Gerador htpasswd
A linha que o Apache quer, resumida na sua própria máquina.
Os exemplos substituem temporariamente os dados e as configurações. Você pode restaurar seu trabalho anterior.
Cole ou digite acima para ver o resultado aqui.
Seus arquivos ficam no seu dispositivo
Esta ferramenta roda inteiramente no seu navegador. O que você cola é processado no seu dispositivo e nunca é enviado a um servidor, então é seguro usar com tokens, chaves e textos não publicados.
Exemplo
Exemplo: senha na homologação da loja virtual, dois usuários com bcrypt
A nova loja virtual está num endereço de homologação antes de ir ao ar, e só o cliente e a equipe devem vê-la. No campo, um usuário por linha: cliente:Homologa-Loja.2026 e equipe:Teste#Pagamento9 (senhas de exemplo). Ajustes: bcrypt, fator 10, prefixo $2y$ (Apache).
- Gerar devolve uma linha por usuário: o nome, dois-pontos e um hash bcrypt de 60 caracteres. Embaixo aparecem algoritmo bcrypt, custo 2^10, linhas 2.
- $2y$10$ são o prefixo e o fator de trabalho; depois vêm 22 caracteres de sal e 31 de hash. O sal é sorteado a cada clique: a mesma senha dá outra linha, e todas funcionam.
- Copie as linhas para um arquivo .htpasswd fora da pasta pública do site e aponte para ele com AuthUserFile no .htaccess da homologação.
| Fator de trabalho | Começo da linha | Rodadas do bcrypt | Tempo comparado ao 10 |
|---|---|---|---|
| 8 — rápido | cliente:$2y$08$ | 256 | ¼ |
| 10 — a escolha usual | cliente:$2y$10$ | 1.024 | 1× |
| 12 — lento e forte | cliente:$2y$12$ | 4.096 | 4× |
Uma das linhas: cliente:$2y$10$RINjVUz.fsEqNSh3pAAM3.I.5hIYxqyd/mO0.5OouAZd7wCjmMeMO. Ao abrir a homologação, o navegador pede usuário e senha; para tirar alguém, apague a linha dele.
Como funciona
- Digite usuario:senha em cada linha. Uma senha sozinha devolve só o hash.
- Deixe em bcrypt a menos que precise casar com um arquivo já existente.
- Toque em Gerar. O bcrypt é lento de propósito — é esse o ponto.
- Copie as linhas para o seu arquivo .htpasswd.
Perguntas frequentes
- Por que demora um segundo?
- Porque o bcrypt foi feito para demorar. O fator de trabalho é uma potência de dois: aumentá-lo em um dobra o trabalho do atacante — e a sua espera. 10 é o meio-termo usual; 12 é cerca de quatro vezes mais lento.
- Devo usar APR1 ou SHA-1?
- Só para casar com um arquivo que já os tenha. O APR1 é o MD5 com sal do Apache e é o que o htpasswd escreve sem opções em muitos sistemas; o SHA-1 aqui não tem sal, então a mesma senha dá sempre a mesma linha, e não deveria ser usado para nada novo.
- Como usar o arquivo no .htaccess?
- Salve as linhas num arquivo .htpasswd, de preferência fora da pasta pública, e no .htaccess da pasta a proteger escreva, uma por linha: AuthType Basic, AuthName "Área restrita", AuthUserFile /caminho/completo/.htpasswd e Require valid-user. O AuthUserFile pede o caminho no servidor, não o endereço do site.
- Por que cada clique gera uma linha diferente?
- O bcrypt e o APR1 usam um sal novo a cada vez, gravado na própria linha. O servidor lê esse sal e confere a senha, então todas as versões funcionam. Só o SHA-1, que não tem sal, dá sempre a mesma linha.
- Minha senha vai para algum lugar?
- Não, e essa é a razão inteira de esta página existir. A sal vem do gerador aleatório do seu navegador e o cálculo acontece na sua máquina: nada é transmitido. Colar uma senha real no servidor de um estranho é exatamente o que se quer evitar.