O .htaccess, este desconhecido.

Você contratou um serviço de hospedagem, cheio de possibilidades, ferramentas, programas e scripts do universo Open Source. Com apenas alguns poucos cliques você tem um blog, um gestor de conteúdo, um fórum, um flog, controle sobre os seus emails, etc. Fantástico, sem trocadilhos, e você fica maravilhado com tudo isso.

O .htaccess.

Mais importante que todas estas ferramentas são determinados arquivos que você vai ter que aprender a configurar; creio que o principal deles é o .htaccess, um arquivo tipo texto que não tem nome, só ponto e extensão. Pode parecer estranho a quem está acostumado com a extensão de três letras do Windows. Ele é um arquivo de configuração usado pelo servidor web Apache, utilizado na maioria dos servidores rodando Unix ou Linux.

Apesar de gerenciar funções complexas, o conteúdo do .htaccess é formado por instruções muito simples, mas com poucas informações claras em língua portuguesa. Espero que ao final deste texto você esteja apto a configurar o básico para o seu próprio htaccess, conforme a aplicação desejada.

As funções.

Com o .htaccess você pode bloquear/autorizar usuários com IP's específicos, proteger diretórios através de senhas, não permitir o conhecido e abominável "hot linking", alterar as extensões de arquivos, impedir listagem (index) de diretórios que queira esconder, redirecionar endereços automaticamente, personalizar as páginas de erro, etc. A mais difundida é com certeza a possibilidade de apresentação de páginas de erro personalizadas. Ver abaixo a listagem dos códigos retornados pelo servidor (destacadas em vermelho - páginas personalizadas mais usadas).

O básico.

• Como já dito acima, o arquivo htaccess é um arquivo de texto, ASCII puro, e pode ser editado/criado com editores de texto, de preferência, simples como o Bloco de Notas. Nunca use editores complexos, como o MSWord, que inserem caracteres invisíveis que comprometeriam o funcionamento do arquivo.

• Se houver a possibilidade prefira editá-lo no próprio servidor; se não, faça o "upload" do .htaccess no modo ASCII, nunca binário, e verifique se a permissão para o arquivo é 644 o que possibilita sua leitura somente para o servidor e nunca para o navegador. Explicando, se o navegador conseguir ler este arquivo, todo usuário e visitante de sua página também conseguirá, expondo dessa forma todas as suas configurações. Você não vai querer isso, vai?

• Ao colocar um arquivo .htaccess no diretório principal (raiz) ele atuará sobre todos os diretórios do site. Mas um arquivo em um sub-diretório agirá só sobre este diretório e anulará a ação do outro arquivo .htaccess; se este existir, é lógico. Então cuidado com interações e possíveis loops na configuração e criação de arquivos .htaccess múltiplos.
• Se você quiser se aprofundar na utilização deste arquivo, recomendo a leitura das Diretivas do Apache.

Personalizando documentos de erro.

Pra personalizar as sua páginas de erro é só ver os códigos descritos na tabela acima, mas não vá criar páginas de erro pra todos eles, isto é totalmente desnecessário e em muito deles, indevido. Em geral, os mais usados são, em ordem decrescente:

• o cultuado erro 404, que tem até sites específicos sobre ele que se aplica a avisar que determinada página ou documento não foi encontrado;
• o erro 500 para controlar alguns erros internos do servidor;
• o erro 403 para áreas diretórios de visualização proibida;
• o erro 401 para áreas protegidas liberadas a usuários(se existirem);
• o erro 400 para capturar erros e loops em requisições de scripts maliciosos de usuários;

Você pode especificar qualquer arquivo que desejar  para a personalização do erro e o que deve ser feito para implementá-lo é somente adicionar uma linha de comando pra cada erro ao .htaccess com o seguinte formato:

É evidente que pra usar as extensões código php e/ou asp, seu servidor deve ter estes instalados. Sendo assim você poderá criar um script para controlar, filtrar, listar os erros encontrados. De uma forma mais organizada, usando um diretório para estes arquivos, a diretiva deverá ser usada da seguinte forma (note a barra no ínicio indicando o endereço relativo do diretório):

O endereço completo da URL (http://www.seusite.com/erros/erro404.html) também tem funcionalidade, assim como código HTML. Sim você pode utilizar as tags do código HTML:

Note que as aspas devem estar somente no início do código HTML.

Importante : é uma ótima idéia desenvolver um tratamento do erro 400 na existência de um no servidor . Verdadeiros filhos de "chocadeira" ou de "camisinhas furadas" vão tentar derrubá-lo enviando scripts maliciosos (repetitivos) apontando diretamente a estes arquivos de erro, ainda mais se forem pesados, com o intuito de derrubar a banda e performance  do site.

Bloquear IP.

