Generatore htpasswd
La riga che Apache vuole, calcolata sulla tua macchina.
Gli esempi sostituiscono temporaneamente i dati e le impostazioni. Puoi ripristinare il lavoro precedente.
Incolla o scrivi qui sopra per vedere il risultato.
I tuoi file restano sul tuo dispositivo
Questo strumento viene eseguito interamente nel tuo browser. Ciò che incolli viene elaborato sul tuo dispositivo e non viene mai inviato a un server, quindi puoi usarlo in sicurezza con token, chiavi e testi non pubblicati.
Esempio
Esempio: l’area riservata del condominio, due utenti con bcrypt
Il sito del condominio ha una cartella /verbali con i verbali delle assemblee, da mostrare solo ai condòmini. Nel campo, un utente per riga: amministratore:Verbali-Scala.B26 e condomino:Assemblea!Ottobre (password di esempio). Impostazioni lasciate come sono: bcrypt, fattore di lavoro 10, prefisso $2y$ (Apache).
- «Genera» restituisce due righe, una per utente: il nome, i due punti e un hash bcrypt di 60 caratteri. Sopra compaiono algoritmo bcrypt, costo 2^10, righe 2.
- $2y$10$ sono prefisso e fattore di lavoro; seguono 22 caratteri di sale e 31 di hash. Il sale cambia a ogni clic: la stessa password dà ogni volta una riga diversa, e sono tutte valide.
- Utente e password si separano ai primi due punti della riga: un «:» dentro la password va bene, nel nome utente no.
- Copia le righe in un file .htpasswd fuori dalla cartella pubblica del sito e indicalo con AuthUserFile nel .htaccess di /verbali.
| Algoritmo | Riga per «condomino» | Caratteri dopo i due punti |
|---|---|---|
| bcrypt | condomino:$2y$10$qywN3bPr97n2UWsOMPUeBOH3OAYkg/yvq0P/djaQlDTDb9CNSt0Fa | 60 |
| APR1 | condomino:$apr1$sM10IYuv$L4pAsOQkV9Cj2EfaFhQol1 | 37 |
| SHA-1 | condomino:{SHA}ebfm2QoA7b946E7EpPB08w96LYk= | 33 |
Un file .htpasswd di due righe: aprendo /verbali il browser chiede nome utente e password. Quando cambia l’amministratore basta cancellare la sua riga e aggiungere quella generata per chi subentra; le altre righe restano come sono.
Come funziona
- Scrivi utente:password su ogni riga. Una password da sola restituisce solo l’hash.
- Lascia bcrypt, a meno che tu non debba allinearti a un file già esistente.
- Premi Genera. bcrypt è lento di proposito: è tutto il punto.
- Copia le righe nel tuo file .htpasswd.
Domande frequenti
- Perché ci mette un secondo?
- Perché bcrypt è fatto per metterci. Il fattore di lavoro è una potenza di due: alzarlo di uno raddoppia il lavoro dell’attaccante — e la tua attesa. 10 è il compromesso abituale; 12 è circa quattro volte più lento.
- Devo usare APR1 o SHA-1?
- Solo per allinearti a un file che già li contiene. APR1 è l’MD5 con sale di Apache ed è ciò che htpasswd scrive senza opzioni su molti sistemi; lo SHA-1 qui è senza sale, quindi la stessa password dà sempre la stessa riga, e non va usato per nulla di nuovo.
- Come si usa il file .htpasswd con .htaccess?
- Salva le righe in un file .htpasswd, possibilmente fuori dalla cartella pubblica, e nel .htaccess della cartella da proteggere scrivi AuthType Basic, un AuthName come "Area riservata", AuthUserFile con il percorso completo del file e Require valid-user.
- Come aggiungo un utente a un file che esiste già?
- Genera solo la riga del nuovo utente e aggiungila in fondo al file: ogni riga è indipendente, e righe bcrypt e APR1 possono stare nello stesso file. Per cambiare una password, sostituisci la riga di quell’utente con una nuova.
- La mia password viene inviata da qualche parte?
- No, ed è l’intera ragion d’essere di questa pagina. Il sale viene dal generatore casuale del tuo browser e il calcolo avviene sulla tua macchina: nulla viene trasmesso. Incollare una password vera nel server di uno sconosciuto è esattamente ciò che si vuole evitare.