Basic認証とは？仕組み・設定用途・注意点

Basic認証とは、Webページへアクセスするときにユーザー名とパスワードの入力を求め、正しい認証情報を持つ人だけに閲覧を許可するHTTP認証方式です。 開発中のサイト、社内向けページ、限定公開ページなどを簡易的に保護したいときによく使われます。

ただし、Basic認証はユーザー名とパスワードをBase64でエンコードして送る仕組みであり、Base64自体は暗号化ではありません。 Basic認証を使う場合はHTTPSと組み合わせることが前提です。

Basic認証とは？

Basic認証はHTTPで標準化されている認証方式の1つです。 アクセスしたユーザーにユーザー名とパスワードを求め、サーバー側で認証できた場合だけ対象ページを表示します。

専用のログインページを作らなくても導入できるため、小規模なアクセス制限で使われます。

Basic認証の仕組み

Basic認証では、未認証のユーザーが保護されたページへアクセスすると、サーバーが認証を要求します。

RFC 7617では、ユーザー名とパスワードをコロンでつなぎ、Base64で表現してAuthorizationヘッダーへ送る方式として定義されています。

Base64は暗号化ではない

Basic認証で特に重要なのが、Base64は暗号化ではないという点です。

そのため、Basic認証を使うページはHTTPS化し、通信そのものをTLSで暗号化します。

Basic認証はどんな場面で使う？

Basic認証が向いていない用途

Basic認証は簡易的なアクセス制限に便利ですが、すべての認証用途に適しているわけではありません。

Basic認証は「簡易な入口制限」であり、本格的なID管理システムの代わりではありません。

WordPressのログイン認証との違い

Basic認証とWordPressログインは別の仕組みです。

開発中WordPressサイトでは、「Basic認証を通過したあと、さらにWordPressへログインする」という二段構成になることもあります。

ApacheでのBasic認証の基本

Apache HTTP Serverでは、mod_auth_basic とユーザーファイルを使ってBasic認証を設定できます。

AuthType Basic
AuthName "Restricted Area"
AuthUserFile "/path/outside/public_html/.htpasswd"
Require valid-user

Apache公式では、AuthType Basic でBasic認証を指定し、AuthUserFile で認証用ユーザーファイルを指定し、Require valid-user で登録済みユーザーを許可する構成が案内されています。

.htpasswdとは？

ApacheでBasic認証を使う場合、ユーザー名とパスワードハッシュを保存するファイルとして .htpasswd を使う構成が一般的です。

Apacheには htpasswd という管理用コマンドが用意されています。

htpasswd -c /path/to/.htpasswd username

実行するとパスワード入力を求められ、認証用ファイルが作成されます。

.htpasswdは公開ディレクトリ外に置く

Apache公式では、認証用パスワードファイルをWebから配信されるドキュメントツリーの外へ置くよう案内しています。

/home/example/.htpasswd
/home/example/public_html/

利用中サーバーによって推奨配置先が異なるため、レンタルサーバーの公式マニュアルを確認してください。

.htaccessで設定できないサーバーもある

Apacheでは .htaccess にBasic認証設定を書ける構成がありますが、すべてのサーバーで利用できるとは限りません。

共用レンタルサーバーでは、管理画面に「アクセス制限」「Basic認証」などの機能が用意されている場合があります。 初心者は手動編集より公式機能を優先した方が安全です。

Nginxでは設定方法が違う

NginxはApacheの .htaccess を読み込みません。 そのため、Nginx環境ではサーバー設定ファイル側でBasic認証を設定します。

VPSでNginxを使っている場合は、Nginx公式ドキュメントや利用中ディストリビューションの手順を確認してください。

Basic認証とIP制限の違い

要件によってはBasic認証とIP制限を組み合わせることもあります。

Basic認証と二要素認証の違い

Basic認証は基本的にユーザー名とパスワードだけを使う認証です。 二要素認証は、パスワードに加えて認証アプリやセキュリティキーなど別の要素を組み合わせます。

Basic認証のメリット

特に「正式公開前のサイトをURLはそのままで関係者だけに見せたい」という用途に向いています。

Basic認証のデメリット

検索エンジンへの公開防止に使える？

Basic認証でサイト全体を保護すると、認証情報を持たない一般的なクローラーは内容へアクセスできません。 そのため、公開前サイトを外部から見られにくくする用途には役立ちます。

なお、検索エンジン向けのインデックス制御とBasic認証は目的が異なります。 本番公開ページのSEO設定としてBasic認証を使うものではありません。

Basic認証のパスワードは使い回さない

Basic認証用パスワードを、WordPress管理者、レンタルサーバー、メールなどと使い回さないでください。

RFC 7617でも、Basic認証で利用者が他サービスと同じパスワードを再利用すると、認証情報漏えい時の影響が他サービスへ広がる危険性に注意しています。

共有ID・パスワード運用の注意点

制作会社と顧客など、複数人で1つのBasic認証IDを共有することがあります。 少人数・短期間なら運用しやすい一方、誰が利用したかを追いにくくなります。

Basic認証でよくある設定ミス

HTTPのまま使う

Basic認証の認証情報自体は暗号化されません。HTTPSを利用します。

CSRFとは？仕組みと対策を初心者向けに解説

CSRF（Cross-Site Request Forgery）は、ログイン中のユーザーに対して、本人が意図していない操作をWebサイト上で実行させる攻撃です。たとえば、管理画面へログインしたまま別サイトを開いたとき、そのページから意図しない変更リクエストが送られると、ブラウザがログイン情報を自動で付けてしまい、正規ユーザーの操作として処理される可能性があります。初心者は、「ログイン中の権限を悪用して、勝手な操作をさせる攻撃」と理解すると分かりやすいです。30秒でわかる結論30秒でわかる結論CSRFは、ログイン中ユーザーに意図しない...

