Como restringir páginas com autenticação e autorização

Revisão técnica: 08/09/2026. Uma página privada precisa verificar quem está acessando e se essa pessoa tem permissão. Colocar um arquivo index vazio, ocultar links ou desativar a listagem da pasta não impede o acesso direto a um endereço conhecido.

Proteção de uma pasta com senha

Para uma pasta restrita de uma equipe, a autenticação HTTP Basic pode atender ao objetivo quando usada sobre HTTPS e com configuração adequada. Em Apache compatível, este exemplo precisa de um caminho absoluto real para o arquivo de usuários, fora da raiz pública:

AuthType Basic
AuthName "Area restrita"
AuthUserFile /caminho/privado/.htpasswd
Require valid-user

Crie usuários com a ferramenta de administração disponível ou com htpasswd, usando um algoritmo de hash apropriado, como bcrypt quando suportado. Não escreva senhas em texto puro no arquivo. Na ferramenta, a opção de criação de arquivo pode sobrescrever uma base existente; para acrescentar usuários, siga o procedimento de atualização.

Confirme com a hospedagem o caminho, os módulos e a autorização para essas diretivas. Teste pelo endereço HTTPS: sem credenciais, com senha errada e com um usuário autorizado. O navegador pode manter credenciais em memória, portanto use uma sessão separada para repetir o teste sem autenticação.

Páginas privadas de uma aplicação

Quando cada usuário acessa dados diferentes, utilize o sistema de autenticação do CMS ou framework e verifique a autorização em cada operação. Downloads e endpoints também precisam dessa verificação; proteger apenas a página que contém os links deixa outros caminhos expostos.

Criar uma variável de sessão ao visitar uma página pública não autentica ninguém. O exemplo antigo deste artigo apenas marcava uma visita, sem comprovar identidade. Também não há uma permissão de pasta universal, como 771, que substitua o controle de acesso da aplicação.

Confirme a proteção de ponta a ponta

Teste uma conta permitida, outra sem permissão e um visitante desconectado. Confira acesso direto aos arquivos, encerramento da sessão e respostas de cache para evitar compartilhar conteúdo privado. Para bloqueio de arquivos públicos por configuração, consulte o guia de regras no Apache.

Referências: autenticação e autorização e manual do htpasswd.