{"id":16938,"date":"2026-07-21T11:09:35","date_gmt":"2026-07-21T14:09:35","guid":{"rendered":"https:\/\/www.homehost.com.br\/blog\/?p=16938"},"modified":"2026-07-21T11:35:02","modified_gmt":"2026-07-21T14:35:02","slug":"allow_url_fopen","status":"publish","type":"post","link":"https:\/\/www.homehost.com.br\/blog\/tutoriais\/php\/allow_url_fopen\/","title":{"rendered":"allow_url_fopen: o que \u00e9, como ativar e os riscos"},"content":{"rendered":"\n

O allow_url_fopen<\/code> \u00e9 a diretiva do PHP que decide se fun\u00e7\u00f5es como file_get_contents()<\/code> e fopen()<\/code> podem abrir arquivos por uma URL remota \u2014 como se l\u00ea um arquivo local. Quando um script falha com a mensagem “http:\/\/ wrapper is disabled … by allow_url_fopen=0”, \u00e9 porque essa permiss\u00e3o est\u00e1 desligada.<\/strong> Entender essa diretiva \u00e9 entender uma escolha entre conveni\u00eancia e seguran\u00e7a.<\/p>\n\n\n\n

Este guia explica o que o allow_url_fopen<\/code> faz, como verificar e alterar o seu estado, por que ele costuma vir desativado por padr\u00e3o e \u2014 o ponto mais importante \u2014 quando vale a pena usar o cURL<\/a> como alternativa mais segura para buscar conte\u00fado remoto.<\/p>\n\n\n\n

\n
Resposta r\u00e1pida<\/div>\n

O allow_url_fopen<\/strong> permite que o PHP abra arquivos por URL remota (com file_get_contents()<\/code>, fopen()<\/code> etc.). Para verificar se est\u00e1 ativo, use ini_get('allow_url_fopen')<\/code>. Para ativar, coloque allow_url_fopen = On<\/code> no php.ini<\/strong> ou php_value allow_url_fopen 1<\/code> no .htaccess<\/strong>. Ele vem desligado por seguran\u00e7a<\/strong> em muitas hospedagens \u2014 se puder, prefira usar o cURL<\/strong> para buscar conte\u00fado remoto, que \u00e9 mais seguro e n\u00e3o depende dessa diretiva.<\/p>\n<\/div>\n\n\n\n

O que \u00e9 o allow_url_fopen<\/h2>\n\n\n\n

O allow_url_fopen<\/code><\/strong> \u00e9 uma diretiva do php.ini<\/a> que controla se as fun\u00e7\u00f5es de manipula\u00e7\u00e3o de arquivos do PHP podem acessar arquivos remotos por URL<\/strong>, e n\u00e3o apenas arquivos locais no servidor.<\/p>\n\n\n\n

Quando est\u00e1 ligado<\/strong> (On), voc\u00ea pode fazer algo assim:<\/p>\n\n\n\n

\n $conteudo = file_get_contents('https:\/\/exemplo.com\/dados.xml');<\/code>\n<\/div>\n\n\n\n

O PHP trata a URL remota como se fosse um arquivo local, baixando o conte\u00fado. Isso afeta principalmente as fun\u00e7\u00f5es file_get_contents()<\/code>, fopen()<\/code> e afins. (Um detalhe: incluir c\u00f3digo remoto com include<\/code>\/require<\/code> depende de outra diretiva, o allow_url_include<\/code>, que \u00e9 ainda mais restrita \u2014 e deve ficar sempre desligada.)<\/p>\n\n\n\n

Quando est\u00e1 desligado<\/strong> (Off), qualquer tentativa de abrir uma URL remota com essas fun\u00e7\u00f5es falha, tipicamente com o aviso: file_get_contents(): http:\/\/ wrapper is disabled in the server configuration by allow_url_fopen=0<\/code>.<\/p>\n\n\n\n

Como verificar se est\u00e1 ativo<\/h2>\n\n\n\n

Antes de mudar qualquer coisa, veja o estado atual. A forma mais direta, pelo c\u00f3digo:<\/p>\n\n\n\n

\n <?php\nif (ini_get('allow_url_fopen')) {\n echo 'allow_url_fopen est\u00e1 ATIVO';\n} else {\n echo 'allow_url_fopen est\u00e1 DESLIGADO';\n}\n<\/code>\n<\/div>\n\n\n\n

