Công cụ tạo Htpasswd

Tính năng của Công cụ tạo Htpasswd

• 01

  Bcrypt, Apache MD5 và SHA

  Tạo hash bcrypt $2y$ hiện đại với hệ số chi phí có thể điều chỉnh, MD5 Apache (APR1) được salt lâu đời, hoặc digest {SHA} cũ — bất kỳ cái gì máy chủ của bạn mong đợi. Output tương thích hoàn toàn với lệnh Apache htpasswd.

• 02

  Sao chép dòng hoặc tải xuống file

  Sao chép dòng username:hash hoàn chỉnh cho .htpasswd hiện tại của bạn, hoặc tải xuống file .htpasswd mới mà bạn có thể đặt trực tiếp lên máy chủ. Các lược đồ được salt nhận được salt ngẫu nhiên mới trên mỗi lần chạy.

• 03

  100% trong trình duyệt của bạn

  Tất cả hashing diễn ra cục bộ trên thiết bị của bạn. Không có tên người dùng, mật khẩu hoặc hash nào được gửi đến máy chủ, vì vậy bạn có thể an toàn tạo thông tin xác thực cho các trang web sản xuất mà không để lộ chúng.

Câu hỏi thường gặp về Công cụ tạo Htpasswd

File .htpasswd là gì?

File .htpasswd lưu trữ tên người dùng và mật khẩu được hash cho Xác thực HTTP cơ bản trên các máy chủ web như Apache và Nginx. Mỗi dòng có định dạng username:hash. Máy chủ kiểm tra thông tin xác thực được gửi so với các hash này để bảo vệ thư mục hoặc trang web.

Tôi nên sử dụng loại hash nào?

Sử dụng bcrypt — đó là tùy chọn an toàn nhất, với salt tích hợp và hệ số chi phí có thể điều chỉnh chống lại các cuộc tấn công brute-force. Apache MD5 (APR1) có salt và vẫn được hỗ trợ rộng rãi cho các thiết lập cũ. Tránh SHA-1 ({SHA}) trừ khi cần tính tương thích cũ, vì nó không được salt và được coi là yếu.

Nginx có hỗ trợ các file .htpasswd không?

Có. Nginx đọc cùng định dạng htpasswd thông qua các chỉ thị auth_basic và auth_basic_user_file. Cả bcrypt và Apache MD5 (APR1) đều hoạt động; SHA-1 thô cũng được chấp nhận.

Hệ số chi phí bcrypt là gì?

Chi phí (hoặc hệ số công việc) kiểm soát bcrypt chạy bao nhiêu vòng — mỗi số tăng sẽ tăng gấp đôi công việc. Chi phí 10–12 là một sự cân bằng tốt giữa bảo mật và tốc độ cho hầu hết các máy chủ. Các giá trị cao hơn chống lại brute-force nhiều hơn nhưng chậm hơn để xác minh ở mỗi lần đăng nhập.

Có an toàn không khi tạo mật khẩu ở đây?

Có. Hash được tính toán hoàn toàn trong trình duyệt của bạn bằng cách sử dụng JavaScript cục bộ và Web Crypto API — không có gì được truyền, ghi lại hoặc lưu trữ. Chỉ hash kết quả, không thể đảo ngược thành mật khẩu của bạn, mới rời khỏi màn hình khi bạn sao chép nó.

Tôi sử dụng dòng được tạo trong Apache như thế nào?

Thêm dòng username:hash vào file .htpasswd của bạn, rồi chỉ Apache vào nó bằng các chỉ thị AuthType Basic, AuthName và AuthUserFile trong .htaccess hoặc máy chủ ảo của bạn. Tải lại Apache và thư mục được bảo vệ sẽ nhắc bạn nhập thông tin xác thực mà bạn đã tạo.