ウェブサイトをアクセス制限したいのですが、Basic認証＋IPアドレス制限+443（https)利用以上にセキュリティを高めたいとすると、どういう方法があるでしょうか？使っているウェブサーバーアプリケーションはapacheです。

• クライアント証明書を必須にする

http://safe-linux.homeip.net/web/linux-ssl_web-05.html

アプリ側に手を加えない範囲だと、これくらいしかない気がします。

• 上位のアプリ側で二重ログイン禁止などのログイン制限を行う

ちょっと性格が違う話なので、参考程度に・・。

• SSLのポート番号を標準の 443 以外に変更する
• 利用するサイトのディレクトリ名や構造を複雑にする

これまた性格の違う話ですね。ポートスキャン的なものを避ける程度の効果はあるかもしれません。

http://alk.dip.jp/apache2-default/sv290.html

SSLのクライアント認証も適応済みですか？

SSLクライアント認証が一番手っ取り早いと思います。

IPアドレス制限やクライアント認証は、クライアントがいつも同じパソコン（固定IPアドレス）でアクセスしてくるという前提なら有効です。

例えば、銀行のイー・トレードなどではそういう前提で作れないため、さまざまな工夫をしています。

一番基本的なのは、定期的（１ヶ月とか）にパスワードを強制的に変更させる仕組みを作る。この場合はユーザがパスワードをそのつど決めるわけですが、あらかじめパスワード変更のルールを秘密に取り決めておくなども有効だと思います。月が替わるたびに、循環するルールを作るなどです。

それと、くれぐれもサーバー側にパスワードを平文で保存するようなことはしないでください。必ず、md5などのハッシュ関数で元のパスワードが容易に推測できないようにしておくということです。