BASIC認証以外のステージングサイトの公開の仕方

Question

自前で用意したVPSにて、ステージングサイトをチームのメンバーだけに公開し、一般の人（検索エンジンのクローラ含む）からはアクセスできないようにしたいと思っています。

もちろんBASIC認証でもかまわないのですが、その他の方法で同等の手軽さを持ち、なおかつBASIC認証より比較的秘匿性の高い方法はありますでしょうか。

＃特に深い理由があるわけではありませんが、BASIC認証で大丈夫なの？
＃と言われた時の担保として方法があれば持っておきたく思っています。。。

環境としてはWordpressなどのCMSで作成したものではなく、Node.jsとApacheで作成した2環境あります。

幼稚な質問ですみませんが宜しくお願いします。

Answer 1

やはり証明書かURLをいじるかどちらかになりそうですね。クライアントがスマホだったりブラウザだったりするのでクライアント証明書はめんどくさいかなぁと思っています。
URLでrewriteするのもありかなと思いますが、今回の手間を考えるとBASIC認証がやはり手軽そうですね。。。

ありがとうございました！

Answer 2

ソースIPアドレスで制限

一番定番な方法ですがソースIPアドレスが固定できる必要があります。
（スマホとかはVPNする必要があります）

SSLクライアント証明書でクライアント認証

オレオレ証明書でも Basic 認証の代わりに使うだけであればまあ良いのではないかと。

Answer 3

Basic認証が不安ならSSL + ダイジェスト認証ですかね。

Answer 4

クエリ文字列に _version=staging のようなものを加えて、それが入っているときにだけ、公開中のものとは別バージョンの出力をする、ようなCMSを作ったことがあります。一般的だとは思いませんが、ガラケーで多数の機種で実機の表示を確認しなければならなかったとき、いちいちBASIC認証でユーザ/パスワードを入力するのが苦痛だったので、このような処理を作り込みました(そしてURLをメールで、その端末に送りました)。
以上、参考まで。