Generator .htpasswd

Generator .htpasswd — hasło do Basic Auth w Apache i Nginx

Generator .htpasswd tworzy jedną linię w formacie użytkownik:hash, gotową do wklejenia w plik .htpasswd. Hasło jest hashowane bcryptem, opcjonalnie starszym SHA-1 w formacie Apache {SHA}, a serwer pyta o nie każdego, kto próbuje otworzyć chroniony katalog.

Co dokładnie robi to narzędzie

Podajesz nazwę użytkownika i hasło, wybierasz algorytm i dostajesz pojedynczy wpis. Nazwa może zawierać litery, cyfry, kropkę, podkreślenie i myślnik — dwukropek jest zabroniony, bo w pliku rozdziela on login od hasha. Samo hasło nie jest nigdzie zapisywane ani zapamiętywane w historii: liczony jest hash i tylko on wraca do przeglądarki. Każde kliknięcie daje inny hash bcrypt, bo do hasła dokładana jest losowa sól — wszystkie weryfikują to samo hasło.

Mocne hasło weźmiesz z generatora haseł, a gotowy wpis porównasz z hasłem w weryfikatorze hashy bcrypt.

Gdzie umieścić plik .htpasswd

Nigdy w katalogu publicznym. Jeśli plik trafi do public_html, przy byle pomyłce w konfiguracji serwer wyda go jako zwykły tekst i cała lista hashy wypłynie przez przeglądarkę. Trzymaj go poziom lub dwa wyżej niż DocumentRoot, na przykład jako /home/user/private/.htpasswd albo /etc/apache2/.htpasswd. Uprawnienia ustaw wąsko: zapis dla właściciela, czytanie dla użytkownika serwera, nic dla reszty świata.

Dlaczego bcrypt, a nie MD5, crypt czy SHA-1

Format .htpasswd dopuszcza kilka algorytmów, a różnią się one o rzędy wielkości odpornością na łamanie offline. Gdy plik wycieknie, liczy się tylko to, jak kosztowne jest sprawdzenie jednego kandydata na hasło.

Narzędzie generuje bcrypt z kosztem 12, czyli 4096 przebiegów rozwijania klucza. Dla porównania htpasswd -B domyślnie używa kosztu 5. Apache obsługuje bcrypt od wersji 2.4.4. Pamiętaj też, że bcrypt bierze pod uwagę tylko pierwsze 72 bajty hasła — dłuższe narzędzie odrzuca, zamiast po cichu ucinać końcówkę. Inne funkcje skrótu policzy generator hashy kryptograficznych.

Wpis w .htaccess krok po kroku

1. Zapisz wygenerowaną linię w pliku .htpasswd poza katalogiem publicznym.
2. W katalogu, który chcesz chronić, utwórz plik .htaccess z czterema dyrektywami z przykładu poniżej.
3. W AuthUserFile podaj pełną ścieżkę systemową, nigdy adres URL ani ścieżkę względną.
4. Sprawdź, czy host ma AllowOverride AuthConfig. Bez tego Apache w ogóle nie zajrzy do Twojego pliku.
5. Odśwież stronę. Przeglądarka pokaże okno logowania, a po błędnym haśle dostaniesz status 401.

AuthType Basic
AuthName "Strefa chroniona"
AuthUserFile /home/user/private/.htpasswd
Require valid-user

Nazwa z AuthName pojawia się w okienku przeglądarki i wyznacza realm, więc opisz nią zasób, a nie hasło. Szerszą konfigurację katalogu złożysz w generatorze pliku .htaccess.

Basic Auth bez HTTPS wysyła hasło jawnie

Do tego nagłówek leci przy każdym żądaniu, więc podczas jednej wizyty hasło przechodzi przez sieć dziesiątki razy. Wylogowania w Basic Auth praktycznie nie ma: przeglądarka pamięta poświadczenia aż do zamknięcia okna. Stan certyfikatu potwierdzisz w weryfikatorze certyfikatu SSL.

To samo ustawienie w Nginx

Nginx czyta ten sam format pliku, tylko konfiguruje się go inaczej: w bloku server albo location wpisujesz auth_basic "Strefa chroniona"; oraz auth_basic_user_file /home/user/private/.htpasswd;. Jest jedna pułapka. Nginx samodzielnie obsługuje wyłącznie APR1, a pozostałe formaty przekazuje systemowej funkcji crypt(). Bcrypt zadziała więc tam, gdzie biblioteka systemowa go zna, czyli na dystrybucjach z libxcrypt. Na starszym serwerze wybierz w narzędziu SHA-1. Wyjątki dla pojedynczych ścieżek ułożysz w konfiguratorze bloków location.

Najczęściej zadawane pytania