htpasswd-Generator

Apaches eigene Dokumentation empfiehlt seit httpd 2.4.4 bcrypt gegenüber dem MD5-basierten "apr1"-Format und bezeichnet die älteren crypt()- und MD5-Methoden als veraltet. Anstatt einen Algorithmus auszuliefern, den wir nicht unabhängig Byte für Byte gegen echte Apache-Ausgaben verifizieren konnten, konzentriert sich dieses Tool auf bcrypt und SHA, beide nachweislich exakt mit dem echten htpasswd-Kommandozeilentool übereinstimmend.

Apaches eigenes htpasswd-Tool verwendet standardmäßig 5, vor Jahrzehnten aus Kompatibilitätsgründen mit langsamerer Hardware gewählt. Für eine neue Bereitstellung heute wird üblicherweise 10 bis 12 empfohlen; höhere Werte sind langsamer zu berechnen (das ist beabsichtigt, es macht Brute-Force-Angriffe teurer), aber auch etwas langsamer bei der Überprüfung echter Anmeldungen.

Bcrypt ist ein langsamer, speziell für Passwort-Hashing entwickelter Algorithmus mit eingebautem Zufallssalt und anpassbaren Kosten, die derzeit von Apache empfohlene Wahl. SHA ({SHA}Passwort) ist nur ein einzelner schneller SHA-1-Durchlauf ohne Salt, enthalten zur Kompatibilität mit sehr alten Apache-Installationen oder Skripten, die genau dieses Format erwarten, nicht empfohlen für neue Bereitstellungen.

Speichern Sie die Ausgabe als Datei (üblicherweise .htpasswd genannt) außerhalb des öffentlichen Webstammverzeichnisses Ihrer Website, und verweisen Sie dann in Ihrer Apache-Konfiguration mit der AuthUserFile-Direktive auf deren Pfad, zusammen mit AuthType Basic und einer Require valid-user-Direktive im entsprechenden <Directory>- oder .htaccess-Block.

Ja, verwenden Sie "Benutzer Hinzufügen", um so viele Zeilen mit Benutzername und Passwort hinzuzufügen, wie Sie benötigen; das Ausgabefeld fasst jede Zeile zu einer Datei zusammen, ein Benutzer pro Zeile, genau im Format, das Apache erwartet.