Cara Whitelist IP Address Range dengan .htaccess

.htaccess bukan hanya dipakai untuk rewrite URL atau setting caching. File kecil ini juga bisa jadi lapisan keamanan tambahan. Salah satunya: membatasi akses ke aplikasi hanya dari IP atau rentang IP tertentu (whitelisting).

Teknik ini berguna, misalnya:

• Saat aplikasi masih tahap development dan hanya boleh diakses tim internal.
• Untuk melindungi area sensitif seperti /admin atau /api.
• Membatasi akses ke server hanya dari jaringan kantor atau VPN.

Whitelist Satu IP

Kalau Anda hanya ingin mengizinkan satu IP, cukup sederhana:

<RequireAll>
  Require ip 203.0.113.25
</RequireAll>

Dengan aturan ini, hanya 203.0.113.25 yang bisa mengakses. Semua IP lain otomatis ditolak (403 Forbidden).

Whitelist Beberapa IP

Anda bisa menambahkan lebih dari satu baris:

<RequireAll>
  Require ip 203.0.113.25
  Require ip 198.51.100.10
  Require ip 192.0.2.8
</RequireAll>

Hasilnya: hanya tiga IP tersebut yang mendapat akses.

Whitelist Rentang IP (CIDR)

Untuk mengizinkan satu range alamat IP, gunakan CIDR notation. Contoh:

<RequireAll>
  Require ip 203.0.113.0/24
</RequireAll>

• /24 artinya semua IP dari 203.0.113.0 sampai 203.0.113.255.
• Jadi, seluruh subnet ini masuk whitelist.

Anda juga bisa mengombinasikan single IP dan range:

<RequireAll>
  Require ip 203.0.113.25
  Require ip 198.51.100.0/24
</RequireAll>

Contoh Praktis: Proteksi Folder Admin

Misalnya Anda punya folder /admin yang harus diakses hanya dari kantor. Cukup taruh .htaccess di dalam folder tersebut:

AuthType Basic
AuthName "Restricted Area"

<RequireAll>
  Require ip 203.0.113.0/24
  Require ip 198.51.100.10
</RequireAll>

Sekarang hanya tim internal dengan IP kantor/VPN yang bisa membuka /admin.

Catatan Penting

1. Apache 2.4+ → Sintaks Require hanya berlaku di Apache versi baru. Jika masih pakai Apache 2.2, gunakan Allow from/Deny from.
2. Testing dulu → Selalu uji aturan di staging sebelum di production. Salah konfigurasi bisa mengunci Anda sendiri keluar dari server.
3. Skalabilitas → Whitelist di .htaccess cocok untuk skenario kecil-menengah. Untuk aplikasi besar, lebih baik atur whitelist di firewall (iptables, ufw) atau WAF.

Kesimpulan

Whitelist IP dengan .htaccess adalah cara cepat untuk membatasi akses ke direktori atau aplikasi. Praktis untuk menjaga area sensitif, melindungi API, atau membatasi akses hanya ke jaringan internal.

Sederhana, tapi ampuh — asalkan dipakai dengan hati-hati.