.htpasswd-Eintrag-Generator
Erzeugen Sie eine Zeile, die Sie direkt in eine Apache-Datei .htpasswd einfügen können (Format identifiant:hash, Algorithmus APR1-MD5), um ein Verzeichnis per Basic-Authentifizierung zu schützen. Das eingegebene Passwort wird niemals an einen Server gesendet: Der Hash wird vollständig in Ihrem Browser mit einem lokal erzeugten zufälligen Salt berechnet.
So funktioniert es
Die Apache-Datei .htpasswd speichert pro Benutzer eine Zeile: eine Kennung, gefolgt von einem Doppelpunkt und einem Hash des Passworts (niemals das Passwort im Klartext). Dieses Tool berechnet diesen Hash im Format APR1-MD5 (das historisch vom Befehl htpasswd erzeugte Format) mit einem zufälligen Salt aus 8 Zeichen, der bei jeder Erzeugung anders ist, und setzt daraus die Zeile kennung:hash zusammen, die Sie direkt in Ihre .htpasswd-Datei oder in die entsprechende Direktive Ihrer Apache-/Nginx-Konfiguration übernehmen können.
Wo füge ich diese Zeile ein?
Fügen Sie sie in die Datei ein, auf die die Direktive AuthUserFile Ihrer Apache-Konfiguration verweist (eine Zeile pro Benutzer), und aktivieren Sie dann AuthType Basic und Require valid-user für das zu schützende Verzeichnis. Nginx benötigt ein kompatibles Modul (zum Beispiel ngx_http_auth_basic_module), das auf denselben Dateityp verweist.
Ist APR1-MD5 heute noch sicher genug?
APR1-MD5 bleibt das historische Format, das von .htpasswd-Tools am universellsten unterstützt wird, ist aber schwächer als moderne Algorithmen wie bcrypt. Wenn die Authentifizierung sensible Daten schützt, wählen Sie einen robusteren Algorithmus, sofern Ihre Apache-/Nginx-Version ihn unterstützt (bcrypt über htpasswd -B), und kombinieren Sie die Basic-Authentifizierung immer mit HTTPS, da die Zugangsdaten sonst bei jeder Anfrage im Klartext über das Netzwerk gehen.
Datenschutz: Das eingegebene Passwort und der berechnete Hash bleiben zu 100% lokal – nichts wird an einen Server gesendet, auch nicht der für diesen Eintrag erzeugte zufällige Salt.