htpasswd-Generator
Die Zeile, die Apache haben will, auf der eigenen Maschine gehasht.
Beispiele ersetzen vorübergehend Eingabe und Einstellungen. Du kannst deine vorherige Arbeit wiederherstellen.
Oben einfügen oder tippen, das Ergebnis erscheint hier.
Ihre Dateien bleiben auf Ihrem Gerät
Dieses Tool läuft vollständig in Ihrem Browser. Was Sie einfügen, wird auf Ihrem Gerät verarbeitet und nie an einen Server gesendet. Es ist daher auch für Tokens, Schlüssel und unveröffentlichte Texte sicher.
Beispiel
Testseite mit Passwort schützen: zwei Zugänge für .htpasswd mit bcrypt
Eine neue Website liegt vor dem Start auf einer Testadresse, und nur die Kundin und die Agentur sollen sie sehen. Ins Feld kommt je Zeile benutzer:passwort: kunde:Vorschau-Sommer26 und anna:Probe.Zugang7. Die Einstellungen bleiben: bcrypt, Arbeitsfaktor 10, Präfix $2y$ (Apache).
- „Erzeugen“ liefert eine Zeile je Benutzer: Name, Doppelpunkt, dann der 60 Zeichen lange bcrypt-Hash. Darunter steht Verfahren bcrypt, Kosten 2^10, Zeilen 2.
- $2y$10$ sind Präfix und Arbeitsfaktor, dann folgen 22 Zeichen Salz und 31 Zeichen Hash. Das Salz ist jedes Mal neu: Dasselbe Passwort ergibt bei jedem Klick eine andere Zeile, und jede passt.
- Die Zeilen in eine Datei .htpasswd kopieren, am besten außerhalb des öffentlichen Webordners, und in der .htaccess des geschützten Ordners mit AuthUserFile darauf verweisen.
| Verfahren | Zeile für kunde | Länge nach dem Doppelpunkt |
|---|---|---|
| bcrypt | kunde:$2y$10$ + 53 Zeichen | 60 |
| APR1 | kunde:$apr1$ + 8 Zeichen Salz + $ + 22 Zeichen | 37 |
| SHA-1 | kunde:{SHA}9/Sc5cq6oHy1SbHBTZU9TBoKfCE= | 33 |
Eine der Zeilen: kunde:$2y$10$5hRVTJ0YCFaky0x4gq/kOuiwmeNqMJR/oUdiMiIzqSpVEtZXZ6r42. Beim Aufruf der Testseite fragt der Browser nach Benutzername und Passwort; wer keinen Zugang mehr braucht, dessen Zeile wird gelöscht.
So funktioniert es
- Je Zeile benutzer:passwort eintippen. Ein Passwort allein ergibt nur den Hash.
- Bei bcrypt bleiben, außer Sie müssen zu einer vorhandenen Datei passen.
- Auf Erzeugen drücken. bcrypt ist absichtlich langsam – genau darum geht es.
- Die Zeilen in die .htpasswd-Datei kopieren.
Häufige Fragen
- Warum dauert es eine Sekunde?
- Weil bcrypt das soll. Der Arbeitsfaktor ist eine Zweierpotenz: Ihn um eins zu erhöhen verdoppelt die Arbeit eines Angreifers – und Ihre Wartezeit. 10 ist der übliche Kompromiss, 12 ist etwa viermal langsamer.
- Soll ich APR1 oder SHA-1 nehmen?
- Nur, um zu einer Datei zu passen, die sie schon enthält. APR1 ist Apaches gesalzenes MD5 und das, was htpasswd auf vielen Systemen ohne Schalter schreibt; SHA-1 ist hier ungesalzen, dasselbe Passwort ergibt also immer dieselbe Zeile, und für Neues sollte es nicht verwendet werden.
- Was gehört in die .htaccess?
- Vier Zeilen im Ordner, der geschützt werden soll: AuthType Basic, AuthName "Geschützter Bereich", AuthUserFile mit dem vollständigen Pfad zur .htpasswd auf dem Server (nicht der Webadresse) und Require valid-user. Diese Seite erzeugt die Zeilen für die .htpasswd, die .htaccess schreiben Sie selbst.
- Wird das Passwort beim Anmelden verschlüsselt übertragen?
- Nur über HTTPS. Bei dieser Anmeldung (Basic Auth) schickt der Browser Benutzername und Passwort bei jedem Aufruf mit, lediglich Base64-kodiert, nicht verschlüsselt. Die geschützte Seite deshalb nur über https:// aufrufen.
- Wird mein Passwort irgendwohin geschickt?
- Nein, und das ist der ganze Grund für diese Seite. Das Salz kommt aus dem Zufallsgenerator Ihres Browsers und gehasht wird auf Ihrer Maschine – nichts wird übertragen. Ein echtes Passwort in den Server eines Fremden zu tippen ist genau das, was man vermeiden will.