検索避けと閲覧制限を取り違えないためのBasic認証

検索結果から消したいだけなのか、ログイン前の閲覧を止めたいのか。 しろまえ殿は、最初にこの二つを分けて考えた。

「見つけないで」と「見せない」は別

noindex,nofollow は、検索エンジンへの案内だ。 ページを開く人を止める機能ではない。

URLを知っていれば、誰でも読める。 robots.txtでクロールまで拒否すると、検索エンジンがnoindexを読めないこともある。

しろまえ殿が本当に必要だと判断したのは、サーバー側のBasic認証だった。 認証は、Webサーバーが閲覧前にIDとパスワードを求める仕組みだ。

設定前にバックアップする

管理画面のアクセス制限機能を使えば、認証用の設定ファイルを自動生成できる。 手書きのミスを減らせる点は便利だ。

ただし、既存の.htaccessを上書きする可能性がある。 リライト設定を使うサイトでは、設定前に現物を保存する。

たとえば、部屋の鍵を交換する前に、元の鍵を保管しておくようなものだ。 新しい鍵が合わなければ、すぐ戻せる。

認証が効かないときは、キャッシュ機能も確認する。 認証前のページがキャッシュから返っているなら、設定が正しくても公開されたように見える。

HTTPSまで確認する

Basic認証は、HTTPSとセットで使う。 HTTPSは通信路を暗号化する仕組みだ。

暗号化されていない通信では、認証情報を安全に運べない。 設定後は、未認証の画面、認証画面、認証後の画面を実際に確認する。

しろまえ殿は、検索対策だけで安心しない運用を選んだ。 「検索に出ない」と「誰にも見えない」は違う。 この切り分けを先に置けば、公開範囲の事故を減らせる。