Generator .htpasswd

Funkcje: Generator .htpasswd

• 01

  Bcrypt, Apache MD5 i SHA

  Generuj nowoczesny hash bcrypt $2y$ z regulowanym współczynnikiem kosztu, klasyczny solony Apache MD5 (APR1) lub starszy digest {SHA} — cokolwiek oczekuje Twój serwer. Wyjście jest bajtowo kompatybilne z poleceniem Apache htpasswd.

• 02

  Skopiuj linię lub pobierz plik

  Skopiuj kompletną linię użytkownik:hasz do istniejącego .htpasswd lub pobierz świeży plik .htpasswd, który możesz wrzucić bezpośrednio na serwer. Schematy solone otrzymują nowy losowy sól za każdym razem.

• 03

  100% w przeglądarce

  Całe haszowanie odbywa się lokalnie na Twoim urządzeniu. Żadna nazwa użytkownika, hasło ani hasz nie jest nigdy wysyłane na serwer, więc możesz bezpiecznie generować poświadczenia dla produkcyjnych stron bez ich ujawniania.

Generator .htpasswd – FAQ

Co to jest plik .htpasswd?

Plik .htpasswd przechowuje nazwy użytkowników i zaszyfrowane hasła dla HTTP Basic Authentication na serwerach internetowych, takich jak Apache i Nginx. Każda linia ma format użytkownik:hasz. Serwer sprawdza przesłane poświadczenia względem tych haszy w celu ochrony katalogu lub witryny.

Jaki typ haszowania powinienem użyć?

Użyj bcrypt — jest to najbezpieczniejsza opcja, z wbudowaną solą i regulowanym współczynnikiem kosztu, który odpiera ataki brute-force. Apache MD5 (APR1) jest solony i nadal powszechnie obsługiwany dla starszych konfiguracji. Unikaj SHA-1 ({SHA}) poza kompatybilnością z systemami starszymi, ponieważ jest niesalony i uważany za słaby.

Czy Nginx obsługuje pliki .htpasswd?

Tak. Nginx czyta ten sam format htpasswd za pośrednictwem dyrektyw auth_basic i auth_basic_user_file. Wpisy bcrypt i Apache MD5 (APR1) działają prawidłowo; zwykły SHA-1 jest również akceptowany.

Co to jest współczynnik kosztu bcrypt?

Koszt (lub współczynnik pracy) kontroluje, ile rund bcrypt wykonuje — każdy przyrost podwaja pracę. Koszt 10–12 to dobra równowaga między bezpieczeństwem i prędkością dla większości serwerów. Wyższe wartości są bardziej odporne na brute-force, ale wolniejsze do weryfikacji przy każdym logowaniu.

Czy bezpieczne jest generowanie hasła tutaj?

Tak. Hasz jest obliczany całkowicie w Twojej przeglądarce przy użyciu lokalnego JavaScript i Web Crypto API — nic nie jest przesyłane, logowane ani przechowywane. Tylko wynikowy hasz, którego nie można cofnąć do Twojego hasła, nigdy nie opuszcza Twojego ekranu, gdy go skopiujesz.

Jak używać wygenerowaną linię w Apache?

Dodaj linię użytkownik:hasz do pliku .htpasswd, a następnie wskaż Apache na nią za pomocą dyrektyw AuthType Basic, AuthName i AuthUserFile w .htaccess lub virtual host. Przeładuj Apache, a chroniony katalog będzie monitorować poświadczenia, które wygenerowałeś.