サイトの閲覧に簡易のパスワードをかけよう
Webサイトの確認用ページなど、限られた相手だけに見せたいディレクトリにはBasic認証を設定できます。ただし、これは簡易的な閲覧制限です。個人情報や機密情報の保護、会員ログインの代わりには使用しないでください。
HTTPSが有効なサイトで使用してください。Apache公式資料では、Basic認証はクライアントからサーバーへ認証情報を暗号化せず送るため、機密性が必要な場合はTLS（HTTPS）を併用するよう案内しています。また、レンタルサーバーに認証設定機能がある場合は、手作業でファイルを置く前に管理画面の機能を優先してください。
設定前に現在の「.htaccess」をバックアップします。Macでは「.」で始まるファイルが非表示になる場合があるため、Visual Studio Codeなどで対象フォルダを開いて確認してください。
公開とサーバーの基本用語を先に確認したい方は、サイト制作に必要なサーバー用語説明も参考にしてください。
管理画面からBasic認証を設定できるサーバーを選ぶ
.htaccessを直接編集できるサーバーでも、管理画面に「アクセス制限」「Basic認証」などの機能があれば、まずその機能を使うほうが設定ミスを減らせます。エックスサーバーでは、サーバーパネルの「アクセス制限」から対象フォルダを選び、ユーザーIDとパスワードを追加できます。手順はエックスサーバー公式マニュアル「アクセス制限」で確認できます。
練習ページを一時的に見せるだけなら、すでに利用中のサーバーや無料公開環境で十分な場合もあります。PHPやメールフォーム、独自ドメインを使うサイトを継続運用するときに有料サーバーを検討してください。契約前に、契約期間分の支払総額・更新料金・必要な機能を確認しましょう。
2026年11月4日17時までは、エックスサーバーの新規申込みを対象に、12か月契約10％、24か月契約20％、36か月契約30％の初回利用料金割引が案内されています。長期契約ほど総支払額は大きくなるため、割引率だけで決めず、公式キャンペーン条件と通常料金を確認してください。
広告：Basic認証を管理画面から設定できる有料サーバーを探している方向けです。
サイト公開全体の流れは、HTML・CSSで作ったページを公開する方法で確認できます。
まずは上記のファイルをダウンロードしてください。
このようなファイル構成になっています。
こちらのファイルを書き換えの上、適切な場所にアップロードするとパスワードをかけられます。
初心者の方や、業務で利用しているサーバーについては有識者の監視のもと、最新の注意を払って設定をお願いします。
こちらの記事の設定で発生したトラブルについて、当サイトは一切責任を負いません。
.htaccess
「.htaccess」はサーバーの設定ファイルです。
ファイル名称はこれでなければなりません。
AuthType Basic AuthName "TEST" AuthUserFile /***/.htpassword Require valid-user
AuthUserFileはパスワード情報の場所を指します。（パスワードのファイル名は任意）
ここでサーバーのフルパスが必要となります。
フルパスはレンタルサーバーの管理画面や公式マニュアルで確認してください。確認用PHPファイルを公開する方法は、サーバー情報を第三者に見せる可能性があるため避けます。
パスワードファイルを安全に作る
パスワードファイルには、ユーザー名とハッシュ化されたパスワードを1行ずつ保存します。実際に使う平文パスワードを第三者のWebサービスへ入力する方法は避け、レンタルサーバーの認証設定機能、またはApache付属の「htpasswd」を使用してください。
Apacheを操作できる環境で最初のユーザーを作成する例は次のとおりです。「-c」は新規作成時だけ使用し、既存ファイルに付けると内容を上書きするため注意してください。
htpasswd -c /公開領域外のパス/passwords ユーザー名
パスワードファイルはブラウザから取得できない公開ディレクトリの外側へ保存し、「AuthUserFile」にはその絶対パスを指定します。レンタルサーバーで公開領域外へ置けない場合は、契約先の公式マニュアルに従ってください。
参考：Apache HTTP Server「Authentication and Authorization」、Apache HTTP Server「htpasswd」
作成されたユーザー情報は「ユーザー名:ハッシュ」の形式で保存されます。平文パスワードそのものをファイルへ書かないでください。
例
XsJu8PNS:syV3LL9/.XruI
ユーザーが一人なら上記のように1行だけ書いてあれば問題ありません。
macの場合
ダウンロードしたフォルダを「visual studio code」などで開くとファイルを見ることができます。
しかし、それだと扱いにくいのでファイル編集は「htaccess」「htpassword」で行い、サーバーにアップロードしてから「.」を追加するという方法があります。
ディレクトリに制限をかける
パスワードをかけたいディレクトリには「.htaccess」を設置し、パスワードファイルは可能な限り公開ディレクトリの外側へ置きます。設定後、対象URLへアクセスして認証画面が表示されること、正しいユーザー名とパスワードで閲覧できること、誤った情報では拒否されることを確認します。
確認後は、シークレットウィンドウや別ブラウザでもテストしてください。500エラーになった場合は、追加した記述をいったん戻し、サーバーのエラーログと公式マニュアルを確認します。
