Generátor .htpasswd

Funkce: Generátor .htpasswd

• 01

  Bcrypt, Apache MD5 a SHA

  Generujte moderní hash bcrypt $2y$ s nastavitelným faktorem nákladů, klasický posypaný Apache MD5 (APR1) nebo starší digest {SHA} — cokoli váš server očekává. Výstup je byte-pro-byte kompatibilní s příkazem Apache htpasswd.

• 02

  Zkopírujte řádek nebo si stáhněte soubor

  Zkopírujte kompletní řádek uživatel:hash do existujícího .htpasswd nebo si stáhněte nový soubor .htpasswd, který můžete vhodit přímo na server. Posypané schémy získávají novou náhodnou sůl pokaždé.

• 03

  100% v prohlížeči

  Veškeré hashování probíhá lokálně na vašem zařízení. Žádné uživatelské jméno, heslo ani hash není nikdy odesláno na server, takže můžete bezpečně generovat pověření pro produkční web bez jejich ohrožení.

Generátor .htpasswd – časté dotazy

Co je soubor .htpasswd?

Soubor .htpasswd uchovává uživatelská jména a hašovaná hesla pro HTTP Basic Authentication na webových serverech, jako jsou Apache a Nginx. Každý řádek má formát uživatel:hash. Server kontroluje odeslaná pověření proti těmto hašům, aby chránil adresář nebo web.

Jaký typ hashování bych měl použít?

Používejte bcrypt — je to nejbezpečnější možnost s vestavěnou solí a laditelnějším faktorem nákladů, který odolává brute-force útokům. Apache MD5 (APR1) je posypáno a stále je přijímáno pro starší nastavení. Vyhýbejte se SHA-1 ({SHA}) kromě kompatibility se staršími systémy, protože není posypáno a je považováno za slabé.

Podporuje Nginx soubory .htpasswd?

Ano. Nginx čte stejný formát htpasswd prostřednictvím direktiv auth_basic a auth_basic_user_file. Položky bcrypt a Apache MD5 (APR1) fungují správně; prostý SHA-1 je také akceptován.

Co je faktor nákladů bcrypt?

Náklady (nebo pracovní faktor) řídí, kolik kol bcrypt spustí — každé zvýšení zdvojnásobuje práci. Náklady 10–12 jsou dobrá rovnováha mezi bezpečností a rychlostí pro většinu serverů. Vyšší hodnoty jsou odolnější vůči brute-force, ale pomalejší při ověřování při každém přihlášení.

Je bezpečné generovat zde své heslo?

Ano. Hash je vypočítán zcela v prohlížeči pomocí místního JavaScriptu a Web Crypto API — nic se nepřenáší, nezaznamenává ani neukládá. Pouze výsledný hash, který nelze zvrátit zpět na vaše heslo, nikdy neopustí váš displej, když jej zkopírujete.

Jak se používá generovaný řádek v Apache?

Přidejte řádek uživatel:hash do souboru .htpasswd a poté nasměrujte Apache na něj pomocí direktiv AuthType Basic, AuthName a AuthUserFile v .htaccess nebo virtual host. Znovu načtěte Apache a chráněný adresář bude kontrolovat pověření, která jste generovali.