vos identifiants, allez dans la section hébergement de votre site Internet. Là vous avez un onglet FTP. Vous y touverez une adresse FTP, un login et un mot de passe à redéfinir si vous ne vous en souvenez plus. Avec ces éléments, vous pourrez (une fois téléchargé Filezilla sur votre ordinateur) vous connecter à votre serveur distant.
Bonjour, je cherche une sécurité supplémentaire a ht access car le problème que j’ai, ce que nous sommes 50 personnes et je ne souhaite pas changer les 50 mdp des 50 postes a chaque fois que je veux mettre à jour mes mdp.
Que me conseillez vous ?
Bonjour @joris,
le hthaccess peut principalement vous permettre de gérer la sécurité de votre site en filtrant les utilisateurs ou robots qui y naviguent.
Pour la gestion des mots de passe, le fichier ne peut en aucun cas vous aider.
Pour la gestion des mdp, je vous conseille de plutôt vous orienter vers des plugins entièrement dédiés à cet usage comme mass-users-password-reset, qui permet en quelques clics de générer des passwords pour tous les utilisateurs.