Générateur htpasswd
La ligne qu’attend Apache, hachée sur votre propre machine.
Les exemples remplacent temporairement la saisie et les réglages. Vous pouvez rétablir votre travail précédent.
0 caractères
Résultat
Collez ou saisissez du texte ci-dessus pour voir le résultat ici.
Vos fichiers restent sur votre appareil
Cet outil fonctionne entièrement dans votre navigateur. Ce que vous collez est traité sur votre appareil et n’est jamais envoyé à un serveur : vous pouvez l’utiliser sans crainte avec des jetons, des clés et des textes non publiés.
Exemple
Exemple : fermer un site de recette avec deux comptes en bcrypt
Une agence montre à sa cliente un site en préparation, hébergé sous Apache, et veut le fermer au public. Deux comptes, un par ligne : claire:Recette-Lyon2026! et agence:Pr3prod#Bellecour. Réglages : bcrypt, facteur de travail 10, préfixe $2y$ (Apache).
- Appuyez sur Générer : deux lignes de 67 caractères chacune, le nom, deux-points, puis un hash bcrypt de 60 caractères.
- Dans claire:$2y$10$Q2f.YceymDBryU/qsbzSVuvrn4swixMl/bEb1RTksl34ZxYVxO.1K, $2y$ est le préfixe, 10 le facteur de travail (2^10), puis viennent 22 caractères de sel tirés au hasard et 31 de hash.
- Générez de nouveau : les lignes changent, car le sel est neuf à chaque fois, et toutes restent valables pour le même mot de passe.
- Copiez-les dans un .htpasswd hors du dossier public ; dans le .htaccess du dossier : AuthType Basic, AuthName "Recette", AuthUserFile et le chemin absolu du fichier, Require valid-user.
| Algorithme | Ligne obtenue pour claire | Même ligne à chaque fois ? |
|---|---|---|
| bcrypt, coût 10 | claire:$2y$10$Q2f.YceymDBryU/qsbzSVuvrn4swixMl/bEb1RTksl34ZxYVxO.1K | Non, le sel change |
| APR1 | claire:$apr1$y8B9p1uR$QOR4EqZvT1six/kL5iSh4/ | Non, sel de 8 caractères |
| SHA-1 | claire:{SHA}bPaT7MO3Yc8gL6ZEg5gFeag+r1E= | Oui : il n’y a pas de sel |
Le navigateur demande alors un identifiant et un mot de passe avant d’ouvrir le site de recette. Les mots de passe ont été hachés sur l’ordinateur de l’agence : ni eux ni les lignes ne sont passés par un serveur.
Comment ça marche
- Tapez utilisateur:motdepasse sur chaque ligne. Un mot de passe seul donne juste le hash.
- Laissez bcrypt, sauf si vous devez correspondre à un fichier existant.
- Appuyez sur Générer. bcrypt est volontairement lent — c’est tout l’intérêt.
- Copiez les lignes dans votre fichier .htpasswd.
Questions fréquentes
- Pourquoi cela met-il une seconde ?
- Parce que bcrypt est fait pour. Le facteur de travail est une puissance de deux : l’augmenter de un double le travail de l’attaquant — et votre attente. 10 est le compromis courant ; 12 est environ quatre fois plus lent.
- Faut-il utiliser APR1 ou SHA-1 ?
- Seulement pour correspondre à un fichier qui en contient déjà. APR1 est le MD5 salé d’Apache, ce qu’écrit htpasswd sans option sur bien des systèmes ; le SHA-1 ici n’est pas salé, donc le même mot de passe donne toujours la même ligne, et il ne faut pas s’en servir pour du neuf.
- Comment ajouter ou changer un utilisateur ?
- Une ligne par utilisateur. Pour en ajouter un, générez sa ligne et collez-la à la suite des autres ; pour changer un mot de passe, remplacez la ligne de cet utilisateur par la nouvelle. Les lignes existantes, quel que soit leur algorithme, restent valables.
- Puis-je mettre des accents dans le mot de passe ?
- Mieux vaut s’en tenir aux lettres sans accent, aux chiffres et aux signes courants. Le hachage lit le mot de passe en UTF-8, mais selon le navigateur, un « é » tapé dans la fenêtre de connexion n’est pas toujours envoyé de la même façon, et la connexion échoue. bcrypt ne tient compte en outre que des 72 premiers octets du mot de passe.
- Mon mot de passe part-il quelque part ?
- Non, et c’est toute la raison d’être de cette page. Le sel vient du générateur aléatoire de votre navigateur et le hachage a lieu sur votre machine : rien n’est transmis. Coller un vrai mot de passe dans le serveur d’un inconnu est précisément ce qu’il faut éviter.
Outils associés
♭ Générateur de mot de passe Fabriqués sur votre appareil, par le générateur cryptographique du navigateur. Rien n’est envoyé nulle part. # Générateur de hash L’empreinte MD5, SHA-1 ou SHA-2 d’un texte, calculée sur votre appareil. 🔒 Calculateur chmod 755 dans un sens, rwxr-xr-x dans l’autre. ∿ Base64 Du texte vers le Base64 et retour, avec un UTF-8 correct et un alphabet compatible URL en option.