ベーシック認証(Basic 認証)
Web サイトにアクセスした際、ブラウザ上に ID とパスワードの入力ダイアログを表示させ、知っている人だけを中に入れるようにする「HTTP(HTTPS / HTTP) の最も基本的な認証方式」です。制作会社に依頼すれば「.htaccess」や「.htpasswd」といったサーバーの設定ファイルで非常に手軽に実装できます。
現場での活用シーン：「公開前のテスト環境」や「簡易的な防波堤」
絶対に押さえておきたいのは、「Basic 認証はあくまで簡易的な制限手段であり、本番環境の会員サイト等には絶対に使わない」という鉄則です。
実務では、公開前の LP（ランディングページ）や、リニューアル中のステージング（テスト）環境(ステージング環境)で、「関係者以外に見られないようにする」目的で使われます。よりセキュアな社内管理画面などでは、特定の場所からしかアクセスできない「IP 制限」と組み合わせた多層防御にするのが現場のスタンダードです。
現場でよくある「痛い失敗」と致命的なリスク
- HTTP のまま設定し、パスワードがダダ漏れになるリスク：Basic 認証のパスワードは「Base64」という平文に毛が生えた程度の非常に弱い処理で送信されます。そのため、通信を暗号化する「HTTPS(SSL / TLS)」と併用しないと、カフェのフリー Wi-Fi などで簡単に盗聴されてしまいます。「Basic 認証は必ず HTTPS 環境で使う」を社内ルールにしてください。
- アカウントの使い回しによる情報漏洩：手軽なため「ID: test / PASS: 1234」のような共通アカウントを全関係者で使い回しがちです。外部パートナーの業務終了時や担当者の退職時にパスワードを変更し忘れると、未公開情報がいつまでも外部から見られ放題になるため注意が必要です。
- 公開日の「外し忘れ」による SEO 大事故：Basic 認証は人間のアクセスだけでなく、Google の情報を集めるロボット（クローラ）も完全にシャットアウトします。サイトの公開・リニューアル当日にテスト環境の Basic 認証を本番環境から外し忘れると、検索エンジンからサイトが消滅（インデックス除外）し、検索順位(SEO)が吹き飛ぶ大惨事（Web 業界あるある）になります。公開時のチェックリストには必ず「Basic 認証の解除」を入れましょう。
言葉をよく利用する人
- コーダー / フロントエンドエンジニア
- バックエンドエンジニア
- Web 担当者(発注側)
- 情シス
会話上での使用例
公開前のステージング環境を外部から見られないようにする場面
-
コーダー
ステージング環境なんですけど、URLを知っていれば外部からでもアクセスできてしまう状態です。
-
Web担当者
それは困りますね。本番前のテスト環境なので、ベーシック認証をかけて閲覧を制限しましょう。htaccessで簡単に設定できますし、関係者にだけIDとパスワードを渡せば大丈夫です。
-
コーダー
了解です。HTTPSも有効になっているので、すぐ入れておきます。
会員ページの認証方式を相談する場面
-
プロデューサー
会員専用ページなんですが、ベーシック認証で済ませてしまっていいですか。
-
Web担当者
ベーシック認証は手軽なんですが、あくまで簡易的な制限なので、本番の会員機能には向かないんです。会員ごとにログインを管理する仕組みを別で用意したほうが安全ですよ。