Générateur Htpasswd gratuit
Ce générateur htpasswd gratuit transforme les noms d'utilisateur et les mots de passe en lignes username:hash pour le fichier .htpasswd utilisé par l'authentification basique Apache et Nginx. Choisissez bcrypt, l'option plus robuste, ou APR1 pour les anciennes configurations, ajoutez jusqu'à 20 utilisateurs, et copiez les lignes avec les extraits de config qui activent la protection. Les mots de passe sont hachés pour cette requête uniquement et ne sont pas stockés.
Htpasswd Generator
Generators and Converters
À propos de cet outil
L'authentification basique affiche une simple invite de nom d'utilisateur et de mot de passe devant un dossier ou un site entier. C'est un moyen rapide de masquer un site de staging, un dossier admin ou un brouillon aux moteurs de recherche et aux visiteurs. Le serveur a besoin d'un fichier de mots de passe où chaque ligne est un nom d'utilisateur, deux points et un hachage de mot de passe, jamais le mot de passe lui-même.
Entrez un utilisateur par ligne sous la forme username:password. Pour chaque ligne, l'outil crée un hachage et affiche le fichier terminé. Bcrypt est le meilleur choix, car il est lent à deviner et est supporté par Apache et Nginx actuels. APR1 est un format basé sur MD5 qui fonctionne presque partout, y compris sur les anciens serveurs, mais il est plus faible. Les salts sont aléatoires, donc hacher le même mot de passe deux fois donne des lignes différentes, et les deux sont valides.
L'authentification basique envoie le mot de passe avec chaque requête, utilisez-la donc toujours en HTTPS. Enregistrez le résultat sous .htpasswd en dehors du dossier web public, et ne mettez jamais de vrais mots de passe que vous utilisez ailleurs dans aucun formulaire en ligne. Cette page ne stocke ni n'enregistre ce que vous tapez, mais pour la plus grande assurance, vous pouvez générer le fichier localement avec la commande htpasswd.
Questions fréquentes
Quel hachage dois-je choisir, bcrypt ou APR1 ?
Choisissez bcrypt chaque fois que votre serveur le supporte. Apache 2.4 et Nginx le lisent tous les deux, et il est conçu pour être lent à forcer par brute force. APR1 est un ancien format basé sur MD5 que vous n'avez besoin d'utiliser que pour les très anciens serveurs ou logiciels qui ne peuvent pas lire bcrypt.
Où dois-je placer le fichier .htpasswd ?
En dehors de la racine web publique si possible, par exemple un niveau au-dessus, et pointez le serveur vers le chemin complet. Un fichier conservé dans le dossier public peut être téléchargé à moins que le serveur ne soit configuré pour le bloquer. Sur Apache, la ligne AuthUserFile contient le chemin.
L'authentification basique est-elle suffisamment sécurisée ?
Elle convient pour tenir les visiteurs occasionnels et les crawlers à l'écart d'un site de staging, mais ce n'est pas un système de connexion complet. Le mot de passe voyage avec chaque requête, utilisez donc HTTPS uniquement, choisissez des mots de passe longs et évitez de les réutiliser. Pour les vrais comptes d'utilisateur, utilisez une authentification d'application appropriée.
Pourquoi le même mot de passe donne-t-il un hachage différent à chaque fois ?
Chaque hachage inclut un salt aléatoire. Le salt est stocké dans le hachage, donc le serveur peut toujours vérifier le mot de passe. Cela signifie aussi que deux utilisateurs avec le même mot de passe ne partagent pas la même ligne, ce qui est ce que vous voulez.