Kostenloser Htpasswd Generator
Dieser kostenlose Htpasswd Generator wandelt Benutzernamen und Passwörter in username:hash-Zeilen für die .htpasswd-Datei um, die von Apache und Nginx Basic Authentication verwendet wird. Wählen Sie bcrypt, die stärkere Option, oder APR1 für ältere Setups, fügen Sie bis zu 20 Benutzer hinzu und kopieren Sie die Zeilen mit den Konfigurationsausschnitten, die den Schutz aktivieren. Passwörter werden nur für diese Anfrage gehasht und nicht gespeichert.
Htpasswd Generator
Generators and Converters
Über dieses Tool
Basic Authentication zeigt eine einfache Benutzernamen- und Passwortabfrage vor einem Ordner oder einer ganzen Website an. Es ist eine schnelle Möglichkeit, eine Staging-Website, einen Admin-Ordner oder einen Entwurf vor Suchmaschinen und Besuchern zu verbergen. Der Server benötigt eine Passwortdatei, in der jede Zeile einen Benutzernamen, einen Doppelpunkt und einen Passwort-Hash enthält, niemals das Passwort selbst.
Geben Sie einen Benutzer pro Zeile als username:password ein. Für jede Zeile erstellt das Tool einen Hash und gibt die fertige Datei aus. Bcrypt ist die bessere Wahl, da es langsam zu erraten ist und von aktuellem Apache und Nginx unterstützt wird. APR1 ist ein MD5-basiertes Format, das fast überall funktioniert, auch auf älteren Servern, ist aber schwächer. Salts sind zufällig, daher ergibt das Hashen desselben Passworts zweimal unterschiedliche Zeilen, und beide sind gültig.
Basic Authentication sendet das Passwort mit jeder Anfrage, verwenden Sie es daher immer über HTTPS. Speichern Sie das Ergebnis als .htpasswd außerhalb des öffentlichen Web-Ordners und geben Sie niemals echte Passwörter, die Sie anderswo verwenden, in ein Online-Formular ein. Diese Seite speichert oder protokolliert nicht, was Sie eingeben, aber für die höchste Sicherheit können Sie die Datei lokal mit dem Befehl htpasswd generieren.
Häufig gestellte Fragen
Welchen Hash sollte ich wählen, bcrypt oder APR1?
Wählen Sie bcrypt, wenn Ihr Server es unterstützt. Apache 2.4 und Nginx lesen es beide, und es ist so konzipiert, dass es langsam zu brute-forcen ist. APR1 ist ein älteres MD5-basiertes Format, das Sie nur für sehr alte Server oder Software benötigen, die bcrypt nicht lesen kann.
Wo platziere ich die .htpasswd-Datei?
Außerhalb des öffentlichen Web-Stammverzeichnisses, wenn möglich, zum Beispiel eine Ebene darüber, und verweisen Sie den Server auf den vollständigen Pfad. Eine Datei im öffentlichen Ordner kann heruntergeladen werden, es sei denn, der Server ist so konfiguriert, dass er sie blockiert. Bei Apache enthält die AuthUserFile-Zeile den Pfad.
Ist Basic Authentication sicher genug?
Es ist ausreichend, um gelegentliche Besucher und Crawler von einer Staging-Website fernzuhalten, aber es ist kein vollständiges Login-System. Das Passwort wird mit jeder Anfrage übertragen, verwenden Sie daher nur HTTPS, wählen Sie lange Passwörter und vermeiden Sie deren Wiederverwendung. Für echte Benutzerkonten verwenden Sie ordnungsgemäße Anwendungsauthentifizierung.
Warum ergibt dasselbe Passwort jedes Mal einen anderen Hash?
Jeder Hash enthält einen zufälligen Salt. Der Salt wird im Hash gespeichert, daher kann der Server das Passwort immer noch überprüfen. Dies bedeutet auch, dass zwei Benutzer mit demselben Passwort nicht dieselbe Zeile teilen, was genau das ist, was Sie möchten.