IP制限とは？アクセス制限の仕組みを解説

IP制限とは、アクセス元のIPアドレスを使って「このIPは許可する」「このIPは拒否する」と決めるアクセス制御です。たとえば、WordPressの管理画面を社内の固定IPからだけ開けるようにしたり、特定ネットワークからのアクセスだけ許可したりできます。初心者は、「どこから接続してきたかをIPアドレスで判定する入場制限」と考えると分かりやすいです。30秒でわかる結論30秒でわかる結論IP制限は、接続元IPアドレスでアクセスを許可・拒否する仕組み管理画面、開発環境、社内向けページなどの保護に向く固定IPなら運用しやすいが、動的...

.htpasswdを公開領域へ置く

認証ファイルはWebから直接配信されない場所へ保存します。

X-Frame-Optionsとは？クリックジャッキング対策を解説

X-Frame-Optionsとは、Webページを他のサイトから<iframe>などで埋め込めるかどうかを制御するHTTPレスポンスヘッダーです。主な目的は、利用者をだまして意図しないボタンやリンクを押させる「クリックジャッキング」を防ぐことです。現在は、より柔軟に制御できるContent Security Policy（CSP）のframe-ancestorsも使われます。30秒でわかる結論X-Frame-Optionsは、他サイトからのiframe等による埋め込みを制御するHTTPレスポンスヘッダー主な目的はクリックジャッキング対策DENYはすべてのフレーム埋め込みを拒否するSAMEORI...

レンタルサーバーのセキュリティ完全ガイド

レンタルサーバーのセキュリティ対策は、1つの機能を有効にすれば終わるものではありません。Webへの攻撃を防ぐ仕組み、管理画面への不正ログイン対策、安全なファイル転送、パスワード管理など、守る場所ごとに必要な対策が異なります。このページでは、レンタルサーバーのセキュリティを「何から守るか」「どの機能を使うか」「どの順番で確認するか」に分けて整理します。WAFやSSHなどの細かな仕組みは一般記事へ譲り、ここでは全体像と判断基準をつかむことを目的にします。30秒でわかる結論最初に「サーバー会社が守る範囲」と「...

本番公開後も認証を残す

検索エンジンや一般ユーザーがアクセスできない状態になります。

二段階認証とは？二要素認証との違い・安全な方法を解説

二段階認証とは、パスワードだけでなく、もう1つの確認方法を追加してログインする仕組みです。パスワードが漏えいした場合でも、第二の認証が通らなければ不正ログインを防ぎやすくなります。30秒でわかる結論二段階認証は、パスワードに加えてもう1回本人確認を行う仕組み認証アプリ・SMS・セキュリティキーなど複数の方式があるパスワード漏えい時の不正ログイン対策として有効SMSより認証アプリやセキュリティキーを選べるなら優先しやすいバックアップコードは必ず安全な場所へ保存するWordPress、レンタルサーバー、ドメイン管理...

WordPressログインと同じパスワードを使う

認証情報が漏れた場合の被害を広げます。別のパスワードを使います。

重要システムをBasic認証だけで守る

高いセキュリティが必要な環境では、多要素認証などを含む専用認証方式を検討します。

CSPとは？Content Security Policyの仕組みを解説

CSPとは「Content Security Policy」の略で、WebページがどのJavaScript・CSS・画像・iframeなどを読み込んでよいかをブラウザへ指示するセキュリティ機能です。特にクロスサイトスクリプティング（XSS）などで悪意あるJavaScriptを埋め込まれた場合に、そのコードが実行される範囲を制限する追加防御として使われます。ただし、設定を厳しくしすぎると正常なスクリプトや画像まで止まるため、いきなり本番で強制せず、Report-Onlyで確認しながら導入するのが基本です。30秒でわかる結論CSPは、Webページが読み込めるリソースや実行で...

レンタルサーバー利用者はどう設定する？

共用レンタルサーバーでは、まず管理画面にBasic認証・アクセス制限機能があるか確認してください。

管理画面の正式機能があるなら、手作業で.htaccessを編集するより設定ミスを減らしやすくなります。

VPS利用者は何を確認する？

VPSでは、利用しているWebサーバーソフトによって設定方法が変わります。

VPSでは設定自由度が高い代わりに、認証ファイルやWebサーバー設定も自分で安全に管理する必要があります。

Basic認証を使うかの判断

教科書判定

FAQ

まとめ