Sempre existem os malas que ficam vasculhando o seu site a procura de falhas pra entrar, causar problemas e pichar. É só bloqueá-lo adicionando uma linha de comando com o seguinte formato:

A primeira linha bloqueia e não permite que o IP de endereço 012.345.5.6 acesse o site. A segunda linha bloqueia o acesso para o bloco de 012.34.5.1 até 012.34.5.255. A terceira linha permite a todos os outros acessarem o site. Se você quer somente visitantes do Brasil você poderia configurá-lo assim:

Quer bloquear os usuários de um determinado provedor/servidor e não sabe o range de IP, sem problemas :

Mudar página Default.

Quer mudar a página inicial do seu site pra outro arquivo que não o index.html?

Agora quando alguém digitar a url do seu site na barra de endereços (Exemplo : http://www.seusite.com.br/), a página retornada será nova_pagina.html e não mais index.html. Pode-se ainda usar o seguinte formato:

Quando alguém digitar a url do seu site na barra de endereços a seqüência do processo será:  o servidor procurará por nova_pagina.html se não encontrar tentará retornar index.php e se não achar também, retornará pagina_velha.html. É lógico que uma das 3 tem que estar ali, senão o retorno ao final será o erro 404.

Redirecionando.

As formas de redirecionar páginas são diversas : javascript, PHP, HTML(http-equiv),etc. Não é diferente com o .htaccess, e bem simples também :

As 3 partes que compõem esta diretiva são separadas por espaço e note que o comando é composto de 3 partes que precisam estar numa mesma linha: a primeira é o comando Redirect seguido da localização do arquivo/diretório que você quer redirecionar, relativa ao diretório principal do seu site, e a terceira é o endereço completo do novo arquivo para o qual deve ser redirecionado. Há ainda a possibilidade de se redirecionar todo um diretório :

As aplicações são várias, desde repor a informação de um arquivo que você mudou de diretório ou/e de nome até ao redirecionamento de um usuário que requisitou a visualização de um diretório não permitido, por exemplo o de imagens.  

Prevenindo-se contra "hot-linking".

"Hot Linking" são links que apontam diretamente pra arquivos não HTML e roubam/decrescem a sua banda contratada. E também possível evitar isso com o .htaccess, mas antes verifique com o seu servidor se ele permite mod-rewrite. Segue abaixo o código:

O código acima apresenta um link quebrado para a imagem, mas se desejar mostrar sua logo ou coisa parecida, use:

Um amigo deu uma ótima dica de usar uma imagem enorme pra quebrar o servidor do esperto que estiver roubando a banda.

Impedindo a listagem de diretórios.

Existe sempre aquela situação de ter um diretório cheio de arquivos que não desejamos que sejam listados. Existem duas possibilidades pra se fazer isso: a primeira é criar um arquivo index.html vazio e colocar no diretório e a outra com o .htaccess:

Se este comando estiver no arquivo .htaccess do diretório principal, a listagem de todos os diretórios estarão desabilitadas. Mas você pode também especificar o tipo de arquivo que você não quer que seja listado:

Arquivos de vídeo wmv, imagens jpg e gif e animações flash não serão listados.

Usando a seguinte diretiva, ignora-se a listagem do conteúdo do diretório e ainda o configura como de visualização proibida: 

Combinando diretivas.

Respectivamente, exemplos de como liberar  a visualização de um determinado arquivo para um IP específico e a proibição de visualização de um diretório para um range de IP´s :

Esta última proíbe a visualização do arquivo  .htaccess

Concluindo.

Este é apenas um pequeno texto que  surgiu da necessidade de uso e da aplicação das configurações deste arquivo, sem pretensões de um tutorial, já que nem dez por cento de toda a versatilidade de uso deste arquivo espetacular estão expostas aqui.

Esteja a vontade pra usar o espaço de comentários pra compartilhar as suas informações e conhecimento sobre o assunto.

P.S. : Alguns emails na caixa do Metamorfose Digital, em sua maioria questionando a possibilidade de desabilitar o uso do Anonynizer e de proxys pelo .htaccess.

Não, a única forma de bloquear proxys é negando o IP depois de fazer uma tratativa das variáveis de servidor como REMOTE_ADDR, HTTP_X_FORWARDED_FOR e HTTP_PROXY_USER. Já o Anonymizer é um pouco mais difícil, mas na tratativa das mesmas variáveis você poderá saber se o usuário está navegando anonimamente:

• Se o HTTP_USER_AGENT retornar algum texto com a palavra "anony", com certeza o usuário estará usando a barra de ferramentas do anonymizer;

• O anonymyzer também envia a variável HTTP_CONNECTION igual a palavra close e a variável HTTP_ACCEPT_LANGUAGEvirá vazia. Infelizmente não se poderá afirmar que o usuário está anônimo através destas duas constatações já que alguns poucos servidores também respondem a estas variáveis de forma idêntica, mas já indica uma boa parcela de propabilidade.