Ablageordner und Selbsttest

Alle Dateien liegen in einem Ablageordner. Kein Download wird über die Adresse der Datei ausgeliefert, sondern immer über Fileshelf: Erst prüft Fileshelf, ob der Besucher die Datei bekommen darf, dann zählt es den Download und sendet die Datei. Damit das nicht zu umgehen ist, muss der Ordner gegen direkten Abruf gesperrt sein.

Der Selbsttest

Das Dashboard prüft den Ordner selbst: Fileshelf legt eine Testdatei ab und versucht, sie über ihre Adresse abzurufen. Das Ergebnis erscheint in drei Farben:

Ergebnis	Bedeutung
Grün	Geschützt: Die Dateien sind über ihre Adresse nicht erreichbar, oder der Ordner liegt außerhalb des Webverzeichnisses.
Rot	Nicht geschützt: Dateien lassen sich an Schutz und Zähler vorbei herunterladen. Das Dashboard zeigt, wie Sie den Ordner schließen.
Gelb	Nicht prüfbar: Die Website hat auf die Testanfrage nicht geantwortet. Prüfen Sie später erneut.

Mit Jetzt prüfen wiederholen Sie den Test, etwa nachdem Sie die Serverkonfiguration geändert haben.

Apache

Fileshelf legt eine .htaccess-Datei in den Ordner. Bleibt der Test trotzdem rot, lässt Ihr Server .htaccess-Dateien nicht zu. Bitten Sie Ihren Hoster, AllowOverride für diesen Ordner zu erlauben.

nginx

nginx liest keine .htaccess-Dateien. Tragen Sie die Regel, die das Dashboard anzeigt, in die Serverkonfiguration ein (notfalls über den Hoster). Für den vorgegebenen Ordner lautet sie:

location ^~ /fileshelf/ { deny all; }

Außerhalb des Webverzeichnisses

Am sichersten ist ein Ordner, der gar keine Adresse hat. Tragen Sie dazu unter Optionen → Ablage → Ablageordner einen absoluten Pfad außerhalb des Webverzeichnisses ein, zum Beispiel /home/kunde/fileshelf. Vorhandene Dateien werden bei einer Änderung nicht verschoben – kopieren Sie sie selbst in den neuen Ordner.

Ein Menüpunkt mit demselben Alias wie der Ablageordner (etwa fileshelf) würde mit dem Ordner gesperrt. Das Dashboard warnt in diesem Fall; geben Sie dem Menüpunkt dann einen anderen Alias.

Auslieferung durch den Webserver

Unter Optionen → Ablage → Auslieferung können Sie statt PHP den Webserver die Datei senden lassen: X-Sendfile (Apache mit mod_xsendfile) oder X-Accel-Redirect (nginx mit einer internen Adresse). Wählen Sie das nur, wenn Ihr Hoster es eingerichtet hat; im Zweifel bleiben Sie bei PHP. Schutz und Zähler gelten in allen drei Fällen.