Voc\u00ea tamb\u00e9m pode consultar o phpinfo()<\/code> e procurar por allow_url_fopen<\/code> \u2014 o guia do php.ini<\/a> mostra como. Se o valor for Off<\/code> e o seu script precisa ler URLs remotas, a\u00ed sim considere ativ\u00e1-lo (ou, melhor ainda, usar cURL<\/a> \u2014 veja mais abaixo).<\/p>\n\n\n\n

Como ativar o allow_url_fopen<\/h2>\n\n\n\n

Se voc\u00ea tem certeza de que precisa (e entende os riscos), h\u00e1 os caminhos habituais.<\/p>\n\n\n\n

No php.ini<\/h3>\n\n\n\n

No php.ini<\/a>:<\/p>\n\n\n\n

\n allow_url_fopen = On<\/code>\n<\/div>\n\n\n\n

Em hospedagem compartilhada, pelo painel \u2014 no cPanel, em Select PHP Version \u2192 Options<\/em>, marcando allow_url_fopen<\/code>.<\/p>\n\n\n\n

No .htaccess<\/h3>\n\n\n\n

Em servidor Apache, pelo .htaccess<\/a>:<\/p>\n\n\n\n

\n php_value allow_url_fopen 1<\/code>\n<\/div>\n\n\n\n

Um ponto importante: o allow_url_fopen<\/code> n\u00e3o pode<\/strong> ser alterado por ini_set()<\/code> no c\u00f3digo. Ele \u00e9 lido na inicializa\u00e7\u00e3o do PHP e faz parte da categoria de diretivas que s\u00f3 valem se definidas na configura\u00e7\u00e3o (php.ini, .htaccess ou painel) \u2014 nunca em tempo de execu\u00e7\u00e3o. Se voc\u00ea viu por a\u00ed um ini_set('allow_url_fopen', 1)<\/code>, saiba que ele n\u00e3o tem efeito.<\/p>\n\n\n\n

Por que ele vem desligado: a quest\u00e3o de seguran\u00e7a<\/h2>\n\n\n\n
\n
⚠️ Por que muitas hospedagens desligam por padr\u00e3o<\/div>\n

Um script que abre URLs remotas \u00e9 uma porta de entrada para ataques. Se um invasor conseguir controlar a URL que o seu c\u00f3digo abre, ele pode for\u00e7ar o servidor a acessar endere\u00e7os internos da rede (ataque conhecido como SSRF<\/strong>) ou, em cen\u00e1rios piores, injetar c\u00f3digo remoto. Por isso, muitas hospedagens deixam o allow_url_fopen<\/code> desligado por padr\u00e3o \u2014 \u00e9 uma camada de prote\u00e7\u00e3o, n\u00e3o um capricho.<\/p>\n<\/div>\n\n\n\n

O risco n\u00e3o \u00e9 te\u00f3rico. Quando um script usa uma URL vinda de fora (de um formul\u00e1rio, de um par\u00e2metro) sem valida\u00e7\u00e3o, e o allow_url_fopen<\/code> est\u00e1 ligado, um atacante pode manipular essa URL para fazer o servidor buscar recursos que n\u00e3o deveria \u2014 de p\u00e1ginas internas da rede a metadados de infraestrutura. \u00c9 o tipo de brecha que costuma passar despercebido at\u00e9 ser explorado.<\/p>\n\n\n\n

Por isso, a recomenda\u00e7\u00e3o geral \u00e9: mantenha desligado, a menos que voc\u00ea precise mesmo<\/strong> \u2014 e, se precisar, valide rigorosamente qualquer URL antes de abri-la, e nunca use uma URL que venha diretamente da entrada do usu\u00e1rio.<\/p>\n\n\n\n

A alternativa recomendada: cURL<\/h2>\n\n\n\n

Na maioria dos casos em que se quer buscar conte\u00fado remoto, h\u00e1 uma op\u00e7\u00e3o melhor que ligar o allow_url_fopen<\/code>: usar o cURL<\/strong>, a biblioteca do PHP feita exatamente para requisi\u00e7\u00f5es HTTP. O cURL funciona mesmo com o allow_url_fopen<\/code> desligado, d\u00e1 muito mais controle (cabe\u00e7alhos, timeout, m\u00e9todos, autentica\u00e7\u00e3o) e \u00e9 a forma consagrada de fazer requisi\u00e7\u00f5es em PHP.<\/p>\n\n\n\n

