Генератор записи .htpasswd
Создайте строку, готовую для вставки в файл .htpasswd Apache (формат identifiant:hash, алгоритм APR1-MD5), чтобы защитить каталог базовой аутентификацией. Введённый пароль никогда не отправляется на сервер: хеш вычисляется целиком в вашем браузере со случайной солью, созданной локально.
Как это работает
Файл .htpasswd Apache хранит по одной строке на пользователя: идентификатор, двоеточие и хеш пароля (но никогда не пароль в открытом виде). Инструмент вычисляет этот хеш в формате APR1-MD5 (исторически создаваемом командой htpasswd) со случайной солью из 8 символов, разной при каждой генерации, а затем собирает строку идентификатор:хеш, готовую к добавлению в файл .htpasswd или в соответствующую директиву конфигурации Apache/Nginx.
Куда поместить эту строку?
Добавьте её в файл, указанный в директиве AuthUserFile вашей конфигурации Apache (одна строка на пользователя), затем включите AuthType Basic и Require valid-user для защищаемого каталога. Для Nginx нужен совместимый модуль (например, ngx_http_auth_basic_module), указывающий на файл того же типа.
Достаточно ли сегодня безопасен APR1-MD5?
APR1-MD5 остаётся самым универсально поддерживаемым историческим форматом в инструментах .htpasswd, но он слабее современных алгоритмов вроде bcrypt. Для аутентификации, защищающей чувствительные данные, выбирайте более надёжный алгоритм, если ваша версия Apache/Nginx его поддерживает (bcrypt через htpasswd -B), и всегда сочетайте базовую аутентификацию с HTTPS — иначе учётные данные передаются по сети открытым текстом при каждом запросе.
Конфиденциальность: введённый пароль и вычисленный хеш остаются на 100% локальными — на сервер ничего не отправляется, включая случайную соль, созданную для этой записи.