Pour limiter l'accès à certains utilisateurs, on place le nom des utilisateurs autorisés dans un fichier .htaccess dans le répertoire concerné. Les mots de passe correspondant à chaque utilisateur sont stockés, de manière codifiée, dans un fichier .htpasswd.
Ce fichier n'est pas nécessairement placé dans le répertoire concerné, il est même conseillé de le placer dans une zone non accessible en HTTP classique. Plusieurs fichiers .htaccess peuvent utiliser un même fichier .htpasswd.