Генератор htpasswd

Официальная документация Apache рекомендует bcrypt вместо основанного на MD5 формата "apr1" начиная с httpd 2.4.4, называя старые методы crypt() и MD5 устаревшими. Вместо того чтобы включать алгоритм, который мы не смогли независимо проверить побайтово по сравнению с реальным выводом Apache, этот инструмент сосредоточен на bcrypt и SHA, оба проверены на точное соответствие реальному инструменту командной строки htpasswd.

Собственный инструмент htpasswd Apache по умолчанию использует 5, выбранное десятилетия назад для совместимости с более медленным оборудованием. Для нового развёртывания сегодня обычно рекомендуется 10–12; более высокие значения дольше вычисляются (в этом и смысл, это делает подбор пароля дороже), но также немного замедляют проверку реальных входов в систему.

Bcrypt представляет собой медленный алгоритм хеширования паролей, специально созданный для этой цели, со встроенной случайной солью и настраиваемой стоимостью, текущий рекомендуемый Apache выбор. SHA ({SHA}пароль) представляет собой всего лишь один быстрый проход SHA-1 без соли, включённый для совместимости с очень старыми настройками Apache или скриптами, которые специально ожидают этот формат, не рекомендуется для новых развёртываний.

Сохраните результат в файл (обычно называемый .htpasswd) вне публичного корня веб-сайта, затем укажите в директиве AuthUserFile конфигурации Apache путь к нему, вместе с AuthType Basic и директивой Require valid-user в соответствующем блоке <Directory> или .htaccess.

Да, используйте "Добавить пользователя", чтобы добавить столько строк с именем пользователя и паролем, сколько нужно; поле вывода объединяет каждую строку в один файл, по одному пользователю на строку, точно соответствуя формату, ожидаемому Apache.