\n $ch = curl_init('https:\/\/exemplo.com\/dados.xml');\ncurl_setopt($ch, CURLOPT_RETURNTRANSFER, true);\n$conteudo = curl_exec($ch);\ncurl_close($ch);<\/code>\n<\/div>\n\n\n\n

Esse trecho faz o mesmo que o file_get_contents()<\/code> de uma URL, mas sem depender do allow_url_fopen<\/code>. Uma abordagem robusta \u00e9 o script tentar o file_get_contents()<\/code> se a diretiva estiver ligada e cair para o cURL caso contr\u00e1rio \u2014 assim o c\u00f3digo funciona em qualquer servidor, com ou sem a diretiva. Para a maioria dos projetos, adotar o cURL de sa\u00edda \u00e9 a escolha mais segura e port\u00e1vel.<\/p>\n\n\n\n

Perguntas frequentes<\/h2>\n\n\n\n

O que \u00e9 o allow_url_fopen no PHP?<\/strong>
\u00c9 a diretiva que controla se o PHP pode abrir arquivos remotos por URL usando fun\u00e7\u00f5es como file_get_contents() e fopen(), tratando o endere\u00e7o remoto como se fosse um arquivo local. Quando est\u00e1 desligada, essas fun\u00e7\u00f5es n\u00e3o conseguem acessar URLs externas e retornam um aviso indicando que o wrapper http:\/\/ est\u00e1 desabilitado.<\/p>\n\n\n\n

Como ativar o allow_url_fopen?<\/strong>
Defina allow_url_fopen = On no php.ini, ou php_value allow_url_fopen 1 no .htaccess em servidores Apache. Em hospedagem compartilhada, ative pelo painel (no cPanel, em Select PHP Version \u2192 Options). N\u00e3o \u00e9 poss\u00edvel ativ\u00e1-lo por ini_set() no c\u00f3digo, porque a diretiva \u00e9 lida na inicializa\u00e7\u00e3o do PHP.<\/p>\n\n\n\n

Por que o allow_url_fopen vem desligado?<\/strong>
Por seguran\u00e7a. Scripts que abrem URLs remotas podem ser explorados: se um atacante controla a URL, ele pode for\u00e7ar o servidor a acessar endere\u00e7os internos (ataque SSRF) ou injetar c\u00f3digo. Muitas hospedagens desligam a diretiva por padr\u00e3o como prote\u00e7\u00e3o. S\u00f3 ative se realmente precisar, validando qualquer URL antes de us\u00e1-la.<\/p>\n\n\n\n

Qual a mensagem de erro quando o allow_url_fopen est\u00e1 desligado?<\/strong>
Ao tentar abrir uma URL remota com a diretiva desligada, o PHP retorna algo como: file_get_contents(): http:\/\/ wrapper is disabled in the server configuration by allow_url_fopen=0. \u00c9 o sinal claro de que a fun\u00e7\u00e3o tentou acessar um recurso remoto e foi bloqueada pela configura\u00e7\u00e3o.<\/p>\n\n\n\n

Como buscar conte\u00fado remoto sem o allow_url_fopen?<\/strong>
Use o cURL, a biblioteca de requisi\u00e7\u00f5es HTTP do PHP. Ela funciona mesmo com o allow_url_fopen desligado e d\u00e1 mais controle sobre a requisi\u00e7\u00e3o. Uma pr\u00e1tica comum \u00e9 usar file_get_contents() quando a diretiva est\u00e1 ativa e cair para o cURL quando n\u00e3o est\u00e1, deixando o c\u00f3digo port\u00e1vel entre servidores.<\/p>\n\n\n\n

allow_url_fopen e allow_url_include s\u00e3o a mesma coisa?<\/strong>
N\u00e3o. O allow_url_fopen permite ler arquivos remotos com fun\u00e7\u00f5es como file_get_contents(). O allow_url_include, mais perigoso, permitiria incluir e executar c\u00f3digo remoto com include\/require. O allow_url_include deve ficar sempre desligado, pois executar c\u00f3digo externo \u00e9 uma falha de seguran\u00e7a grave.<\/p>\n\n\n\n